Sanción 13673 de 2025 — SIC

(20 de marzo de 2025) “Por la cual se impone una sanción administrativa” Radicación 21-397106 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 27932 del 11 de mayo de 2022, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa en contra de la sociedad NANOCRED COLOMBIA S.A.S., identificada con NIT.901.400.887-0, en calidad de Responsable del tratamiento de datos, por la presunta contravención de las siguientes disposiciones normativas: “(i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) y Parágrafo del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015”. Que mediante queja presentada el 5 de octubre de 2021 1 por XXXXXXXXXXXXXXX, identificado con cedula de ciudadanía N° XXXXXXXXXX, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la Sociedad NANOCRED COLOMBIA S.A.S., identificada con el Nit. 901.400.887-0, con base en los siguientes hechos e imágenes que la soportan: 1.1. 1.1 “LA EMPRESA NANOCRED PROFIN APP, CON LA CUAL TENGO UN CRÉDITO Y EL CUAL ESTÁ EN MORA HA ESTADO LLAMANDO A LAS REFERENCIAS QUE YO REGISTRÉ Y LES HA DICHO QUE ME ENCUENTRO EN MORA, LES HA INDICADO LOS DÍAS Y EL VALOR QUE LES ADEUDO, LO CUAL ESTÁ PROHIBIDO POR LEY, AHORA POR CULPA DE ESTA ENTIDAD ME ESTOY ENFRENTANDO A UNA DEMANDA YA QUE UNA DE LAS REFERENCIAS ME HA DEMANDADO POR DAÑO AL BUEN NOMBRE YA QUE ME DICE QUE LO METÍ EN PROBLEMAS, EXIJO A ESTA ENTIDAD UN RESARCIMIENTO DEL DAÑO OCASIONADO, LA ENTIDAD ASEGURA ESTAR VIGILADA POR LA SUPERINTENDENCIA FINANCIERA DE COLOMBIA PERO AL PREGUNTAR EL TIPO DE ENTIDAD QUE REGISTRA EN LA MISMA NO SABEN QUÉ RESPONDER, ADJUNTO ENVÍO Rad. 21-397106- -0-0, trasladada por competencia mediante radicado 2021215314-001-000 del 5 de octubre de 2021, por la Superintendencia Financiera de Colombia.

“Por la cual se impone una sanción administrativa”. LAS PRUEBAS DE LA INFORMACIÓN SUMINISTRADA Y POR LA CUAL AHORA ESTOY ENFRENTANDO EL PROCESO DE DEMANDA INDICADO” Imagen 1. Captura de pantalla allegado con la denuncia Rad. 21-397106-4 y 5 Imagen 2. Captura de pantalla allegado con la denuncia Rad. 21-397106-4 y 5 SEGUNDO: Que, teniendo en cuenta las múltiples denuncias recibidas en contra de la sociedad NANOCRED COLOMBIA S.A.S., al expediente 21-397106 han sido acumuladas las quejas radicadas bajo los números 22-63931, 22-70051, 22-82524, 22-142540, 22-140421, 22-175205, 22-103985, 22-146914, 22178103, 22-37562, 22-133769, 22-136085, 22-147007, 22-151576, 22146619, 22-175613, 22-189169, 22-189177, 21-474781, 22-39155, 22145561, 22-99165, 22-158832, 22-136986, 22-65139, 22-65562, 22-140449, 22-64288, 22-191981, 22-213285, 22-211038, 22-236017, 22-237356, 22235515, 22-236548, 22-142515, 22-236425, 22-236437, 22-369001, 22320648, 22-210538, 22-219459, 22-177892, 22-201174, 22-200202, 22228882, 22-213385, 22-207574, 22-191573, 22-212646, 22-123477, 22207826, 22-173075, 22-451120, 22-349760, 22-274291, 22-349621, 22234395, 22-227471, 22-232505, 21-500808, 22-236830, 22-243959, 2237458, 22-236766, 22-236618, 22-236600, 22-243964, 22-240268, 22237510, 22-240414, 22-178103, 22-234481, 22-234457, 22-3482154, 22236573, 22-236575, 22-234535, 22-138790, 23-256473, 23-356314, 22109151, 22-183532.

“Por la cual se impone una sanción administrativa”. 2.1 Que el día 8 de abril de 2022, esta Dirección llevó a cabo una diligencia de inspección a la sociedad NANOCRED COLOMBIA S.A.S., identificada con el Nit. 901.400.887-0, ubicada en la Carrera 45 A N° 95 - 45 de la ciudad de Bogotá D.C., con el fin de recopilar y/o requerir toda la información necesaria en aras de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012, sumado a la indagación y verificación de los hechos manifestados en las quejas elevadas ante esta Superintendencia.

TERCERO: Que con fundamento en los resultados arrojados por la visita de inspección llevada a cabo por este Despacho, la documentación recolectada en desarrollo de la etapa de indagación preliminar y los testimonios recaudados se pudo establecer que: 3.1. De acuerdo con la recepción del testimonio de XXXXXXXXXXXX2, en calidad de Gerente Legal y Oficial de Cumplimiento de la sociedad NANOCRED COLOMBIA S.A.S., quien manifestó que la sociedad se dedica al otorgamiento de créditos digitales a través de la aplicación digital PROFIN APP, son prestamos de bajo monto que oscilan entre los $50.000 a los $2.500.000 de pesos; indica que para el acceso a los servicios de la sociedad, los usuarios pueden descargar en su teléfono celular la aplicación digital PROFIN APP, a través de la cual recolectan los datos e información del interesado en el crédito, la captura de una foto del rostro y foto de la cédula de ciudadanía para el cotejo de la identidad a través de reconocimiento facial realizado directamente por la aplicación y que a través de la misma también se realiza la solicitud de la aceptación de términos y condiciones y autorización para el tratamiento de los datos personales de manera previa. 3.2.

Se realizó la recepción del testimonio de XXXXXXXXXXXXXXXXXXXXXX, Directora Adjunta de IT, quien manifestó que la información recolectada por la aplicación PROFIN APP se almacena directamente en los servidores de China y no tiene la administración remota sobre dichos servidores y solo se encarga de la conectividad local de la infraestructura ubicada en las instalaciones de la sociedad y no cuentacon la documentación de la infraestructura de los servidores y redes de China; adicionalmente al indagarse por la solicitud de la prueba de las autorizaciones otorgadas por los clientes y usuarios de la aplicación, indico que dicha documentación reposa en las oficinas de China.

