Sanción 34528 de 2024 — SIC

REPUBLICA DE CO LO M BIA (28 de junio de 2024) “Por la cual se impone una sanción administrativa” Radicado 21-400890 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad DATSOFT S.A.S., identificada con NIT. 901.316.730-4, por lo que decidió iniciar la presente investigación administrativa y formular cargo único en contra de la sociedad en mención, mediante Resolución No. 66742 del 27 de septiembre de 2022, por la presunta infracción a lo dispuesto en el numeral 5 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la precitada norma.

La mencionada resolución le fue notificada a la sociedad investigada, mediante aviso No. 25816 del 7 de octubre de 2022, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-400890-23 del 10 de octubre de 2022, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación a la denunciante.

SEGUNDO: Que, la sociedad DATSOFT S.A.S. aportó escrito de descargos, junto con anexos, con radicado número 21-400890-24 del 31 de octubre de 2022, argumentando, entre otras cosas, lo siguiente: “(…)

PRIMERO: La entidad asevera que existe una vulneración a la protección de los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXX, toda vez que las consultas del historial crediticio realizadas durante el mes de agosto del 2021, se hicieron sin haber cumplido con los fines previstos en el artículo 15 de la ley 1266 del 2008, entendiendo que la señora XXXXXXXX no cuenta con ningún vínculo contractual con la empresa DATSOFT S.A.S., sin embargo, como se expuso anteriormente en la respuesta anterior, identificada en el expediente con los radicados No. 21- 400890-13 y 21- 400890-14, la empresa DATSOFT S.A.S,. en virtud de la relación contractual que sostiene con las empresas CREDIYES S.A.S. y WEB KAPITAL S.A.S., la empresa DATSOFT S.A.S. se encarga de brindar servicios de perfilamiento y calificación del riesgo de los clientes que solicitan préstamos a través de sus plataformas tecnológicas, entre otras herramientas para realizar el perfilamiento, se realiza (sic) consultas ante centrales de información, para lo cual se cuenta con la respectiva licencia para realizar consultas ante centrales de información. Por lo tanto, al realizar una consulta de un cliente queda una huella de consulta de datsfot (sic) y la empresa aliada, entendido esto como una actividad conexa al estudio de crédito realizado por estas empresas y que en ningún caso la ley prohíbe que tal servicio no pueda ser practicado por un tercero. Al respecto de lo anterior el artículo 15 de la ley 1266 como bien se enunció en el respectivo “Por la cual se impone una sanción administrativa” pliego de cargos provee (sic) que la información financiera de una persona podrá ser consultada “Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente”, sin embargo, no se prohíbe que en virtud de una relación contractual, la parte acreedora de un contrato de mutuo pueda delegar la función de perfilamiento y calificación del riesgo crediticio de sus clientes, a un tercero especializado que cuente con los elementos suficientes para ejecutar dicha función, en virtud de los permisos ya otorgados por los clientes para ejecutar dicha acción, obtenidos de la forma prevista en el literal a del artículo de la ley 1266 del 2008: (…) En este sentido haciendo alusión directa a la relación contractual preexistente de las empresas DATSOFT S.A.S. con WEB KAPITAL S.A.S. y CREDIYES S.A.S., con estas se celebraron contratos de colaboración empresarial para la prestación de servicios de perfilamiento y calificación del riesgo de clientes, y tienen como condición explicita que las empresas WEB KAPITAL S.A.S. y CREDIYES S.A.S. sean las encargadas de recopilar y obtener las autorizaciones para el uso de los datos personales de los clientes, en los términos anteriormente enunciados, incluyendo dentro de sus políticas de tratamiento de datos, la autorización respectiva a nombre de DATSOFT S.A.S. y en todo caso, las autorizaciones otorgadas por medio de las plataformas tecnológicas, que son requisito sine qua non para continuar con el proceso de solicitud de préstamo, pueden ser rastreables y verificables a través de un archivo plano que se descarga de la plataforma, que son extraíbles para su consulta directamente por el área de soporte técnico.

