Sanción 76434 de 2024 — SIC

(11 de octubre de 2024) “Por la cual se impone una sanción” Radicado 21-478761 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley Estatutaria 1581 de 2012 por parte de la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 29924 del 31 de mayo de 2023, por medio de la cual se formuló cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

La mencionada resolución le fue notificada electrónicamente a la sociedad investigada el día 2 de junio de 2023, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-478761-23 del 30 de junio de 2023, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

SEGUNDO: Que, la sociedad COVINOC S.A. aportó escrito de descargos, junto con anexos, bajo radicados 21-478761-20, 21-478761-21 y 21-478761-22 del 27 de junio de 2023, argumentando, entre otras cosas, lo siguiente: En primer lugar, realiza un recuento de los antecedentes que dieron origen a la actuación administrativa de la referencia y destaca tres aspectos, que, a su juicio, deben ser tenidos en cuenta por parte de este Despacho: (i) que la sociedad investigada no recibió requerimientos previos por parte del titular, (ii) la calidad que ostenta la sociedad COVINOC S.A. “exclusivamente” como operador de cartera de la sociedad REINTEGRA S.A.S. y (iii) que la sociedad “REINTEGRA S.A.S tiene a su disposición la Autorización con las finalidades de consultar, compartir, informar entre otras, razón por la cual COVINOC S.A., efectúa su gestión de cobro conforme a los lineamientos establecidos por la Ley”.

En relación con el cargo único formulado, la sociedad investigada afirma que: “(…) II. RESPUESTA A LOS CARGOS FORMULADOS EN LA RESOLUCIÓN NÚMERO 29924 del 31 de mayo de 2023 Expuestos los hechos anteriores y analizada la situación fáctica a la luz del ordenamiento jurídico, nos permitimos presentar las siguientes apreciaciones, en referencia a las consideraciones de la resolución así: “Por la cual se impone una sanción” NUMERAL PRIMERO. LITERAL i: En virtud de la gestión de cobranza los asesores inician esta labor con la ubicación y contacto del clientedeudor, con el fin de informarle el estado de su obligación e invitarlo a realizar un pago total o celebrar un acuerdo de pago que le permita la normalización de la obligación, (sic) En el caso en particular, la gestión de cobranza se efectúo bajo la búsqueda básica por medio de Google, encontrando el siguiente perfil: Así bien, se asoció el primer resultado con la información entregada por el titular en sus formatos de vinculación y llamadas, respecto de su profesión de administración hotelera, encontrando público en una página web de la entidad en la cual se encuentra en la actualidad laborando el titular.

Luego ingreso (sic) a la página web del Hotel Dann Avenia 19 y por medio de “contacto”, se encontró las direcciones electrónicas xxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx para lograr el contacto con el deudor, a quien no se le había podido ubicar para lograr la normalización de sus obligaciones. Ahora bien, respecto del correo remitido es de resaltar que el texto no estaba aprobado por la compañía para la gestión de cobranza, dado que hemos sido muy cuidados (sic) y se le ha dado aplicación a las políticas de protección datos personales, así mismo se han publicado y socializado con todo el personal de la compañía con los fin de garantizar los derechos de los titulares de la información, sin embargo en el presente caso la situación se presentó por la falta de cuidado del funcionario en el año 2021, que efectúo la gestión de cobranza, a pesar de las constantes capacitaciones sobre la Ley 1581 del 2012, para el cumplimento de la política de protección de datos personales implementada por la compañía y que en la fecha estas situaciones ya se encuentran ajustadas.

La compañía cuenta con Política de Tratamiento de Datos Personales desarrollada e implementada y así como el Manual de Seguridad adoptado por la sociedad para impedir la adulteración, pérdida, consulta, uso y acceso no autorizado o fraudulento a la información personal almacenada en sus de datos y/o archivos sobre los cuales realiza el Tratamiento.

LITERAL ii: Con ocasión a la venta de cartera ya señalada, comporta, además de la transferencia de los créditos, la de sus accesorios tales como prendas o hipotecas si las hubiere, e incluso la cesión del reporte ante los Operadores de Información. Lo anterior no significa un nuevo reporte, ni modifica la obligación, pues solo actualiza el nombre del acreedor.

Conforme a lo anterior, esta compañía como cesionario del crédito y el reporte no efectuó la notificación previa al titular, pues el reporte se realizó con anterioridad al 01 de julio de 2009 fecha en la cual entro en vigencia la Ley 1266 de 2008, lo anterior se encuentra amparado en la Resolución 76434 de 2012 de la Superintendencia de Industria y Comercio, en su numeral 1.3.6 que establece: (…) Conforme a este cargo la autorización para el tratamiento de datos personales se encuentra inmerso en el formato de actualización de información persona natural, señala: “Por la cual se impone una sanción” Así las cosas, es de señalar que con la anterior autorización y en virtud de los derechos que le asisten a la entidad acreedora para este caso Reintegra S.A.S y donde Covinoc S.A. opera como administrador de la cartera de propiedad de Reintegra la asesora de cobranzas procedió a solicitar información ante terceros, con el fin de efectuar un llamado para presentarle las alternativas de pago que ofrece el acreedor del crédito para este caso REINTEGRA S.A.S., que le permitan al deudor efectuar la cancelación de las obligaciones que registran pendientes por cancelar.

Ahora bien, teniendo en cuanta dicha autorización en ella expresa la autorización para la verificación de datos ante cualquier persona natural, jurídica o pública, Por lo anterior, se da cumplimiento a lo dispuesto en el literal d del artículo 17 de la 1581 y los literales f,g,h del artículo 4 de la presente ley. En virtud de este cargo formulado, se considera que no existe por parte de la entidad hecho o acto por el que se pueda haber vulnerado tanto el principio de veracidad, como los deberes del tratamiento de los datos personales o cualquier otra norma de la Ley ya citada.