Frente al contacto que realiza la sociedad con los clientes y usuarios de la aplicación, manifestó que se hace uso de canales telefónicos, (llamadas de voz) y mensajería vía WhatsApp y SMS. Posteriormente se procedió con Directora Adjunta de IT a la realización de una simulación de la línea de crédito digital ofrecido por la sociedad a través de la aplicación PROFIN APP desde el teléfono personal de la funcionaria, de lo cual cuenta conregistro fílmico4 y de donde se evidencio lo siguiente: En el video inicial “vidma_recorder_08042022_142755.mp4”, la Directora Adjunto de IT, inicia la demostración para la solicitud de un crédito desde la aplicación, preinstalada en el dispositivo móvil, al ejecutar la aplicación solicita la creación de una contraseña para el acceso como se observa en la siguiente captura del video.

Acta de Visita Rad. 22-142540-1, pág. 2 (expediente acumulado) Acta de Visita Rad. 22-142540-1, pág. 2 (expediente acumulado) “vidma_recorder_08042022_142755.mp4” “vidma_recorder_08042022_145345.mp4” “vidma_recorder_08042022_150454.mp4” “vidma_recorder_08042022_150914.mp4” “Por la cual se impone una sanción administrativa”. Imagen 3. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Crear Contraseña, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Después de crear la contraseña para acceder a la aplicación, se inicia la recolección de datos para la solicitud del crédito, la sección de información básica solicita los siguientes datos:      Actividad económica. Ingresos mensuales. ¿Cómo se paga tu salario? ¿Cuándo se recibirá el salario? Correo electrónico Imagen 4. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Información Básica, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. Se continúa en la sección de Información básica con los datos de residencia y personales, solicitándose los siguientes datos: Información de residencia    Departamento de residencia. Estrato. Dirección de residencia. Información de Persona     Máximo nivel de estudio. Estado civil.

Cuantos hijos tienes. ¿En qué vas a usar el dinero? (Opcional). Imagen 5. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Información de residencia y personal, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Se continúa con la recolección de las referencias personales o familiares, en esta sección se encuentra el siguiente mensaje: “Los datos de las referencias tienen que ser reales para que no afecten a la solicitud del préstamo”, como se observa a continuación: “Por la cual se impone una sanción administrativa”.

Imagen 6. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Información de contactos, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Se recolectan los datos de contacto: Primer Contacto    Relación. Teléfono celular. Nombre. Segundo contacto    Relación. Teléfono celular.

Nombre. En la parte inferior se observa el mensaje: “Esta información solo se usa en emergencia, no divulgarnos su información de contacto”. cómo se observa a continuación: Imagen 7. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Información de contactos, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. En el diligenciamiento de las dos referencias solicitadas, la aplicación solicita acceso a los contactos del dispositivo móvil del usuario, no es permitido el ingreso del número telefónico de forma manual. A continuación, se observa la solicitud de los permisos, si no se realiza el procedimiento de los contactos no es posible continuar con la solicitud del crédito.

Imagen 8. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Solicitud de permisos a los contactos del dispositivo móvil, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Imagen 9. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Acceso a los contactos del dispositivo móvil, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. La aplicación continúa con la solicitud de subir una imagen del documento de identidad el anverso y reverso, como se puede ver a continuación: Imagen10. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Solicitud de fotografía de la identificación, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

En la parte inferior se observa el mensaje: “La información solo se utiliza para la verificación de identidad. PROFIN APP protegerá la seguridad de su información”. cómo se observa a continuación: Imagen 11. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-mensaje, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. Imagen 12. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Acceso a las fotos del dispositivo móvil, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Imagen 13. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Captura fotográfica del documento de identidad, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Cuando se ingresan las imágenes del documento de identidad, la aplicación solicita confirmar la identidad del titular solicitando los siguientes datos:      Número de cédula de ciudadanía Apellidos Nombres Género Fecha de nacimiento Como se puede ver a continuación: “Por la cual se impone una sanción administrativa”. Imagen 14. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-Captura fotográfica del documento de identidad, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

En la parte inferior se encuentra el siguiente mensaje: “Al continuar, nos autoriza a verificar su información crediticia (Experian, Transunion y/o cualquier otra entidad que llegue a manejar bases de datos) para evaluar su situación general.” Imagen 15. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-mensaje sobre autorización para consulta de centrales de riesgo, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Al dar clic en el botón “Guardar y Continuar”, la aplicación solicita realizar la captura en modo selfie, esta recomienda evitar los siguientes errores, i) No dentro del marco, ii) Sin borrosidad, iii) Fuente de luz y iv) Sin Oclusión, como se puede ver a continuación: “Por la cual se impone una sanción administrativa”. Imagen 16. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP-recomendaciones para la toma de fotografía del titular, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Imagen 17. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP- fotografía del titular, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Al realizar la captura de la fotografía de forma exitosa la aplicación, solicita información Banko, en la parte superior de esta sección se muestra el siguiente mensaje: “Vincula tu cuenta Bancolombia y Nequi para tener la oportunidad de aumentar la cuota a $1.200.000”, como aparece a continuación: “Por la cual se impone una sanción administrativa”.

Imagen 18. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP- mensaje Bancolombia-Nequi, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. En la sección de información Banko se solicitan los siguientes datos:     Seleccione el banco Tipo de Cuenta Número de cuenta bancaria Vuelva a confirmar cuenta bancaria Imagen 19.

Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP- Información Banko, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. En la parte inferior de esta sección se encuentra el siguiente mensaje: “Proporcione de manera correcta su número de cuenta, para así evitar errores al monto de desembolsar el dinero.” y una recordación sobre el uso de nequi, como se puede ver a continuación: Imagen 20.

Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP- mensaje de información confiable y uso de Nequi, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. Una vez se diligencia toda la información según las indicaciones de la aplicación, se da un estimado para la evaluación de la información, revisión de monto que puede adquirir y aprobación del crédito.

Imagen 21. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP evaluación de la solicitud del crédito, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. Después la aplicación indica cual es el monto aprobado y según la cantidad que se va a solicitar se observan en la aplicación las condiciones del crédito, fechas, intereses, costos y consulta del contrato desde la plataforma antes de acceder al crédito autorizado.

Imagen 22. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP evaluación de la solicitud del crédito, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Se habilita y se puede consultar en este paso el “CONTRATO DE PRESTAMO” con las condiciones del crédito como se observa a continuación;

“Por la cual se impone una sanción administrativa”. Imagen 23. Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP Contrato de Préstamo, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Al finalizar el contrato gestionado en la prueba, se observa que también se obtiene la dirección IP, el tipo y modelo del dispositivo, desde donde se gestionó el crédito, como indica el contrato modelo y como se puede observar en la simulación realizada durante la visita: Imagen 24.