Dicha obligación quedo (sic) consignada en la cláusula segunda de cada contrato celebrado con cada empresa, los cuales se anexan con los presentes descargos. Respecto de la consulta realizada del historial crediticio de la señora XXXXXXXXXXXXXXX XXXxxX, con fecha del 23 de agosto del año 2021, la misma se hizo a nombre de la empresa CREDIYES S.A.S., como un servicio de perfilamiento y calificación del riesgo de la cliente, por una solicitud de préstamo realizada a través de la plataforma tecnológica denominada SE PRESTA, el cual no fue otorgado por no cumplir con las condiciones del mismo, información que en todo caso se aportó en la respuesta del requerimiento anterior, y del cual se aporta con la presente rendición de cargos, el archivo plano de autorización para el tratamiento de los datos personales otorgado con la solicitud respectiva, teniendo en cuenta que dentro del acuerdo y política de tratamiento de datos, se autorizó además a la empresa DATSOFT S.A.S. para realizar las consultas en centrales de riesgo en virtud de los servicios de perfilamiento que se prestan por DATSOFT, dando cumplimiento con esto a los términos enunciados anteriormente del artículos 5 y 15 de la ley 1266 del 2008, y el artículo 9 de la ley 1581 de 2012, sin que hubiera en este caso ninguna vulneración al derecho de habeas data de la señora XXXXXXXXX.

Con base en lo anterior, se solicita sea retirado el cargo formulado en contra de la empresa DATSOFT S.A.S., teniendo en cuenta que los actos de consulta se realizaron en virtud de la relación contractual expuesta con las empresas WEB KAPITAL S.A.S y CREDIYES S.A.S. tal como ya se aclaró anteriormente.

SEGUNDO: Con el fin de dar claridad sobre los contratos aportados, es necesario aclarar que los mismos se aportaron como muestra de los diferentes productos a los que había accedido la señora XXXXXXXXXXXXXXXXXXX, con otra de nuestras empresas aliadas, como lo es WEB KAPITAL S.A.S., con la cual también se celebró un contrato de colaboración empresarial y se ha desarrollado la política de tratamiento de datos incluyendo dentro de las autorizaciones para el uso de los mismos a la empresa DATSOFT S.A.S., tal y como se puede observar en las políticas publicadas directamente en la plataforma.

Los contratos se anexaron como prueba del procedimiento desarrollado para adquirir los préstamos a través de las plataformas tecnológicas y en tales casos se realizó el servicio de perfilamiento y calificación del riesgo en los términos estipulados en el artículo 15 de la ley 1266 del 2008. Dichos contratos se aportaron como muestra, sin embargo, no guardan ninguna relación con la consulta realizada el 23 de agosto del año 2021, por la cual se formularon los cargos que son objeto de investigación en este caso, la consulta realizada durante el año 2021 se hizo a solicitud de la empresa CREDIYES S.A.S., en virtud de una solicitud de préstamo realizada a través de la plataforma tecnológica SE PRESTA, de la cual se anexa la evidencia correspondiente, habiendo obtenido todas las autorizaciones para el tratamiento de datos por parte de CREDIYES S.A.S. y DATSOFT S.A.S. tal y como se puede observar en las políticas publicadas en la plataforma y de la cual se anexa el respectivo archivo plano obtenido directamente de la plataforma mencionada, no obstante, el préstamo se negó porque durante el estudio de crédito se determinó que la señora XXXXXXXXXXXXXXXXXX, no cumplía con las condiciones para acceder a tales servicios, por tal motivo la información se consultó como “Por la cual se impone una sanción administrativa” objeto de análisis para establecer una relación contractual de mutuo, específicamente con el fin de realizar el perfilamiento y calificación del riesgo del cliente, por orden de la empresa CREDIYES S.A.S., en virtud del contrato de colaboración suscrito con la empresa DATSOFT S.A.S., el cual se anexa, siendo esta la única consulta realizada al historial crediticio de la señora XXXXXXXX, lo cual como ya se expuso se encuentra justificado dentro del modelo de negocio y operación desempeñado y en tal sentido, no se puede deducir de dicho actuar, que se hubieran vulnerado los derechos de la Señora XXXX al habeas data, ni tampoco que se hubiera transgredido la ley en este sentido.

(…)”1.

TERCERO: Que, mediante Resolución No. 51784 del 30 de agosto de 2023 se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

CUARTO: Que, la sociedad DATSOFT S.A.S. no presentó escrito de alegatos de conclusión.

QUINTO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

SEXTO: Análisis del caso 6.1. Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”2. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de la información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio.

Radicado No. 21-400890-24 del 02 de noviembre de 2022. Corte Constitucional. Sentencia C-1011 de 2008. Octubre 16 de 2008. Expediente PE-029. M.P. Jaime Córdoba Triviño. “Por la cual se impone una sanción administrativa” (ii) El incumplimiento de lo señalado dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 18 de la Ley 1266 de 2008.