CARGO UNICO DEL NUMERAL 3: En el presente caso no se cumplió LOS PRINCIPIOS RECTORES DE LA PROTECCIÓN DE DATOS LEY 1581 DE 2012, en la que indica que dentro del trámite de reclamos en los que los titulares de la información o sus causahabientes que consideren que la información contenida en bancos de datos debe ser objeto de corrección o actualización podrán presentar un reclamo ante el operador o la fuente de la información. Ahora bien, en el artículo 15 de la Ley 1581 de 2012 numeral 1 indica: Se vale entonces que es la misma Ley es la que expresa que el titular de la información debe presentar una reclamación previa para que la fuente la atienda y subsane las inconsistencias que se hayan presentado, por lo cual, en el caso particular no se recibió petición del quejoso y únicamente se dio cumplimiento a lo establecido por el legislador.

Resaltamos, que la Ley 1581 de 2012 en su título VI artículo 17 literal f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada; situación está que es deber del titular del dato efectuarla y le asiste al acreedor la facultad de ubicar al deudor para logar el cumplimiento de la relación contractual.

No sobra advertir, que se ha dado cumplimiento a los Principios Rectores que estipula la ley 1581 de 2012 observando que se procedió a atender de forma oportuna y con celeridad la petición del quejoso, y se procedió a remitir la documentación que soporta las obligaciones a su cargo en virtud de la relación contractual, por lo cual, mal podría endilgársele algún tipo de responsabilidad a REINTEGRA, teniendo en cuenta que no existe por parte de la entidad hecho o acto por el que se pueda haber vulnerado tanto el principio de veracidad, como los deberes del tratamiento de los datos personales o cualquier otra norma de la Ley ya citada.

La queja formulada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx ante la Superintendencia de Industria y Comercio, tiene como base el literal b del artículo 21 de la Ley 1581 de 2012, que establece como facultad de dicha entidad: Resulta importante precisar que para efectos de promover las acciones jurisdiccionales pertinentes, el demandante debe cumplir con el requisito de procedibilidad de reclamo directo ante el proveedor o productor antes “Por la cual se impone una sanción” de acudir a demandar ante la SIC.

En razón a lo anterior, se encuentra que el titular omitió dicho requisito. Lo anterior con fundamentado en el Artículo 16 de la ley 1581 de 2012, Requisito de procedibilidad: “El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento”.

Razón tal, que resulta improcedente el presente requerimiento, dado que el titular no presentó ante esta entidad ningún reclamo directo de acuerdo a lo aquí tratado. Tal como hemos aclarado, REINTEGRA S.A.S., en su calidad de actual acreedor y COVINOC SA en calidad de administrador de la cartera de Reintegra SAS no ha vulnerado el derecho fundamental en razón a que existe una relación contractual en la que el Reintegra cuenta con la autorización para el manejo, reporte, consulta y acceso a información del titular debidamente suscrito por el quejoso Ahora bien, no existe conducta presuntamente trasgresoras de las norma sobre protección de datos personales dado que el señor XXXXXXXXX XXXXXXXXXXXXXXXXXXXXX, si otorgó autorización para acceso y suministro de datos, rectificación, actualización, supresión de datos, la cual fue transferida por Bancolombia a REINTEGRA SAS en virtud de la compraventa a de cartera la cual comprende la trasferencia de sus accesorios tales como prendas o hipotecas si las hubiere, e incluso la cesión del reporte ante los Operadores de Información. (…)”.

Posteriormente, la sociedad investigada solicita la aplicación de los criterios de atenuación, así: “(…) A pesar de lo anterior, en el evento que el respetado ente de vigilancia considere que existe una violación por parte de esta compañía, es preciso manifestar a su Despacho lo siguiente: a) Esta compañía no ha recibido beneficio económico, en virtud de la falta de diligencia cometida por la asesora de cobranza. b) Hemos atendido los requerimientos formulados por la c) Se ha cumplido con las órdenes impartidas por la Superintendencia de Industria y Comercio d) Se reconoció que el actuar de la asesora no fue el adecuado y no mantuvo los protocolos implementados por la compañía. e) La compañía cuenta con las políticas de Protección de datos Personales y los mecanismos de la seguridad de la información. (…)”.

Finalmente, la sociedad investigada solicita lo siguiente: “(…) Teniendo en cuenta los argumentos expuestos a lo largo de este escrito, solicitamos al ente de control que:

PRIMERO: SE (sic) cierre la investigación en contra de COVINOC S.A., y REINTEGRA SAS por no existir mérito para la presente actuación.

SEGUNDO: Se archive la presente actuación.

TERCERO: En el evento en que por algún motivo se considere que existe una infracción a cualquier obligación establecida en la Ley 1581 del 2012, solicitamos que se de aplicación a los criterios de atenuación establecidos en la misma norma. “Por la cual se impone una sanción” (…).”

TERCERO: Que, mediante Resolución No. 57194 del 25 de septiembre de 2023 se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión. La mencionada resolución le fue comunicada a la sociedad investigada el 26 de septiembre de 2023, de conformidad con la certificación del 13 de octubre de 2023 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-478761-28.

CUARTO: Que, la sociedad COVINOC S.A. presentó alegatos de conclusión, por medio de escrito bajo el número de radicado 21-478761-27 del 10 de octubre de 2023, en el que reiteró lo indicado en el escrito de descargos.

QUINTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

SEXTO: Análisis del caso 6.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato” 1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos como en los alegatos de conclusión, así́ como el conjunto de pruebas allegadas al expediente. 6.2.

Valoración probatoria y conclusiones Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. “Por la cual se impone una sanción” 6.2.1. Consideraciones preliminares La sociedad investigada destaca tres aspectos, que, a su juicio, deben ser tenidos en cuenta por parte de este Despacho: (i) que la sociedad investigada no recibió requerimientos previos por parte del titular, (ii) la calidad que ostenta la sociedad COVINOC S.A. “exclusivamente” como operador de cartera de la sociedad REINTEGRA S.A.S. y (iii) que la sociedad “REINTEGRA S.A.S tiene a su disposición la Autorización con las finalidades de consultar, compartir, informar entre otras, razón por la cual COVINOC S.A., efectúa su gestión de cobro conforme a los lineamientos establecidos por la Ley”.

Aspectos frente a los cuales es menester realizar las siguientes precisiones: En primer lugar, es pertinente mencionar que el artículo el artículo 19 de la Ley 1581 de 2012 establece las facultades otorgadas a esta Superintendencia, para el ejercicio de la función de vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en dicha norma.