Captura del video “vidma_recorder_08042022_142755.mp4” demostración de solicitud de crédito Aplicación PROFIN APP Contrato de Préstamo, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. En el video “vidma_recorder_08042022_150914.mp4”, la Directora Adjunto de IT, continua con la demostración para la solicitud de un crédito desde la aplicación preinstalada PROFIN APP, se observa la aprobación del crédito solicitado, en la plataforma va indicando las condiciones del crédito, como se observa a continuación: “Por la cual se impone una sanción administrativa”.

Imagen 25. Captura del video “vidma_recorder_08042022_150914.mp4” demostración de solicitud de crédito Aplicación PROFIN APP Contrato de Préstamo, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. A elegir las opciones de pago se encuentran las plataformas:       Nequi PSE (WOMPI) Baloto PSE (Payzen) Corresponsal Bancario PSE “Por la cual se impone una sanción administrativa”.

En cada plataforma se encuentra estipulado un costo por la transacción realizada por esta plataforma de pago como se observa a continuación: Imagen 26. Captura del video “vidma_recorder_08042022_150914.mp4” demostración de solicitud de crédito Aplicación PROFIN APP Contrato de Préstamo, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Imagen 27. Captura del video “vidma_recorder_08042022_150914.mp4” demostración de solicitud de crédito Aplicación PROFIN APP plataformas de pago habilitadas en PROFIN APP, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. En la parte inferior se encuentra un aviso de términos y condiciones y política de privacidad, estas son de la plataforma WOMPI utilizada para el pago como se observa a continuación. “Por la cual se impone una sanción administrativa”.

Imagen 28.Captura del video “vidma_recorder_08042022_150914.mp4” demostración de solicitud de crédito Aplicación PROFIN APP términos y condiciones de uso de WOMPI, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. En la simulación realizada en la visita administrativa no se pudo observar la solicitud de autorización para el tratamiento de datos personales, solo permite verse cuando la aplicación es descargada por primera vez.

Sin embargo, esta información se encuentra detallada en la preservación web del 7 de abril de 2022, incorporada al expediente 21-397106-8, pág. 2, continuación se realiza una breve descripción: Al iniciar la aplicación por primera vez, se encuentra el mensaje “Al presionar continuar se entenderá que has revisado, leído y aceptado los términos de nuestro POLITICA DE PRIVACIDAD Y TERMINOS Y CONDICIONES.”, como se puede ver a continuación: Imagen 29.

Captura del documento “6. Paso a Paso autorización tratamiento de datos del cliente en PROFIN APP.pdf” pagina 1, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. Imagen 30. Captura del documento “6. Paso a Paso autorización tratamiento de datos del cliente en PROFIN APP.pdf” pagina 1, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Al dar clic en el botón “Aceptar”, la aplicación solicita acceso a las aplicaciones necesarias para su funcionamiento, como “acceder a contactos, administrar llamadas telefónicas, acceso a las fotos y contenido multimedia envió y visualización de SMS”, al terminar de aceptar los permisos solicitados la aplicación solicita un numero celular al cual se envía un código que después de validado permite ingresar a la aplicación digitando una contraseña para su acceso.

Imagen 31. Captura del documento “6. Paso a Paso autorización tratamiento de datos del cliente en PROFIN APP.pdf” pagina 1, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. En la parte inferior de la pantalla se encuentra un enlace para consultar la Política de Privacidad (POLÍTICA DE PRIVACIDAD DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES DE NANOCRED COLOMBIA S.A.S. PARA PROFIN APP Y SITIOS RELACIONADOS) y los Términos y Condiciones (TÉRMINOS Y CONDICIONES GENERALES PROFIN APP) 3.3.

En el desarrollo de la diligencia de visita administrativa a la sociedad NANOCRED COLOMBIA S.A.S., se realizó inspección ocular a las instalaciones de la sociedad y sobre sus diferentes dependencias, así:  Contact Center de Atención al Cliente. Se realizó entrevista a XXXXXXXXXXXXXXXXXXXX, quien se desempeña como Team Leader Junior, quien en compañía de XXXXXXXXXXXXXXXX, Gerente de Operaciones del Sistema de Atención al Cliente (SAC), indicaron acerca del servicio que este recibe llamadas de los titulares quienes solicitan información, quejas y/o reclamos sobre el servicio prestado.

Realizan gestión telefónica y mensajería instantánea para whatsapp. Se constituyen bases de datos de gestión en formato hoja de cálculo llamada “LINEA DE SERVICIO” donde se observa: i) Fecha, ii) Nombre completo, iii) identificación, iv) Número de Celular, v) Pregunta del titular, vi) estado de PQR y vii)quien lo atendió, el archivo es compartido desde Google Drive a los asesores que hacen parte del servicio al cliente.

Para la gestión a través de la aplicación WhatsApp, se recolecta una base de datos en formato hoja de cálculo llamada “WHAT´S APP” donde se observa la i) Fecha, ii) Nombre completo, iii) identificación, iv) Número de Celular, v) Pregunta del titular, vi) estado de PQR y vii) quien lo atendió, el archivo es compartido desde Google drive a los asesores que hacen parte del servicio al cliente.  Contact Center de Crédito Se realizó entrevista a XXXXXXXXXXXXXXXXX, Team Leader Junior de Crédito, quien en compañía de XXXXXXXXXXXXXXXXXXXX, Gerente de Operaciones del SAC, quienes explicaron el proceso que realizan los analistas de crédito para la operación de la sociedad, después de verificar la información ingresada desde la aplicación Móvil PROFIN APP y si se encuentran dudas en la identidad del titular que presenta la solicitud de un crédito, se realiza una validación de identidad por medio de una llamada telefónica y se le realizan tres preguntas entre las cuales son i) número de cedula, ii) Nombre completo, iii) fecha de Expedición del documento y iv)preferencias registradas en el sistema, se aprueba la identificación con dos o tres respuestas correctas, de lo contrario es denegada la solicitud del préstamo.

Cuando se detecta que uno de los contactos es de un menor de edad indican que estos tampoco son aprobados. Imagen 32. Captura del video “MVI_0147.MP4” Validaciones Contraloría, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. Imagen 33. Captura del video “MVI_0147.MP4” Validaciones registraduría, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes Imagen 34.

Captura del video “MVI_0147.MP4” Validaciones ADRES, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Las validaciones adicionales que se realizan sobre la identidad y datos aportados del solicitante son las consultas a i) Procuraduría, “Consulta de Antecedentes”, ii) Registraduría- “Certificado de estado de cedula”, iii) ADRES- “Administradora de los recursos del sistema General de Seguridad Social en Salud”.  Contact Center de Cobranza Se realizaron entrevistas a varios agentes en los diferentes servicios ubicados en el centro de atención telefónica administrado por NANOCRED COLOMBIA S.A.S. Adicionalmente, se realizó la revisión del documento “7.