(iii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo dispuesto en el numeral 5 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos expuestos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 6.2.

Valoración probatoria y conclusiones 6.2.1. Respecto del deber de cumplir con las obligaciones derivadas de la Constitución o la Ley 1266 de 2008 El artículo 9 de la Ley 1266 de 2008 establece los deberes de los usuarios de la información, preceptuando en su numeral 5 lo siguiente: “(…) Artículo 9. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: (…) 5.

Los demás que se deriven de la Constitución o de la presente ley. (…)”. El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos3.

Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que, aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente 4.

En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente: “(…) La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales (Negrilla fuera del texto original).

(…)”. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso libre, esto derivaría, en principio, en la Ídem. La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto”.

Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil. En estos supuestos, habrá que concluir que los datos son semiprivados porque también interesan a un grupo de personas. Ídem.

“Por la cual se impone una sanción administrativa” violación a su derecho de Habeas Data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad. Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado.

Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando dicha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así: “(…) Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal.

En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”.

(Negrilla fuera de texto original) “Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulación restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos.

Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo creditico.”.

(Negrilla fuera del texto original) Aunado a lo anterior, se tiene que el artículo 15 del cuerpo normativo en cita señala las finalidades por las cuales los usuarios pueden acceder a la información de la siguiente manera: “Artículo 15. Acceso a La Información Por Parte De Los Usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Negrilla fuera del texto original) No obstante, la Corte expresó el límite que tienen los usuarios para acceder a la información contemplada en la Ley 1266 de 2008, indicando que “(…) para el caso de los usuarios, la posibilidad de acceder al dato estará restringida tanto por la finalidad de acopio de la información autorizada por el titular del dato, como por el cumplimiento del principio de confidencialidad previsto en el artículo 4 de la norma estatutaria” (Negrilla fuera del texto original).

“Por la cual se impone una sanción administrativa” En ese orden de ideas, queda claro que el acceso a los datos financieros de un titular por parte de los usuarios se limita únicamente a i) establecer y mantener una relación contractual, siempre y cuando, el titular de los datos lo hubiere solicitado, o ii) evaluar los riesgos de una relación contractual vigente, pues de no ser así, se requerirá contar con el consentimiento previo, expreso e informado del sujeto concernido.

Ahora bien, a la luz de lo previsto en el literal d)5 del artículo 3 de la Ley Estatutaria 1266 de 2008, la sociedad DATSOFT S.A.S. tiene la calidad de usuario de la información en virtud de que la misma accedió al historial crediticio de la señora XXXXXXXXXXXXXXXXXXXXXX en el mes de agosto de 2021. Así las cosas, la sociedad investigada está obligada a cumplir una serie de requisitos legales para acceder a la información de acuerdo con lo establecido por la Ley Estatutaria 1266 del 2008.

Respecto de lo anterior, el artículo 15 de Ley Estatutaria 1266 de 2008 prevé las situaciones en las cuales los Usuarios de la información pueden acceder a la misma: i) como elemento de análisis para establecer y mantener una relación contractual, así como para la evaluación de los riesgos derivados de una relación contractual vigente; ii) como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas; iii) para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente; y iv) para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. La Corte Constitucional cuando estudió la norma en mención, mediante sentencia C-1011 del 16 de octubre de 2008, precisó lo siguiente: “Al respecto, se parte de considerar que la finalidad de la administración de datos personales de contenido comercial y financiero es determinar el nivel de riesgo crediticio del sujeto concernido.

En otras palabras, la actividad que realizan las centrales de riesgo es suministrar a los participantes del mercado económico información acerca de las posibilidades que una persona natural o jurídica incumpla en el pago de una obligación futura. Así, la determinación del riesgo es una actividad previa al perfeccionamiento de contratos comerciales o de crédito entre el usuario de la información y el sujeto concernido.

Esta comprobación es importante a la hora de determinar la legitimidad constitucional de la restricción al principio de libertad que propone un grupo de intervinientes. Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer información de un cliente potencial específico, a fin de celebrar contratos también definidos.

A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que a motivado que la entidad o empresa correspondiente realice una investigación sobre su historial de cumplimiento. Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes interesadas en el perfeccionamiento del contrato futuro.

En este marco, la presunta eliminación del consentimiento del titular para la incorporación del dato financiero y crediticio a la base de datos, permitiría que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios.