A su turno, el literal b) del artículo 21 de la citada norma, señala que esta Superintendencia puede “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…)”. La disposición anteriormente citada significa que la reclamación previa presentada por el quejoso ante la sociedad investigada, es un requisito indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición del interesado, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que le asiste a esta entidad, sin necesidad de agotar requisito de procedibilidad alguno. Por tal razón, no era necesario que el Titular de la información agotara el mencionado requisito de procedibilidad.

De esta manera, entendiendo que en los procesos administrativos sancionatorios se está ante una investigación amparada en la facultad sancionatoria del Estado, consagrada en el artículo 209 de la Constitución Política de 1991, en el cual busca garantizar el orden público, más específicamente, garantizar el adecuado cumplimiento del Régimen General de Protección de Datos Personales dispuesto en la Ley 1581 de 2012.

La facultad sancionatoria de vigilancia y control que ejerce esta Entidad fue explicada por la Corte Constitucional en sentencia C-703 del 2010, en la cual determinó que: “(…) En cuanto hace a la administración, la filiación de su potestad sancionadora se suele situar en la función de policía que pretende asegurar el orden público y en el poder de policía que, con la finalidad de garantizar el orden público, permite regular el ejercicio de las libertades individuales e imponer sanciones orientadas al cumplimiento de las medidas de policía. En cualquier caso, el fundamento de la potestad sancionadora de la administración actualmente se encuentra en una pluralidad de disposiciones constitucionales que van desde el señalamiento de los fines del Estado, contemplados en el artículo 2º, hasta el establecimiento, en el artículo 209, de los principios que guían la función administrativa y, señaladamente, el de eficacia, pasando por el artículo 29 superior que, al estatuir la aplicación del debido proceso “a toda clase de actuaciones judiciales y administrativas”, “Por la cual se impone una sanción” reconoce, de modo implícito, que la administración está facultada para imponer sanciones.

(…)”. A partir de la facultad sancionatoria que otorga el artículo 19 de la Ley 1581 de 2012 y según el anterior apartado jurisprudencial de dicho Tribunal, este Despacho se encarga de verificar si la conducta desplegada por la investigada fue o no violatoria de la Ley 1581 de 2012 a efectos de garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

Ahora bien, como puede observarse, en el presente caso no existió desatención normativa alguna, como lo señala la investigada; máxime si se tiene en cuenta que los procesos de carácter administrativo sancionatorios adelantados por esta Superintendencia se surten con total apego a las normas que rigen la materia y de cara a proteger los derechos de los Titulares de la información. Por lo expuesto, es pertinente recordarle a la sociedad investigada que esta autoridad se dedica a exigir el respeto del derecho al habeas data previsto en el artículo 15 de la Constitución Política y a garantizar que, en la recolección, el almacenamiento, el uso, la circulación y eventual supresión de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la Constitución y en la Ley Estatutaria 1581 de 2012.

Por esta razón, siempre que se avizore una presunta vulneración en materia de datos personales, esta autoridad conocerá el caso y tomará las decisiones que correspondan en derecho, conforme a las pruebas obrantes en cada expediente. En línea con lo expuesto, llama la atención de este Despacho que la apoderada general de la sociedad investigada haga alusión de manera indistinta a preceptos contenidos en la Leyes 1266 de 2008 y 1581 de 2012; razón por la cual, es necesario reiterar que investigación administrativa de la referencia se adelanta con sujeción a lo previsto en la Ley 1581 de 2012 y sus disposiciones reglamentarias, dada la calidad de Responsable del tratamiento que ostenta la sociedad COVINOC S.A., de conformidad con las pruebas que obran en el expediente.

No puede perderse de vista que, aun cuando el documento denominado “CONTRATO DE PROTECCIÓN Y TRANSMISIÓN DE DATOS PERSONALES Y SEGURIDAD DE LA INFORMACIÓN ENTRE REINTEGRA SAS Y COVINOC S.A.” indica en el acápite de las consideraciones que “COVINOC S.A, quién (sic) prestará sus servicios “Objeto del contrato”, es EL ENCARGADO y REINTEGRA SAS, actúa como RESPONSABLE y propietario de la información”; lo cierto es que corresponde analizar el contexto de las actuaciones de la sociedad COVINOC S.A. para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.

En tales circunstancias, y con independencia de que, en principio, la sociedad REINTEGRA S.A.S. ostente la calidad de propietaria de las bases de datos; a partir del análisis de los elementos fácticos que dieron origen a la presente investigación, en armonía con el material probatorio que obra en el expediente, resulta evidente que es la sociedad COVINOC S.A. quien decide sobre las finalidades del tratamiento y los medios empleados para el efecto.

En el caso en concreto, una colaboradora de la sociedad investigada envío un mensaje de correo electrónico a un tercero no autorizado, en los siguientes términos: “Por la cual se impone una sanción” Situación que no resulta menor, ya que como lo expuso la Corte Constitucional, al referirse a la clasificación de los datos personales, el dato crediticio es un dato semiprivado, cuyo conocimiento o divulgación se encuentra sujeto al cumplimiento de los preceptos expuestos en la Ley Estatutaria 1581 de 2012.

A continuación, se transcribe un extracto de la sentencia C-748 de 2011: “En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato.

El legislador, por tanto, tiene libertad para elegir o no una categorización. Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: (…) g.) Dato semiprivado: Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios (…)”.

“Por la cual se impone una sanción” Mensaje de correo electrónico que, en palabras de la investigada, “(…) respecto del correo remitido es de resaltar que el texto no estaba aprobado por la compañía para la gestión de cobranza, dado que hemos sido muy cuidados y se le ha dado aplicación a las políticas de protección de datos personales, así mismo se han publicado y socializado con todo el personal de la compañía con los (sic) fin de garantizar los derechos de los titulares de la información, sin embargo, en el presente caso la situación se presentó por la falta de cuidado del funcionario en el año 2021, para el cumplimiento de la política de protección de datos personales implementada por la compañía y que en la fecha estas situaciones ya se encuentran ajustadas.