Política Gestión de Cobranza NANOCRED COLOMBIA S.A.S. para PROFIN APP 12.01.2022.pdf”, aportado en la visita administrativa y relacionado con la inspección realizada. A continuación, se describen los hallazgos: Imagen 35. Captura del documento “7. Política Gestión de Cobranza NANOCRED COLOMBIA S.A.S. para PROFIN APP 12.01.2022.pdf”, pagina 3 y 4, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. El cobro preventivo y la cobranza se establece mediante las etapas mencionadas a continuación: Imagen 36. Captura del documento “7. Política Gestión de Cobranza NANOCRED COLOMBIA S.A.S. para PROFIN APP 12.01.2022.pdf”, pagina 5, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.  Bucket RM-1 RM0: El servicio se encuentra ubicado físicamente en el segundo piso, se entrevistó a XXXXXXXXXXXXX Gerente de Operaciones y XXXXXXXXXXXXXXXXXXX Team Junior, explicaron el cobro preventivo RM-1, RM0 y el cobro prejurídico, el RM-1 es proceso de cobranza preventiva que realiza la sociedad a sus clientes recordando la obligación de pago que se cumple el día -1 día de moroso y RM0 que se refiere a el día de pago pactado, según el procedimiento de cobranza este proceso es de “Cobro Preventivo”, la cobranza se realiza telefónicamente, se generan promesas de pago y se registra en el sistema de gestión. Desde el aplicativo María se realiza el envío de mensajes de texto masivo, luego se realizan llamadas telefónicas a las referencias.

Se envían mensajes de texto al titular “PROFIN APP: Buen día señor recuerde que hoy es su fecha de vencimiento con la obligación que maneja con PROFIN APP, recuerde que se pagó lo puede hacer por PSE, EFECTY O BALOTO y debe hacerse a más tardar a las 2:00 PM. GRACIAS!!” como se observa a continuación: Imagen 37. Captura del video “IMG_8419.MOV” Mensaje enviados a las referencias, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Se indica que en la sede de calle 72 se realiza la campaña RM-1, desde este día se inicia los contactos por medio de las referencias a pesar de que no hay aun vencimiento de la obligación, que se realiza si el comportamiento del titular de la obligación ha tenido algún incumplimiento en préstamos anteriores.  Bucket M1.1: El servicio se encuentra ubicado físicamente en el tercer piso, se entrevistaron a XXXXXXXXXXXXXXXXXXXXX, Gerente de Operaciones de Cobranza y XXXXXXXXXXXXXXXX, Team Leader de Cobranzas, quienes explicaron el proceso de cobranza que realiza NANOCRED a sus clientes morosos denominado M1.1 que va de 1 a 6 días en mora, según el procedimiento de cobranza este es un “Cobro Administrativo”, la cobranza se realiza telefónicamente, se generan promesas de pago y se registra en el sistema de gestión. “Por la cual se impone una sanción administrativa”.

Este servicio inicia las llamadas a las referencias que el cliente incluyo dentro de la aplicación, cuando no hay contacto con el titular del préstamo. Inicialmente se dejan mensajes para que se comunique con el call center, se realiza una llamada telefónica o envió de mensajes a través de WhatsApp a las referencias para ayudar a ubicar al titular del préstamo, en la revisión se observaron más de dos referencias, que sería la cantidad exigida al solicitar un préstamo, donde indican que en este caso hay 4 porque ha solicitado más de un préstamo y ha cambiado las referencias acumulándolas en la base de la plataforma.

Imagen 38. Captura del video “IMG_8416.MOV” Aplicación de uso para Cobranza, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Imagen 39. Captura del video “IMG_8416.MOV” Aplicación de uso para Cobranza Referencias, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción administrativa”. Imagen 40. Captura del video “IMG_8416.MOV” Mensaje enviados a las referencias, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. Se utiliza un Guión o plantilla relacionada con la ley 1581 de 2012, cuando se realizan las llamadas telefónicas que se encuentra en físico pegado en algunos monitores, con el texto “La llamada está siendo grabada y monitoreada para efecto de control y calidad: Se debe decir en la llamada – “la llamada está siendo grabada y monitoreada conforme a la ley 1581 para el tratamiento de sus datos.”” Imagen 41.

Captura del video “IMG_8419.MOV” Mensaje enviados a las referencias, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

CUARTO: Que, mediante escritos radicados bajo los números 21-397106-27 del 01 de junio de 2022 y 21-397106-28 del 03 de junio de 2022, la sociedad NANOCRED COLOMBIA S.A.S., por intermedio de su apoderado especial, presentó sus respectivos descargos, aportó unas pruebas y solicitó la práctica de otras.

QUINTO: Que mediante Resolución 63986 del 16 de septiembre de 2022 ordenó lo que, a continuación se señala: “ARTÍCULO PRIMERO: INCORPORAR y tener como pruebas, las obrantes a la fecha en el expediente 21-397106, tal como se establece en el numeral cuarto del presente acto administrativo, con el valor probatorio que les corresponda.

ARTÍCULO SEGUNDO: ADMIITIR (sic) como pruebas testimoniales, de conformidad con el numeral quinto, sección 5.1., los siguientes testimonios, los cuales serán citados mediante oficio dentro de los siguientes treinta (30) días hábiles:  Representante Legal de Zinobe Consumer Credits S.A.S. con NIT 901.494.862-1; “Por la cual se impone una sanción administrativa”.  Representante Legal de Compañía Fintech de Colombia S.A.S. con NIT 901.312.084-6;  Representante Legal 890.907.489–0,y; de JFK Cooperativa Financiera con NIT  Representante Legal de Créditos Quick S.A.S. con NIT 901.387.887–5”.

ARTÍCULO TERCERO: RECHAZAR las demás pruebas testimoniales solicitadas por la investigada de conformidad con la sección 5, sub-sección 5.2. del presente acto administrativo”.

SEXTO: Que mediante escrito radicado bajo el número 21-397106-36 del 26 de septiembre de 2022 la sociedad investigada, a través de su apoderado especial, presentó una solicitud de revocatoria directa en contra del acto administrativo 63986 del 16 de septiembre de 2022.

SÉPTIMO: Que mediante Resolución 76525 del 31 de octubre de 2022, la Dirección de Investigaciones de Protección de Datos Personales decidió la mencionada solicitud de revocatoria directa, ordenando lo siguiente: “ARTÍCULO PRIMERO: RECHAZAR la solicitud de Revocación Directa del acto administrativo contenido en la resolución 63986 del 16 de septiembre de 2022 presentada por el apoderado de la sociedad comercial NANOCRED COLOMBIA S.A.S., con NIT. 901.400.887-0, de conformidad con lo expuesto en la parte motiva de la presente.