Este escenario, a juicio de la Corte, constituye una expresión de abuso en el ejercicio del poder informático de los operadores y usuarios de la información. Ello es así puesto que si la justificación constitucional de la recolección de datos personales de carácter crediticio es que el direccionamiento de los recursos del crédito a quienes honran debidamente sus obligaciones crediticias es un factor relevante para el sostenimiento de la estabilidad financiera, un uso indiscriminado del dato, que no consulta esa necesidad de distribución adecuada de los recursos de crédito, sino otras finalidades desconocidas para el titular, desvirtúa esos objetivos y se torna contrario a la Constitución.” (Destacado fuera del texto original) Teniendo en cuenta lo expuesto, se concluye lo siguiente de la lectura integral y armónica del artículo 15 de la Ley Estatutaria 1266 de 2008 y del extracto jurisprudencial en cita: 5 Artículo 3°.

El usuario no puede unilateralmente atribuirse dicha facultad. Lo anterior, conforme a lo dispuesto en los numerales 1.3. y 3.2. del artículo 6 de la Ley Estatutaria 1266 de 2008, cuyo texto ordena lo siguiente: “ARTÍCULO 6o. DERECHOS DE LOS TITULARES DE LA INFORMACIÓN. Los titulares tendrán los siguientes derechos: (…) 1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario.

(…) 3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo previsto en la presente ley. (…)”. En segundo lugar, para la Corte Constitucional se constituye como una conducta abusiva “que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios” 6.

Finalmente, una vez se esté habilitado para acceder a esa información, la misma solo se podrá utilizar para los fines indicados en el artículo 15 de la Ley 1266 de 2008. Si la finalidad de acceso no se encuentra dentro de las permitidas en la norma en cita, entonces el usuario deberá solicitar autorización para poder emplear los datos para otros propósitos diferentes a los establecidos en la regulación en comento.

En dicho sentido, señala la Corte Constitucional que “debe resaltarse que si bien la norma permite que el consentimiento se preste en “forma general”, ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, manifestar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario.

Así, dicha generalidad se predicará de las distintas finalidades autorizadas, sin que signifique la legitimidad de una cláusula abierta, que no identifique claramente los propósitos para el citado acceso por los usuarios. En efecto, si bien la norma hace referencia a “cualquier otra finalidad”, en todo caso exige que “se haya obtenido autorización por parte del titular de la información”7.

Retomando el caso que nos ocupa, es imperioso señalar que la investigación administrativa de la referencia tuvo su génesis en la denuncia radicada ante esta Superintendencia el 7 de octubre de 2021, bajo consecutivos 21-400890-0 y 21-400890-1. En su escrito de denuncia la Titular de la información señala que la sociedad DATSOFT S.A.S., persona jurídica a quien afirma desconocer, realizó una consulta a su historia de crédito, sin contar con su autorización. En virtud de los hechos denunciados y con el propósito de reunir los elementos de juicio suficientes, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de Información Experian Colombia S.A., bajo el radicado número 21-400890-8 del 29 de abril de 2022, para que suministrara la siguiente información: “Informen y acrediten si la sociedad DATSOFT S.A.S., identificada con NIT. 901.316.730-4, realizó consulta(s) a la historia de crédito de la Titular XXXXXXXXXXXXXXXXXXXXXXX, identificado (sic) con cédula de ciudadanía número XXXXXXXXX, durante el mes de agosto de 2021.” En respuesta al requerimiento en cita, el Operador de Información Experian Colombia S.A. indicó, mediante comunicación con radicado número 21-400890-15 del 24 de mayo de 2022, que “(…) la Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5.

Artículo 5º - Circulación de la información Ibidem. Considerando 3.4.6. Acceso a la información por parte de los usuarios (artículo 15). “Por la cual se impone una sanción administrativa” mencionada sociedad consulto (sic) el historial crediticio del titular en una (1) oportunidad, el día 23 de agosto de 2021, bajo la huella de consulta DATSOFT S.A.S.”.

Por otra parte, esta Dirección requirió a la sociedad DATSOFT S.A.S., por medio de oficio con radicado número 21-400890-11 del 29 de abril de 2022, para que informara, entre otras cosas, lo siguiente: “(…) 1. Informen y acrediten la finalidad de la(s) consulta(s) realizadas(s) a la historia de crédito de la Titular XXXXXXXXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía No. XXXxXXXXX, en el mes de agosto del 2021.

En caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remitan copia de la autorización otorgada por parte de la Titular de la información. 2. Manifiesten si la Titular XXXXXXXXXXXXXXXXXXXXXX, tiene o ha tenido una relación contractual o comercial con la sociedad DATSOFT S.A.S. De ser así, remitan copia del contrato o documento que acredite dicha relación. (…)”.

En respuesta al requerimiento referenciado anteriormente, la sociedad DATSOFT S.A.S. indicó, por medio de comunicaciones con radicado número 21-400890-13 y 21-400890-14 del 13 de mayo de 2022, entre otras cosas, lo siguiente: “(…) Con el fin de responder a cada uno de los requerimientos realizados por la presente autoridad administrativa, es necesario aclarar lo siguiente.

De parte de nuestra empresa DATSOFT S.A.S., en calidad de proveedores tecnológicos, nuestra función principal es poner a disposición de empresas aliadas en este caso CREDIYES, nuestra plataforma tecnológica para realizar consultas ante centrales de riesgo que funcionan en el país, tales como DATACREDITO EXPERIAN o CIFIN. En este sentido nuestra empresa DATSOFT S.A.S. realiza las consultas en las centrales de riesgo de información financiera que operan en el país, de los clientes de las empresas aliadas en este caso CREDIYES S.A.S., la cual a través de sus plataformas tecnológicas y en el ejercicio de su actividad empresarial como prestadores de bajo (sic) de (sic) dinero a bajo monto, contando con la respectiva autorización de los titulares de la información que solicitan prestamos (sic) en estas, puedan revisar el historial crediticio de los solicitantes y de esta forma determinar la viabilidad y el monto aprobado para el préstamo solicitado, siendo nuestra empresa DATSOFT S.A.S. la encargada de facilitar los canales de acceso a la información financiera para las empresas aliadas, a través de la licencia adquirida para tales fines, sin mediar en ningún momento con los solicitantes de préstamos que acuden ante estas.

Ahora bien, respecto al uso de la información y datos personales, cada una de nuestras empresas aliadas ha incluido dentro de su política de administración y uso de datos personales, la posibilidad de que tanto la empresa administradora como DAFTSOFT S.A.S., puedan realizar consultas y anotaciones en el historial crediticio de los titulares de información en virtud de los préstamos solicitados y adquiridos, lo anterior teniendo en cuenta que el titular de la licencia para acceder a las centrales de información financiera es nuestra empresa DAFTSOFT S.A.S., en este sentido, si uno de nuestros aliados realiza una consulta ante estas centrales por intermedio de nuestra plataforma, la huella de consulta se reflejará a nombre de nuestra empresa, aunque hubiere sido realizada por alguna de nuestras aliadas, contando previamente con la autorización de la política de tratamiento de datos y uso de la información respectiva, y en caso de realizar una anotación en el historial crediticio de un deudor moroso, la misma se verá reflejada tanto a nombre de nuestra empresa DAFTSOFT S.A.S. como del aliado que hubiere registrado el reporte.

Con base en la aclaración anterior, nos disponemos a contestar a cada uno de los requerimientos formulados por la entidad. (…) R/ Teniendo en cuenta las consideraciones anteriores, sobre el caso de la señora XXXX XXXXXXXXXXXXXXXX, se pudo evidenciar que por parte de uno (sic) de nuestras aliadas, a través de la plataforma denominada SE PRESTA, de la cual es propietaria la empresa CREDIYES, se realizaron las siguientes consultas desde el mes de Agosto (sic), a la fecha: “Por la cual se impone una sanción administrativa” De lo anterior se evidencia que efectivamente durante el mes de agosto del año 2021 se hicieron las anteriores 2 consultas en centrales de riesgo, la primera el día 23 y la segunda el día 25, lo anterior teniendo en cuenta que la señora XXXXXXX solicitó un préstamo a través de la plataforma SEPRESTA, que es la Fitech de una de nuestras empresas aliadas CREDIYESS S.A.S., la cual realizo (sic) las anteriores consultas a través de nuestros canales de información con el fin de determinar la viabilidad de celebrar el futuro contrato de mutuo con la señora Xxxx, por el monto de dinero solicitado por esta, y así mismo determinar el nivel de riesgo que tendría con dicha operación, los cuales son fines permitidos para el uso de la información financiera, con base en el artículo 15 de la ley 1266 del 2008.