La compañía cuenta con Política de Tratamiento de Datos Personales desarrollada e implementada y así como en Manual de Seguridad adoptado por la sociedad para impedir la adulteración, pérdida, consulta, uso y acceso no autorizado o fraudulento a la información personal almacenada en sus de (sic) datos y/o archivos sobre los cuales realiza el Tratamiento”.

Al respecto, para esta Dirección, el hecho de que lo sucedido sea catalogado por la sociedad investigada como una situación que “se presentó por la falta de cuidado del funcionario”, no desvirtúa la violación al Régimen de Protección de Datos Personales que en este caso se materializó el día 9 de noviembre de 2021, en los términos descritos en líneas precedentes.

Aunado a lo anterior, y contrario a lo afirmado por la sociedad investigada, es frecuente que el error humano se constituya como causa primigenia de incidentes de seguridad asociados a datos personales; razón por la cual, resulta imperioso ir más allá de la deficiente justificación otorgada por la sociedad investigada y, en su lugar, por la real demostración de las múltiples herramientas con que cuenta la sociedad COVINOC S.A. en el ejercicio práctico.

De forma que la sociedad investigada pueda prever este tipo de situaciones y mitigar los riesgos asociados a este tipo de incidentes. Igualmente, no se avizora una respuesta rápida, coordinada y eficaz en el caso que nos ocupa. En suma, el principio y el deber de seguridad tienen un criterio eminentemente preventivo, lo cual obliga a los Responsables del Tratamiento a adoptar las medidas necesarias para evitar posibles afectaciones a la seguridad de los datos.

Sin embargo, si las medidas de seguridad fallan, las organizaciones deben estar preparadas para mitigar los riesgos y daños que se pueden causar a los derechos y libertades fundamentales de los Titulares. Ahora bien, frente al argumento según el cual la sociedad “REINTEGRA S.A.S tiene a su disposición la Autorización con las finalidades de consultar, compartir, informar entre otras, razón por la cual COVINOC S.A., efectúa su gestión de cobro conforme a los lineamientos establecidos por la Ley”, este Despacho considera que la autorización no cobija las acciones desplegadas por la sociedad COVINOC S.A., a tenor literal del formato por esta aportado, cuya imagen se presenta a continuación: “Por la cual se impone una sanción” Esto, en la medida que los datos personales solo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del Titular.

Elementos que, sin que medie manto de duda alguno, no confluyen en el caso que nos ocupa; toda vez que, el titular de los datos no brindó una indicación específica, informada y libremente emitida para que la sociedad COVINOC S.A. contactara a su empleador con el propósito de realizar gestiones de cobro asociadas a una obligación en mora. Lo que conlleva a concluir que, más allá de las falencias presentes en el formato de autorización aportado y que no resultan reprochables a la sociedad investigada, la conducta de la sociedad COVINOC S.A. de ninguna manera se encuentra cubierta por la autorización otorgada por el titular para el tratamiento de sus datos personales.

En consecuencia, los tres aspectos destacados por la sociedad investigada no están llamados a prosperar y de ninguna manera desestiman el cargo único formulado. 6.2.2. Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Sea lo primero indicar que la regulación colombiana exige a los Responsables del Tratamiento “ser capaces de demostrar (…) que han implementado medidas “Por la cual se impone una sanción” apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”2 y en sus normas reglamentarias. Por su parte, en cabeza de los Responsables de Tratamiento de datos personales se encuentra la de cumplir con los principios señalados en la ley tales como el de circulación restringida y el de seguridad, de tal manera que se debe tener presente que los responsables del tratamiento deben garantizar, entre otras cosas, que la información personal no sea objeto de divulgación, pérdida, consulta, uso o acceso no autorizado.

Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlada y restringida frente a terceros no autorizados, razón por la cual la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, como lo es el de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento”.

Así pues, el Responsable deberá tener en cuenta diferentes variables para realizar un análisis de riesgo, como por ejemplo el volumen de la base de datos a la que realiza tratamiento, así como la naturaleza de los datos, sitio y medio en el que se almacena la información, personas que tienen acceso a la misma, entre otras, a fin de establecer las vulnerabilidades en cada etapa del ciclo de vida del dato, con el fin de implementar las medidas o controles de seguridad que sean directamente proporcionales a los riesgos de los datos tratados.

De esta manera, el legislador dispuso, entre otros, como principios rectores del Tratamiento y la administración de los datos personales, el principio de circulación restringida, el principio de seguridad y de confidencialidad que de conformidad con el artículo 4 de la Ley 1581 de 2012 disponen lo siguiente: “(…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

(…)”. Al respecto, la Corte Constitucional ha relacionado este deber con el principio de seguridad, manifestando que la “(…) información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros 2 Decreto Único Reglamentario 1074 de 2015.

Artículo 2.2.2.25.6.1. “Por la cual se impone una sanción” evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”3. Por su parte, frente al principio de confidencialidad señaló que “los datos se definen como públicos, privados o confidenciales en razón a su naturaleza no en razón de su grado de divulgación, aunque sea el mismo titular quien opte por revelarlos.

En este orden de ideas, se estaría admitiendo el tratamiento sin consentimiento del titular y para una finalidad no autorizada por él, por parte de personas, autoridades o entes que pueden no contar con habilitación legal para ello”4. Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos por los Responsables y Encargados de información para garantizar el derecho de habeas data de los titulares, pues de la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende de que se minimicen los riesgos de exposición de los datos personales.

Al respecto, este Despacho considera de gran importancia señalar que, si bien la Superintendencia no ha emitido un listado taxativo de las medidas de seguridad que deben implementar los Responsables y Encargados del Tratamiento de datos personales, el Decreto Único Reglamentario 1074 de 2015, ha establecido los parámetros con base en los cuales los Responsables deben implementar las medidas apropiadas y efectivas en cumplimiento de lo dispuesto por la Ley 1581 de 2012.

En efecto, las normas en cuestión señalan: “Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalidades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas.” Por su parte, el artículo 2.2.2.25.6.2. estableció: “Artículo 2.2.2.25.6.2. Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: Corte Constitucional.