ARTÍCULO SEGUNDO: DECRETAR de oficio, condicionando su decreto a que la sociedad comercial NANOCRED COLOMBIA S.A.S., con NIT. 901.400.887-0, por conducto de su apoderado, provea los nombres de los representantes legal y sus residencias, domicilios o lugar donde pueden ser citados los testigos, incluyendo los decretados mediante la resolución 63986 del 16 de septiembre de 2022, dentro de un término de cinco (5) días hábiles siguientes a la notificación de la presente, los siguientes testimonios: • Testimonio del Representante Legal de la Compañía de Créditos Rápidos S.A.S., identificada con NIT 900564668–4, con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Solovive S.A.S., identificada con NIT 900924562-8, con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Wadana Finance Colombia S.A.S., identificada con NIT 901228174-1, con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Bancolombia S.A., identificada con NIT 890903938-8, con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Banco Davivienda S.A., identificada con NIT 860034313-7, con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Finky S.A.S., identificada con NIT 901381899-6, con el fin de probar la existencia de costumbre “Por la cual se impone una sanción administrativa”. mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Servicios Crediticios Online de Colombia S.A.S., identificada con NIT 900449259-3 con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Confiar Cooperativa Financiera, identificada con NIT 890981395-1 con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Cooperativa de Ahorro y Crédito Fincomercio Ltda., identificada con NIT 860007327-5 con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia. • Testimonio del Representante Legal de Cooperativa Alianza, identificada con NIT 860024575–7 con el fin de probar la existencia de costumbre mercantil frente al uso de referidos para la solicitud de préstamos en Colombia”. 7.1 Que mediante comunicación radicada bajo el número 21-397106-80 del 09 de mayo de 2023, los señores JOSÉ MIGUEL DE LA CALLE RESTREPO y DANIEL FAJARDO MENDOZA, informaron al Despacho su renuncia al poder que les fue conferido por la sociedad NANOCRED COLOMBIA S.A.S., para representar sus intereses en la presente investigación administrativa.

OCTAVO: Que mediante Resolución 3132 del 13 de febrero de 2024, la Dirección de Investigaciones de Protección de Datos Personales ordenó: “ARTÍCULO 1: INCORPORAR y tener como prueba, las obrantes a la fecha en el expediente 21-397106 con el valor probatorio que les corresponda..

ARTÍCULO 2: PRESCINDIR de los testimonios no practicados por no comparecencia, de acuerdo con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO 3: DECLARAR AGOTADA la etapa probatoria dentro de la presente actuación administrativa.

ARTÍCULO 4: CORRER TRASLADO a la investigada por el término de diez (10) días hábiles a partir de la comunicación de la presente resolución para que rinda los alegatos respectivos (…)” 8.1 Que la Resolución 3132 del 13 de febrero de 2024 le fue comunicada a DIEGO ALBERTO HERRERA PÉREZ, en representación de la sociedad NANOCRED COLOMBIA S.A.S. el 27 de febrero de 2024, según consta en la certificación expedida para el efecto por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 21-397106-94 del 03 de abril de 2024.

Vencido el término concedido para el efecto la sociedad investigada guardó silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

“Por la cual se impone una sanción administrativa”.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los denunciantes, el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) y Parágrafo del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Por tanto, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por las denunciantes, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Del deber de solicitar y conservar copia de la respectiva autorización para el tratamiento de los datos personales.

El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así: Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa”. “DERECHO AL HABEAS DATA EN TRATAMIENTO PERSONALES-Principios y garantías constitucionales DE DATOS El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”6, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los fines y medios esenciales para el tratamiento del dato7”, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal.

Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares de la información, para hacer el respectivo tratamiento de sus datos personales. A su turno los principios de legalidad y libertad establecen un marco dentro del cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados.

En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…) En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica.

La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa”. A su vez, encontramos la categorización especial dada por el legislador a los datos sensibles bajo el entendido que son “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”.

(énfasis añadido). Ahora bien, en el caso objeto de estudio observó este Despacho, en el curso de las actuaciones preliminares adelantadas que la sociedad NANOCRED COLOMBIA S.A.S., administradora de la aplicación móvil PROFIN APP, recolecta datos personales biométricos en el trámite del diligenciamiento de la solicitud de la línea de crédito, para lo cual, si bien solicita autorización para el tratamiento de los datos personales de los usuarios y pone a disposición de los usuarios los links para la consulta de las Política de Privacidad y los Términos y Condiciones, no acreditó haber obtenido las respectivas autorizaciones para el tratamiento de los datos personales recolectados a través esa plataforma.

Lo anterior se evidenció en el desarrollo de la visita administrativa adelantada por este Despacho, cuando al indagarse en la diligencia de declaración rendida por la Directora Adjunta de IT de la sociedad NANOCRED COLOMBIA S.A.S., no demostró contar y/o conservar la prueba de las autorizaciones otorgadas por los usuarios de la aplicación. De otra parte, conforme a lo evidenciado en la diligencia de visita de inspección, dentro del proceso de cobranza que adelanta la sociedad NANOCRED COLOMBIA S.A.S. a través de su contact center, se encuentra realizando el contacto de las personas cuyos datos fueron suministrados por el solicitante del crédito a modo de referencia, sin los respectivos titulares hubiesen otorgado autorización alguna para el tratamiento de sus datos personales, como se aprecia en la siguiente prueba: Imagen 42.

Captura del video “IMG_8416.MOV” Mensaje enviados a las referencias, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes. “Por la cual se impone una sanción administrativa”. Imagen 43. Captura del documento “7. Política Gestión de Cobranza NANOCRED COLOMBIA S.A.S. para PROFIN APP 12.01.2022.pdf”, pagina 25, Imagen obtenida con impresión de pantalla por la Aplicación de Microsoft Windows Recortes.

Al respecto, el entonces apoderado de la sociedad investigada, Doctor JOSÉ MIGUEL DE LA CALLE, sostuvo en su escrito de descargos que “Sea lo primero manifestar que, como ya se ha descrito anteriormente, esta conclusión de la Dirección tiene como fundamento en una supuesta afirmación de la funcionaria XXXXXXXXXXXXXXXXXXXX que nunca existió, incurriendo así en una indebida imputación de cargos en contra de Nanocred, como puede evidenciarse en la misma Resolución. Independientemente de lo anterior, manifestamos que Nanocred no ha vulnerado el deber contemplado en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015 pues sí cuenta con prueba de la autorización otorgada por los usuarios de Profin App, independientemente de que no haya sido posible exhibirla a la Dirección durante la visita de inspección con número de radicado 22-142540, adelantada el 8 de abril de 2022.

Como fue reconocido por la Dirección en la Resolución, y como puede verificarse en el video de demostración del funcionamiento de Profin App que se aporta a estos descargos como Prueba Documental 6, al descargar por primera vez Profin App, es decir antes de que Nanocred recolecte algún dato personal, los usuarios son presentados con el siguiente mensaje: Como igualmente puede verificarse en dicho video, el mansaje (sic) contiene hipervínculos tanto a la “Política de Privacidad y Tratamiento de datos personales en la plataforma PROFIN y sitios relacionados” como a los “Términos y Condiciones Generales de Profin App”: “Por la cual se impone una sanción administrativa”.

(…) Así, se mantiene como evidencia de conservación de la autorización del tratamiento de los datos personales de los usuarios de Profin App el código OTP, como convalidación de su autorización. (…) Así las cosas, es claro que Nanocred, cumple con el principio de libertad dispuesto en la Ley 1581 de 2012, esto por cuanto el tratamiento de los datos se ejerce con el consentimiento, i i) Previo: por cuanto se da a conocer al usuario antes de que acceda a Profin App y antes del registro de sus datos personales, como se puede acreditar en el registro fílmico aportado como Prueba Documental 6. ii ii) Expreso: porque se le da al usuario la facultad de continuar o no con el registro y tramite una vez puesta de presente la Política de Privacidad y Tratamiento de Datos. iii iii) Informado: porque se le pone de presente la Política de Privacidad y Tratamiento de Datos, la cual cumple con los requisitos exigidos por el artículo 12 de la Ley 1581 de 2012” Por lo que se puede concluir con claridad que la Compañía no ha recolectado ni tratado ningún dato personal sin la autorización previa del usuario, de la cual existe evidencia o soporte.

En lo referente a los datos personales sensibles de los usuarios de Profin App, se pone de presente a la Dirección que, por medio del mismo procedimiento descrito anteriormente, Nanocred obtiene la autorización para el tratamiento de los datos personales sensibles de los usuarios de Profin App. En este sentido, como puede evidenciarse en la Política de Tratamiento de Profin App, los titulares son informados de los datos sensibles que serán recolectados y de las finalidades para el tratamiento de estos datos sensibles y se cumplen los requisitos definidos en el artículo 12 de la Ley 1581 de 2012 y el artículo 6 del Decreto 1377 de 2013.

En suma, Nanocred da instrucciones claras a los usuarios de Profin App para que sea informado y acepte el tratamiento de sus datos personales y sus datos personales sensibles, como se procede a detallar: “Por la cual se impone una sanción administrativa”. Frente a los “referidos” que proporcionan los usuarios de Profin App: Con respecto a la figura de “referidos” que proporcionan los usuarios de Profin App, debe ponerse de presente que el uso de referidos con el fin de realizar un estudio del perfil del deudor es una práctica común en el mercado colombiano y específicamente en el mercado de otorgamiento de préstamos.

Los referidos son rutinariamente solicitados por entidades que otorgan préstamos, independientemente si son vigiladas por la Superintendencia Financiera o no. Incluso la Delegatura para la Protección de Datos Personales ha avalado el uso de la figura de referidos y ha establecido que “[a]l respecto, esta Dirección ha sido enfática al señalar que la figura de “referencia”, típica en el ámbito comercial (…) solo puede ser utilizada para efectos de verificar la identidad de la persona con quien ha de entablarse una relación contractual y su comportamiento con las obligaciones adquiridas” De esta forma, y como lo ha reconocido la Delegatura misma, se demuestra la existencia de una costumbre mercantil en el mercado consistente en que: (i) se solicitan referencias personales a un potencial deudor con el fin de realizar un estudio del perfil de este, (ii) esta información la entregue directamente el potencial deudor, y (iii) sea el potencial deudor quien obtenga el consentimiento previo, expreso e informado de los titulares que allegó como referencias para el tratamiento de sus datos personales”.

No obstante, frente a los argumentos expuestos por el apoderado de la sociedad investigada es importante destacar que si bien en el curso de esta investigación administrativa se aportaron las imágenes de algunas autorizaciones otorgadas por los titulares, en el momento de la inspección realizada a las instalaciones de NANOCRED COLOMBIA S.A.S., dichas autorizaciones no fueron suministradas a los funcionarios del Despacho, sustento suficiente para evidenciar falencias en el proceso de conservación de las autorizaciones, conforme a lo previsto por el literal b) del artículo 17 de la Ley 1581 de 2012.

De otra parte, en lo que respecta al segundo hallazgo obtenido en las indagaciones preliminares, es claro que la sociedad investigada ha tenido como práctica el uso de los datos de las referencias de sus usuarios para fines que no le han sido expresamente autorizados por ellos, información que entre otros aspectos irregulares no es proporcionada de manera directa, selectiva y consciente por el solicitante, pues tal como se evidencia en el procedimiento también detallado por el Doctor De la Calle, la aplicación exige el acceso irrestricto a los contactos almacenados en el dispositivo móvil del titular, para después utilizar esa información a su conveniencia y de manera indiscriminada.

Instrucción 3. Autorización acceso a los contactos. Es ahí cuando cobra especial relevancia diferenciar esta conducta de la práctica mercantil que en su momento se propuso acreditar la defensa al solicitar los testimonios de otros agentes de mercado cuyo objeto es la colocación de productos financieros, pues en esos casos, el solicitante tiene la posibilidad de determinar quién es la persona que puede fungir como referencia personal o “Por la cual se impone una sanción administrativa”. comercial con miras a brindar información de su comportamiento crediticio que le permita completar exitosamente el proceso.

Es precisamente en ese contexto que esta Superintendencia ha admitido el uso limitado de las referencias para fines de verificación de identidad o de comportamiento de pago, no así para ejercer acciones coercitivas por medio del círculo cercano del deudor para gestionar el cobro. En este punto, advierte el Despacho la necesidad de hacer hincapié en el impacto negativo que genera la conducta desplegada por la investigada al utilizar datos de los contactos de sus clientes con fines para los cuales, de una parte no se encuentra debidamente autorizada, y de otra genera una afectación a la intimidad de los titulares, deviniendo así en un comportamiento a todas luces abiertamente contradictorio a nuestro ordenamiento jurídico en materia de protección de datos personales.