Sentencia C-748 de 2011. Octubre 6 de 2011. M.P. Ignacio Pretelt Chaljub. Expediente PE-032. Ibíd. “Por la cual se impone una sanción” 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

De conformidad con lo anterior, es claro entonces que el Responsable de Tratamiento de Datos personales cuenta con unos lineamientos mínimos para implementar las medidas de seguridad que considere aptas y suficientes con el fin de garantizar la protección de los datos personales de los Titulares registrados en sus bases de datos. En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo único por la presunta vulneración al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, mediante la Resolución No. 29924 del 31 de mayo de 2024, al considerar que: “(…) En el caso que se analiza, se pudo evidenciar que el Titular XXXXXXXXX XXXXXXXXXXXXXXXXXXXXX manifestó que LA INVESTIGADA compartió con terceros no autorizados información relacionada con sus obligaciones crediticias, a través de un correo electrónico de fecha 09 de noviembre de 2021, dirigido a la dirección de correo electrónico `XXXXXXXXXXXXXXXXXXXXXX´ y `XXXXXXXXXXXXXXXXXXXXXXXXX´, como se evidencia a continuación: (…) Con el fin de aclarar las circunstancias de tiempo, modo y lugar de los hechos puestos en conocimiento por la (sic) Titular, este Despacho requirió a la sociedad COVINOC S.A., mediante oficio con radicado número 21-478761-6 del 08 de junio de 2022 para que indicara, entre otras cosas, si tenía autorización del Titular XXXXXXXXXXX XXXXXXXXXXXX para el tratamiento de sus datos personales e indicara específicamente su esta le permitía compartir su información con terceros.

En respuesta al requerimiento antes mencionado, LA INVESTIGADA por medio de comunicación con radicado número 21-478761-9 del 23 de junio de 2022 informó que, la sociedad Reintegra S.A.S. celebró con la sociedad COVINOC S.A. un contrato de administración de la cartera adquirida con Bancolombia S.A.; que en virtud del mencionado contrato, la sociedad COVINOC S.A. se encuentra facultada para gestionar el portafolio en relación con el pago, las solicitudes y los requerimientos que surjan con ocasión a la administración de la mencionada cartera.

Adicionalmente, LA INVESTIGADA informó que el Titular XXXXXXXXXXXXXXXXXXXXXX XXXXXXX si otorgó su autorización previa expresa, en la que se indica lo siguiente: “(…) “Por la cual se impone una sanción” ‘Igualmente autorizo a BANCOLOMBIA S.A., (…) para que comparta y acceda a la información y/o documentación referente a mí, consignada o anexa a las solicitudes de vinculación, actualizaciones, en los diferentes documentos de depósito y/o crédito u operaciones y/o sistemas de información, así como información y/o documentación relacionada con los productos y/o servicios que poseo en cualquiera de las entidades a las cuales se extiende la presente autorización’ (…)”.

Por otra parte, LA INVESTIGADA advierte que aun cuando la autorización para el tratamiento de datos personales si fue otorgada por el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, los asesores tienen prohibido compartir información con terceros no autorizados e indicó que se tomaron los correctivos necesarios. Finalmente, afirmó LA INVESTIGADA que la sociedad Reintegra S.A.S. actúa en calidad de Responsable del tratamiento y la sociedad COVINOC S.A. actúa como Encargado del tratamiento de la información. Posteriormente, este Despacho procedió a requerir a la sociedad Reintegra S.A.S., mediante oficio con número de radicado 21-478761-10 del 31 de agosto de 2022, para que entre otras cosas, aportara información relacionada con la autorización otorgada por el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX para el tratamiento de sus datos personales y que informara si esta contenía la posibilidad de compartir su información con terceros.

En respuesta al requerimiento anterior, la sociedad Reintegra S.A.S., por medio de comunicación con radicado 21-478761-2 del 15 de septiembre de 2022, se pronunció en el mismo sentido que LA INVESTIGADA e indicó que la información de los Titulares es recolectada por medio de los formularios de vinculación diligenciados al momento de adquirir las obligaciones.

Por otra parte, la sociedad Reintegra S.A.S. manifestó que el área encargada de la gestión del cobro les informó que la asesora realizó una búsqueda básica por medio del buscador Google y encontró el perfil del Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX en la plataforma Linkedin, así: Posteriormente, la asesora ingresó a la página web del Hotel Avenida Dann Avenida 19 y en la sección de ‘Contacto’ encontró una dirección de correo electrónico, al cual se remitió la información el día 09 de noviembre de 2021.

Aunado a lo anterior y, una vez analizada la información contenida en el expediente, este Despacho encuentra que tanto LA INVESTIGADA como la sociedad Reintegra S.A.S., aportaron una copia del ‘Formato de vinculación para productos de riesgo’, de fecha 15 de noviembre de 2011, firmado por el Titular, con el que se demuestra la existencia de la obligación. En este formato se encuentra el segmento de declaración y autorización para consultar, reportar y compartir información, en el cual se expone lo siguiente: “(…) La autorización aquí contenida se extiende al grupo Empresarial de BANCOLOMBIA o al que llegare a pertenecer en los términos del numeral 1º del Artículo 119 del Estatuto Orgánico del Sistema Financiero y de los artículos 26 y siguientes de la Ley 222 de 1995 y a sus vinculadas, respectivamente.

Igualmente autoriza a BANCOLOMBIA S.A. y a las entidades que pertenezcan o llegaren a pertenecer a su grupo empresarial, domiciliadas en Colombia y/o en el exterior, para que compartan y accedan a la información y/o documentación referente a mí, “Por la cual se impone una sanción” consignada o anexa a las solicitudes de vinculación, actualizaciones, en los diferentes documentos de depósito y/o crédito u operaciones y/o sistemas de información, así como información y/o documentación relacionada con los productos y/o servicios que poseo en cualquiera de las entidades a las cuales se extiende la presente autorización, en los términos y según las normas señaladas en el parráfo anterior.