Conforme a todo lo descrito encuentra acreditado esta Dirección que la sociedad NANOCRED COLOMBIA S.A.S. ha realizado un uso indebido de información biométrica en lo referente a la autorización para el tratamiento de esa categoría especial de datos. Adicionalmente, está plenamente demostrado que tiene una conducta recurrente de usar datos de contacto para fines que no han sido expresamente autorizados por ellos, razón por la cual es procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en ordenar la suspensión de actividades relacionadas con el tratamiento de datos personales, en tanto se acredite el cumplimiento de las medidas correctivas señaladas en el numeral DÉCIMO PRIMERO del presente acto administrativo. 10.2.2 del deber de informar al titular la finalidad a la cual serán sometidos sus datos personales.

Sobre el particular, observó el Despacho que la sociedad investigada no cuenta con material probatorio que acredite el deber que le asiste de informar al titular la finalidad dispuesta para el tratamiento de sus datos personales, así como los derechos que le asisten en virtud de la autorización otorgada. A este respecto, señaló el apoderado de la sociedad lo que, se cita: “Como ya fue demostrado en la respuesta al Cargo Primero, Nanocred sí cuenta con evidencia de la autorización previa, expresa e informada de los titulares usuarios de Profin App.

Esta autorización se otorga a través de la aceptación de la “Política de Privacidad y Tratamiento de datos personales en la plataforma PROFIN y sitios relacionados” y los “Términos y Condiciones Generales de Profin App”. Esta Política de Tratamiento, a la cual pueden acceder los usuarios a través del hipervínculo presentado a los usuarios: De esta forma, una revisión de la Política de Tratamiento da cuenta que Nanocred sí informa a sus usuarios de las finalidades para las cuales serán “Por la cual se impone una sanción administrativa”. tratados sus datos personales y los derechos con los que cuentan en su calidad de titulares, como procederá a demostrarse. 2.2.2.1 Finalidades del tratamiento: El listado de las finalidades aplicables al tratamiento de los datos personales de usuarios de Profin App se encuentra descrito en la Sección 6) de la Política de Tratamiento de Nanocred, como puede evidenciarse a continuación, en la Política de Tratamiento aportada como Prueba Documental 2 y en el video de demostración del funcionamiento de Profin App que se aporta a estos descargos como Prueba Documental 6: (…) 2.2.2.2 Derechos de los titulares: En el mismo sentido, Nanocred también informa a los usuarios de Profin App acerca de sus derechos como titulares al momento de solicitar su autorización, a través de la Política de Tratamiento de Profin App, como puede evidenciarse a continuación y en el mencionado video de demostración: “Por la cual se impone una sanción administrativa”.

(…) Así las cosas, es claro que Nanocred sí informa los usuarios de Profin App, al obtener la autorización para el tratamiento de sus datos personales y sus datos personales sensibles, tanto las finalidades para las cuales serán tratados sus datos personales y datos personales sensibles, como los derechos de estas personas en su calidad de titulares.

Al respecto, se resalta nuevamente que la misma SIC hace uso de este mecanismo tanto para obtener el consentimiento de los titulares, como para informarle a dichos titulares las finalidades para el tratamiento de sus datos personales y de los derechos que les asisten como titulares, creando así una confianza legítima en todos los Responsables del Tratamiento en las actuaciones de la misma autoridad.

No resultando valido entonces reprochar a Nanocred por la adopción del mismo mecanismo usado por la autoridad de protección de datos para informar a los titulares las finalidades del tratamiento de sus datos y sus derechos como titulares. (…) Por ello, no resulta válido ni acertado que la Dirección acuse a Nanocred de no informar a los titulares, antes de obtener la autorización para el tratamiento de sus datos personales y datos personales sensibles, de las finalidades para las cuales serán tratados sus datos personales y sus derechos como titulares.

Esto se desmiente al verificar el proceso implementado por Nanocred para el funcionamiento de Profin App y para la obtención de dicho consentimiento por parte de todos los titulares que descargan dicha aplicación, así como de la revisión de la Política de Tratamiento de Profin App. Sin embargo, una vez revisadas en detalle las pruebas aportadas por el Doctor De la Calle, no se encuentra que en el proceso de descarga de la aplicación PROFIN APP y la posterior solicitud de crédito le sean informadas al titular las finalidades relacionadas con el carácter facultativo del suministro de sus datos de biometría, así como tampoco aquella con el acceso a los contactos almacenados en su celular, para posteriormente ser utilizados en el proceso de cobro de la obligación a ser contraída.

Sobre este punto, es importante destacar que de acuerdo con la Política de Privacidad puesta en conocimiento de los titulares, les es indicado tan solo que: “Por la cual se impone una sanción administrativa”. Así las cosas, a juicio de esta Dirección la sociedad investigada no desvirtuó el segundo cargo formulado por cuanto no acreditó haber informado previamente la totalidad de las finalidades del tratamiento de los datos personales que habrían de ser recolectados, almacenados y usados por medio de la aplicación PROFIN APP, máxime en tratándose de un uso que podría impactar a terceros pertenecientes al círculo del titular, impidiéndole además conocer el alcance de la autorización otorgada y en contravía de la información que se cita en líneas precedentes.

Por todo lo expuesto, se ratifica la sanción contemplada en el literal d) del artículo 24 de la Ley 1581 de 2012.

DÉCIMO PRIMERO: CONCLUSIÓN Por todo lo expuesto, quedó demostrado que la sociedad NANOCRED COLOMBIA S.A.S. realizó tratamiento de datos personales biométricos sin haber acreditado la conservación de la autorización para ese fin. Así mismo, tampoco acreditó la autorización de los titulares para la utilización de los contactos de referencia para la realización de gestiones de cobro.