(…)”. Ahora bien, es pertinente precisar que si bien en el ‘Formato de vinculación para productos de riesgo’ se encuentra la autorización otorgada por parte del Titular para compartir su información, esta únicamente se refiere a la posibilidad de compartir la información con las entidades que pertenecen al grupo empresarial Bancolombia S.A. y, no hace referencia a terceros ajenos al mencionado grupo como se evidencia en este caso; la información fue compartida por LA INVESTIGADA con la sociedad que en el momento de los hechos era el empleador del Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX y que, de acuerdo con la documentación aportada, no tenía autorización para conocer su información crediticia. Por otra parte, tanto LA INVESTIGADA como la sociedad Reintegra S.A.S., concordaron en establecer que el procedimiento relacionado con la gestión de cobranzas no contempla la posibilidad de que se envíen comunicaciones a los empleadores y que es una conducta prohibida dentro de las políticas y prácticas de calidad de servicios de la sociedad.

En el mismo sentido, la sociedad Reintegra S.A.S. manifestó que la asesora sancionada realizó una búsqueda por medio de Google y encontró el perfil profesional y laboral del Titular XXXXXXXXXXXXXXXXXXXXXX XXXXXXX en la plataforma Linkedin, donde encontró que este laboraba en el Hotel Dann Avenida 19; por tanto, procede a ingresar a la página web del Hotel Dann Avenida 19 y mediante la sección ‘Contacto’ accedió a un correo electrónico al que remitió la información el día 09 de noviembre de 2021.

Así las cosas, evidencia este Despacho que la autorización para compartir información únicamente hacía referencia a las entidades pertenecientes al grupo empresarial Bancolombia S.A. y, por tanto, la información del Titular fue puesta en circulación y conocimiento de un tercero no autorizado. Finalmente, encuentra este Despacho pertinente aclarar que LA INVESTIGADA, en el presente caso, actuó en calidad de Responsable de la información, pues si bien la sociedad Reintegra S.A.S. afirmó que los datos personales de los usuarios se recolectan por medio del ‘Formato de vinculación para productos de riesgo’, este Despacho evidencia que el dato correspondiente al lugar de trabajo del Titular fue recolectado directamente por LA INVESTIGADA, mediante la búsqueda realizada en Google.

Adicionalmente, la sociedad COVINOC S.A. fue quien decidió el tratamiento que impartiría sobre este dato y realizó el tratamiento de manera directa, esto es, compartir la información con el empleador del Titular. (…)”. Por otra parte, en escrito de descargos radicado bajo consecutivos 21-47876120, 21-478761-21 y 21-478761-22 del 27 de junio de 2023, la sociedad COVINOC S.A., manifestó, entre otras cosas, lo siguiente: - - Por medio de un contrato de compraventa, la sociedad Reintegra S.A.S. adquirió de BANCOLOMBIA S.A. un paquete de obligaciones, entre las que se encuentra la obligación No. XXXXXXXXXX, a cargo del señor XXXXX XXXXXXXXXXXXXXXXXXXXXXXX.

Con el objetivo de administrar el portafolio de obligaciones mencionado, la sociedad Reintegra S.A.S. suscribió un contrato de administración con la sociedad COVINOC S.A., razón por la cual esta última se encuentra facultada para adelantar las negociaciones en el pago de las obligaciones; sin embargo, la sociedad Reintegra S.A.S. es la acreedora de las obligaciones referidas.

“Por la cual se impone una sanción” - - - - La gestión de cobranza inicia cuando los asesores se contactan con el deudor para informarle el estado de su obligación y lo invitan a realizar el pago de esta. En el caso del señor XXXXXXXXXXXXXXXXXXXXXXX XXXXXXX el asesor realizó una búsqueda en la plataforma Google, encontrando el perfil de la página Linkedin del titular, se contrastó la información de este perfil con la entregada por el titular en los formatos de vinculación y llamadas, y se identificó que labora en el Hotel Dann Avenida 19.

El asesor ingresó a la página web del Hotel Dann Avenida 19 y en la sección de ‘Contacto’ se encontraron las direcciones de correo electrónico XXXXXXXXXXXXXXXXXXXXXX y XXXXXXXXXXXXXXXXXXXXXXXXXXX. Teniendo en cuenta que no se había podido establecer comunicación con el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, se remitió un correo electrónico a las direcciones referidas anteriormente.

La sociedad COVINOC S.A. afirmó que el correo electrónico no estaba aprobado por la compañía para la gestión del cobro y que, adicionalmente, ha socializado con todos sus empleados la política de protección de datos; sin embargo, en este caso particular se presentó una falta de cuidado por parte del funcionario que efectuó el cobro. La sociedad COVINOC S.A. indicó que en virtud de la autorización otorgada por el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, se encuentra facultada para solicitar información ante terceros con fin de contactar al titular para presentarle las alternativas de pago.

La sociedad investigada afirmó que el formato denominado Actualización de Información de Persona Natural no fue tenido en cuenta y que en este se encuentra la autorización otorgada por el Titular para compartir su información. Adicionalmente, la sociedad COVINOC S.A. presentó alegatos de conclusión, por medio de escrito bajo el número de radicado 21-478761-27 del 10 de octubre de 2023, en el que reiteró lo indicado en el escrito de descargos.

En virtud del material probatorio recaudado por este Despacho, se encontró que, en primer lugar, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX es el titular de la obligación No. XXXXXXXXX; esta obligación fue vendida por BANCOLOMBIA S.A. a la sociedad Reintegra S.A.S., por medio de la compraventa celebrada el día 29 de diciembre de 2020. Posteriormente, la sociedad Reintegra S.A. suscribió un contrato de administración con la sociedad COVINOC S.A., el cual tiene por objeto lo siguiente: “(…) El presente Contrato de Administración tiene como objeto la prestación de servicios profesionales por parte del Administrador consistentes en la administración integral del establecimiento de comercio del Propietario, incluyendo la administración de los Portafolios de Créditos que el propietario adquiera de tiempo en tiempo, y poner a disposición toda su infraestructura física, tecnológica, operativa, administrativa, financiera, contable y jurídica que sea requerida para que el Recaudador realice una adecuada Gestión de Recaudo de los Portafolios de Créditos del Propietario.

(…)”5. En segundo lugar, la sociedad COVINOC S.A. indicó, por medio de comunicación con radicado 21-478761-20 del 28 de junio de 2023, que la gestión del cobro de las obligaciones inicia contactándose con el deudor para informarle que la obligación se encuentra en mora, con el fin de que realice el pago de esta o se llegue a un acuerdo de pago.

Sin embargo, en el caso del Titular XXXXXXXXX XXXXXXXXXXXXXXXXXXXX, no fue posible comunicarse con él razón por la cual la asesora encargada de la gestión del cobro procede a realizar una búsqueda por el nombre del titular en la página web Google, donde encontró el perfil de la plataforma de LinkedIn del titular, así: 5 Radicado número 21-478761-9 del 23 de junio de 2022.

“Por la cual se impone una sanción” Imagen No. 1. Tomada del radicado número 21-478761-20 del 28 de junio de 2023. En el perfil de la plataforma LinkedIn, el asesor encontró que el Titular XXXXX XXXXXXXXXXXXXXXXXXXXXXXX trabajaba en el Hotel Dann Avenida 19 y, posteriormente, contrastó esta información con la entregada por el titular en los formatos de vinculación. La asesora realiza una búsqueda en la página web del Hotel Dann Avenida 19 y en la sección de ‘Contacto’ encuentra las direcciones de correo electrónico ‘XXXXXXXXXXXXXXXXXXXXXX’ y ‘XXXXXXXXXXXXXXXXXXXXXXXXXXXX’.

El día 9 de noviembre de 2021, desde el correo electrónico ‘XXXXXXXXXXXXXXXXXXXXXXX’, la asesora envía un correo electrónico a las direcciones encontradas en la sección de ‘Contacto’ de la página web del Hotel Dann Avenida 19, en el que informó lo siguiente: Imagen No. 2. Tomada del radicado 21-478761-0 del 01 de diciembre de 2021. El Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXX afirmó que no ha dado su autorización para compartir sus datos con terceros; frente a lo cual la sociedad “Por la cual se impone una sanción” COVINOC S.A., por medio de comunicación con radicado número 21-478761-9 del 23 de junio de 2022, indicó lo siguiente: “(…) Se adjunta la autorización previa y expresa suscrita por el titular al momento de solicitar el crédito.

En la autorización adjunta indica lo siguiente: ‘Igualmente autorizo a BANCOLOMBIA S.A., (…) para que comparta y acceda a la información y/o documentación referente a mí, consignada o anexa en las solicitudes de vinculación, actualizaciones, en los diferentes documentos de depósito y/o crédito u operaciones y/o sistemas de información, así como información y/o documentación relacionada con los productos y/o servicios que poseo en cualquiera de las entidades a las cuales se extiende la presente autorización’ No obstante lo anterior, se advierte que los asesores tienen como una conducta grave y prohibida, realizar este tipo de actuaciones, y aunque la autorización exista es una práctica no permitida, por lo que, la entidad tomó los correctivos necesarios con el área encargada respecto de la colaboradora que llevo a cabo la acción. (…)”.

Adicionalmente, por medio de comunicación con radicado 21-478761-20 del 28 de junio de 2023, la sociedad COVINOC S.A. manifestó lo siguiente: “(…) Conforme a este cargo la autorización para el tratamiento de datos personales se encuentra inmerso en el formato de actualización de información persona natural, señala: Bajo la gravedad del juramento manifiesto que todos los datos consignados son ciertos, que la información que adjunto es veraz y verificable, y autorizo su verificación ante cualquier persona natural o jurídica, privada o pública, sin limitación alguna, desde ahora y mientras subsista alguna relación comercial con cualquiera de las entidades que pertenezcan al Grupo Empresarial de Bancolombia o con quien represente sus derechos, y me comprometo actualizar o confirmar la información y/o documentación al menos una vez al año o cada que un producto o servicio lo amerite.

Así las cosas, es de señalar que con la anterior autorización y en virtud de los derechos que le asisten a la entidad acreedora para este caso Reintegra S.A.S y donde Covinoc S.A. opera como administrador de la cartera de propiedad de Reintegra la asesora de cobranzas procedió a solicitar información ante terceros, con el fin de efectuar un llamado para presentarle las alternativas de pago que ofrece el acreedor del crédito para este caso REINTEGRA S.A.S., que le permitan al deudor efectuar la cancelación de las obligaciones que registran pendientes por cancelar.

(…)”. De conformidad con las pruebas aportadas por medio de comunicación con radicado número 21-478761-20 del 28 de junio de 2023, este Despacho evidenció que en el ‘Formato de vinculación para productos de riesgo’ suscrito entre BANCOLOMBIA S.A. y el Titular XXXXXXXXXXXXXXXXXXXXXXX XXXXXXX, documento en el que se soporta la existencia de la obligación No. XXXXXXXXXX, no se encuentra autorización para el tratamiento de datos personales.

Ahora bien, en el documento denominado ‘Actualización de información persona natural’, el cual fue suscrito por el titular, se encuentra la siguiente autorización para el tratamiento de datos: “(…) “Por la cual se impone una sanción” La autorización aquí contenida se extiende al grupo Empresarial de BANCOLOMBIA o al que llegare a pertenecer en los términos del numeral 1º del Artículo 119 del Estatuto Orgánico del Sistema Financiero y de los artículos 26 y siguientes de la Ley 222 de 1995 y a sus vinculadas, respectivamente.

Igualmente autoriza a BANCOLOMBIA S.A. y a las entidades que pertenezcan o llegaren a pertenecer a su grupo empresarial, domiciliadas en Colombia y/o en el exterior, para que compartan y accedan a la información y/o documentación referente a mí, consignada o anexa a las solicitudes de vinculación, actualizaciones, en los diferentes documentos de depósito y/o crédito u operaciones y/o sistemas de información, así como información y/o documentación relacionada con los productos y/o servicios que poseo en cualquiera de las entidades a las cuales se extiende la presente autorización, en los términos y según las normas señaladas en el párrafo anterior.

Con la presente solicitud, se recauda información general del cliente para efectos de una posible actualización y/o vinculación a otras entidades del Grupo empresarial o a otros productos o servicios. En consecuencia, autorizo la remisión de la información y/o documentación a las entidades que sucesivamente me vincule del Grupo empresarial.