Igualmente, se pudo evidenciar que la sociedad investigada no cumplió con su deber de informar previamente al titular la totalidad de las finalidades a las cuales serían sometidos sus datos personales, haciendo un uso que excede aquellas que fueran informadas al titular en el trámite de la solicitud de crédito. Consecuencia de todo lo expresado, esta Dirección impondrá a la sociedad NANOCRED S.A.S. la sanción contemplada en el literal b) del artículo 23 de la Ley 1581 de 2012 consistente en suspender las operaciones de tratamiento de datos personales por el término de (6) seis meses en tanto acredite el cumplimiento de las siguientes medidas correctivas: i) La sociedad deberá ajustar e implementar las medidas técnicas de la aplicación PROFIN, utilizada para la solicitud de crédito, con el fin de suprimir la exigencia de acceso a la información biométrica del titular de los datos personales y que permita utilizar mecanismos alternos para la verificación de identidad. ii) La sociedad deberá proporcionar información previa, clara y detallada sobre los permisos que la aplicación solicita, especificando el propósito de cada uno y justificando su necesidad en el funcionamiento de esta, permitiéndoles tomar una decisión informada sobre su uso. iii) La sociedad deberá ajustar e implementar las medidas técnicas de la aplicación PROFIN, utilizada para la solicitud de crédito, con el fin de suprimir la exigencia de acceso a la información de contactos, la galería de fotos y los archivos registrados en el dispositivo móvil del titular. iv) La sociedad deberá acreditar la documentación e implementación de procesos de sensibilización al interior de la compañía para cesar definitivamente el uso de referencias personales para fines distintos a verificar la identidad del solicitante o constatar su capacidad crediticia. Para verificar el cumplimiento de lo ordenado, el investigado deberá demostrar ante esta Dirección: - Copia de los procedimientos implementados y la socialización de estos al interior de la compañía. “Por la cual se impone una sanción administrativa”. - Lista actualizada de permisos: Un documento detallado que incluya todos los permisos que la aplicación solicita actualmente, junto con una explicación de su propósito y justificación. Información sobre la versión publicada: Deberá especificar la versión de la aplicación móvil disponible en las tiendas de aplicaciones (Google Play, App Store) para su descarga pública.

Esto permitirá verificar la eliminación de los permisos señalados en la presente orden y comprobar que la aplicación informa a los usuarios sobre los permisos antes de la instalación. Asimismo, se evaluará si existe un aviso dentro de la aplicación previo a la solicitud de dichos permisos.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 8. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 29, 410 y 611 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo12.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”13 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con ARTÍCULO 23. SANCIONES.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…)” Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción administrativa”. base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional14 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca trascendencia. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia17. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción administrativa”. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2318 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; (…)” 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa”. primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

Así, en la presente causa esta autoridad ha evidenciado un uso indebido de la información biométrica, así como de los datos de contacto de los titulares usuarios de su aplicación móvil PROFIN, y por tanto considera procedente tomar medidas a fin de evitar que se sigan conculcando los derechos de más ciudadanos. Al respecto, se destaca que la Superintendencia de Industria y Comercio ha recibido múltiples denuncias en contra de la sociedad NANOCRED S.A.S., por hechos relacionados con los que son objeto de sanción; acumulando a la presente causa (58) cincuenta y ocho de las comunicaciones recibidas, en las que ene efecto puede apreciarse la afectación que se derivó del uso indebido de la información personal de los titulares, obtenida por parte de la investigada. 12.1.2 Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción.

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del expediente 21397106 a la sociedad NANOCRED COLOMBIA S.A.S., identificada con el Nit 901.400.887-0, con el correo electrónico de notificación judicial legal@nanocred.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-397106. Las sociedades son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción administrativa a la sociedad NANOCRED COLOMBIA S.A.S., identificada con el Nit 901.400.887-0 por la vulneración de lo dispuesto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) y Parágrafo del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 consistente en suspender las operaciones de tratamiento de datos personales por el término de (6) seis meses en tanto acredite el cumplimiento de las siguientes medidas correctivas: “Por la cual se impone una sanción administrativa”. i) La sociedad deberá ajustar e implementar las medidas técnicas de la aplicación PROFIN, utilizada para la solicitud de crédito, con el fin de suprimir la exigencia de acceso a la información biométrica del titular de los datos personales y que permita utilizar mecanismos alternos para la verificación de identidad. ii) La sociedad deberá proporcionar información previa, clara y detallada sobre los permisos que la aplicación solicita, especificando el propósito de cada uno y justificando su necesidad en el funcionamiento de esta, permitiéndoles tomar una decisión informada sobre su uso. iii) La sociedad deberá ajustar e implementar las medidas técnicas de la aplicación PROFIN, utilizada para la solicitud de crédito, con el fin de suprimir la exigencia de acceso a la información de contactos, la galería de fotos y los archivos registrados en el dispositivo móvil del titular. iv) La sociedad deberá acreditar la documentación e implementación de procesos de sensibilización al interior de la compañía para cesar definitivamente el uso de referencias personales para fines distintos a verificar la identidad del solicitante o constatar su capacidad crediticia. Parágrafo: Para acreditar el cumplimiento de lo ordenado, la sociedad investigada deberá allegar a esta Dirección: - Copia de los procedimientos implementados y la socialización de estos al interior de la compañía. Lista actualizada de permisos: Un documento detallado que incluya todos los permisos que la aplicación solicita actualmente, junto con una explicación de su propósito y justificación. Información sobre la versión publicada: Deberá especificar la versión de la aplicación móvil disponible en las tiendas de aplicaciones (Google Play, App Store) para su descarga pública.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad NANOCRED COLOMBIA S.A.S., identificada con el Nit 901.400.887-, a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR el contenido de la presente decisión a los titulares: - xxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx, identificado con cédula de ciudadanía xxxxxxxxxxxxx. Anónimo Anónimo19 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx, identificado con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.

No se cuenta con datos de identificación “Por la cual se impone una sanción administrativa”. - xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx 20 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx 21 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxx 22. xxxxxxxxxxxxx.23 xxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.

Anónimo Anónimo24 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. No se cuenta con datos de identificación No se cuenta con datos de identificación 22 No se cuenta con datos de identificación 23 No se cuenta con datos de identificación 24 No se cuenta con datos de identificación “Por la cual se impone una sanción administrativa”. - xxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxx 25 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx.. xxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía xxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx 26 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx 27 xxxxxxxxxxxxx 28 xxxxxxxxxxxxx 29 xxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxx. xxxxxxxxxxxxx xxxxxxx30 xxxxxxxxxxxxx.31 xxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxxx. xxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxx.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 20 de marzo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.03.20 15:35:49 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG 25 No se cuenta con datos de identificación 26 No se cuenta con datos de identificación 27 No se cuenta con datos de identificación 28 No se cuenta con datos de identificación 29 No se cuenta con datos de identificación 30 No se cuenta con datos de identificación 31 No se cuenta con datos de identificación “Por la cual se impone una sanción administrativa”.

NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: NANOCRED COLOMBIA S.A.S. Nit: 901.400.887-0 DIEGO ALBERTO HERRERA PÉREZ C.C. 7.522.023 legal@nanocred.co Carrera 45 A 95-45 Bogotá D.C. COMUNICACIÓN: Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: Anónimo Anónimo xxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx “Por la cual se impone una sanción administrativa”.

Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxxxx “Por la cual se impone una sanción administrativa”.

Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: Anónimo Anónimo xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx “Por la cual se impone una sanción administrativa”.

Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Dirección: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx Nombre: Identificación: Correo electrónico: xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx

Resolución sancionatoria N° 13673 de 2025

CONSIDERANDO

RESUELVE