Esta autorización implica que las entidades del mismo quedan así mismo facultadas, en los términos requeridos por los artículos 269ª y 269F del Código Penal Colombiano, para entregar o proporcionar acceso a sus proveedores, a sistemas informáticos, bases de datos, ficheros, archivos etc. Que contengan información de los clientes en caso de que así se requiera para la óptima prestación de los servicios.

(Negrillas y subrayas fuera del texto original) (…)”. Este Despacho encuentra que si bien es cierto que el Titular XXXXXXXXXX XXXXXXXXXXXXXXXXXXXX otorgó su autorización para el tratamiento de datos y que en esta se encuentra la posibilidad de compartir información, cabe destacar que esta autorización se extiende únicamente al Grupo Empresarial que comprende BANCOLOMBIA S.A. En este caso, el Hotel Dann Avenida 19 no pertenece al Grupo empresarial de BANCOLOMBIA S.A., pues el hotel es contactado por medio de correo electrónico por ser el empleador del Titular y con la finalidad de comunicarse con el titular a través de este.

Así las cosas, este Despacho evidencia que la sociedad COVINOC S.A. sí compartió información del Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, sin su autorización previa y expresa, con el que sería su empleador en ese momento, el Hotel Dann Avenida 19. A la luz de las disposiciones de la Ley 1581 de 2012, este hecho indica que la sociedad COVINOC S.A. no conservó la información del titular bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, pues la asesora compartió la información del titular con un tercero no autorizado, poniendo así en riesgo la integridad de la información. En consecuencia de lo expuesto, este Despacho encuentra que la sociedad COVINOC S.A. recolectó el dato correspondiente al lugar de trabajo del titular y las direcciones de correo electrónico a donde se envió información relacionada con sus obligaciones crediticias, pues estos fueron recolectados directamente de la plataforma LinkedIn y la página web del Hotel Dann Avenida 19, y no fueron datos suministrados por la sociedad Reintegra S.A.S., en el marco de los negocios celebrados para la administración de cartera.

Aunado a lo anterior, la sociedad COVINOC S.A. fue la que decidió el tratamiento que iba a impartir sobre este dato en específico y la finalidad, pues es la sociedad investigada quien decide contactar al empleador del titular con el propósito de establecer puentes de comunicación con el señor XXXXXXXXXX XXXXXXXXXXXXXXXXXXXX. “Por la cual se impone una sanción” Así las cosas, la sociedad COVINOC S.A. actuó en calidad de Responsable del tratamiento, razón por la cual le asisten los deberes contemplados en el artículo 17 de la Ley 1581 de 2012.

Por las razones antes expuestas, este Despacho encuentra suficientemente acreditado que la sociedad COVINOC S.A. actuó negligentemente al no conservar la información del Titular bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, pues la información del Titular XXXXXXXXXXXXXXXXXXXXXX XXXXXXX fue compartida con terceros no autorizados.

En consecuencia, este Despacho impondrá una sanción pecuniaria a la sociedad COVINOC S.A., en calidad de Responsable del tratamiento, por el incumplimiento al deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

SÉPTIMO: Imposición y graduación de la sanción 7.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Articulo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “(…) Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual ‘(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes’, y que ‘sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores’, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental ( )”.

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por “Por la cual se impone una sanción” parte de todas las entidades de orden nacional6. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “Artículo 313.

Unidad de Valor Básico -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en 6 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVBconforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la Ley 1581 de 2012, en su artículo 24, señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así́: “Artículo 24.

Criterios para Graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por otro lado, y en relación con la imposición de la sanción, el artículo 24 de la misma norma establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 297 de la Constitución Política de Colombia y que, por lo tanto, esta Dirección deberá analizar el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C“Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable.

Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” “Por la cual se impone una sanción” 748 de 2012 proferida por la Corte Constitucional, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e); y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señaló: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad (…)”8. Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la misma norma. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, entre otros.

Del mismo modo, la vulneración del derecho fundamental de Habeas Data no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”9. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia10. Corte Constitucional. Sentencia C-125 del 18 de febrero de 2003. M.P. Marco Gerardo Monroy Cabra. Expediente D-4059. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción” Por lo tanto, atendiendo a los criterios establecidos por el artículo 24 de la Ley 1581 de 2012, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 7.1.1.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infración al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”11. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado que la sociedad COVINOC S.A.S. actuó negligentemente al no conservar la información del titular XXXXXXXXXX XXXXXXXXXXXXXXXXXXXX bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en tanto compartió información relacionada con sus obligaciones crediticias con terceros no autorizados. 7.1.2.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de Corte Constitucional. Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003). Expediente D-4059. M.P. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción” la Superintendencia;

(iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no hubo aceptación en la comisión de la infracción. Se aclara que el literal f) del artículo 24 de la Ley 1581 de 2012 no será tenido en cuenta, en la medida que la sociedad investigada no reconoció la comisión de la infracción. En el caso sub-examine, quedó demostrado que: La sociedad COVINOC S.A. no conservó la información del Titular XXXXXXXXX XXXXXXXXXXXXXXXXXXXX bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, y compartió su información con terceros no autorizados.

Por ello se impondrá una multa de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

OCTAVO: CONCLUSIÓN La sociedad COVINOC S.A. compartió con terceros no autorizados la información del Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, omitiendo así el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, con el correo electrónico de notificación judicial notificacion@covinoc.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-478761. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), “Por la cual se impone una sanción” por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

Parágrafo primero. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 3. COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXXX XXXXXXX, identificado con la cédula de ciudadanía número xxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31 A-36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 11 de octubre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.10.11 12:55:11 -05'00' CAROLINA GARCÍA MOLINA Proyectó: MG Revisó: MF Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COVINOC S.A. NIT. 860.028.462-1 Lenhyz Elizett Tarazona Silva 37.512.592 Calle 19 No. 7-48.

Piso 2 Bogotá D.C. – Colombia notificacion@covinoc.com “Por la cual se impone una sanción” COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXX12 XXXXXXXXXXXXXXXX 12 La Titular no aportó dirección física de notificación.

Resolución sancionatoria N° 76434 de 2024

CONSIDERANDO

RESUELVE