Finalmente, con la información suministrada el préstamo fue negado. Por otra parte a través de la plataforma PRESTA EN LINEA, la empresa WEBKAPITAL S.A.S. también, habría hecho una consulta en centrales de riesgo, el día 2 de Febrero del año 2022, través de los canales habilitados para tales fines en nuestra plataforma de la empresa DAFTSOFT S.A.S. con el fin de terminar la viabilidad de conceder el préstamo a través de un contrato de mutuo a la señora XXXXXXX y determinar el nivel de riesgo de tal operación, el cual efectivamente fue aprobado y los documentos de tal negocio se adjuntan junto con el presente documento.

En ambas casos, la señora XXXXXXXXXXXX acepto (sic) los términos de uso y condiciones de la plataforma, así como la política de privacidad, los cuales se encuentran publicado (sic) directamente en la plataforma, visibles para todo el público y que además incluyen la autorización respectiva a nuestra empresa DAFTSOFT S.A.S. para realizar consultas y reportes ante las respectivas centrales de riesgo en caso de ser requerido por alguna de nuestras empresas aliadas.

(…) R/ Como se explicó anteriormente, la señora XXXXXXXXXXXXX no ha adquirido ningún producto directamente con nuestra empresa, sin embargo, si adquirido (sic) un préstamo con una de nuestras empresas aliadas, WEBKAPITAL S.A.S., producto del cual se adjuntan todos los comprobantes requeridos, y ha sido esta la que en su momento ha realizado las consultas de la señora XXXXXXXX, través (sic) de nuestros canales de información habilitados en nuestra plataforma, con la respectivo (sic) autorización de la titular de los datos desde el momento que acepto (sic) los términos de uso y administración de datos personales y la política de privacidad, ahora bien, dicha relación contractual de mutuo celebrado entre “Por la cual se impone una sanción administrativa” WEBKAPITAL S.A.S. y la señora XXXXXXXX, no tiene ninguna relación con la empresa DAFTSOFT S.A.S. toda vez como aliado tecnológico, DAFTSOFT S.A.S. solo habilita a través de su plataforma, los canales de acceso para que WEBKAPITAL S.A.S. realice las consultas de información y los reportes ante las respectivas centrales riesgo exclusivamente.

(…)”. En virtud de lo expuesto en líneas precedentes, este Despacho evidenció por medio de la Resolución No. 66742 del 27 de septiembre de 2022, que: “En el caso objeto de estudio, la Titular manifestó que LA INVESTIGADA, realizó una consulta a su historial de crédito ante los Operadores de Información en el mes de agosto del 2021, sin haber otorgado autorización previa para ello.

Esto se encuentra preliminarmente demostrado, pues de acuerdo con la respuesta al requerimiento realizado por este Despacho, al Operador de Información EXPERIAN COLOMBIA S.A. a través del radicado 21-400890-8 del 29 de abril del 2022, y remitida mediante radicado 21-400890-15 del 25 de mayo de 2022, manifestó que LA INVESTIGADA efectivamente consultó el historial crediticio de la Titular el día 23 de agosto del 2021 bajo la huella de consulta DATSOFT S.A.S., como se aprecia a continuación: (…) Por otro lado, respecto a la consulta con fines comerciales, amparada en lo dispuesto en el artículo 15 e la Ley 1266 de 2008, se tiene que la sociedad DATSOFT S.A.S. no aportó documento donde conste la relación contractual, pues únicamente allegó un contrato donde: 1) No consta el vínculo contractual entre DATSOFT S.A.S. y la Titular; 2) Dicho contrato es posterior a la huella de consulta realizada en la historia crediticia de la titular el día 23 de agosto de 2021, pues el contrato fue suscrito el día 23 de febrero de 2022, como se evidencia a continuación: (…) Es importante señalarle a LA INVESTIGADA, que las afirmaciones que no se encuentran soportadas por algún medio de prueba adicional, carecen de fuerza probatoria al ser valoradas dentro del acervo.

Pues de lo contrario, el hecho de probar estos supuestos de ley únicamente a través de afirmaciones de parte, legitimaría entre otras, cualquier consulta amparada en la presunta configuración de una sociedad comercial, lo que resultaría preliminarmente en una clara vulneración al derecho fundamental de habeas data. De igual modo, este despacho no evidenció prueba alguna donde conste que, realmente la sociedad DATSOFT S.A.S. cuenta con una relación contractual o comercial con la titular, asó (sic) como prueba que acredite la finalidad de la consulta realizada en la historia de crédito de la Titular, en el mes de agosto de 2021.

Por lo tanto, y en vista de que no existe prueba acerca del supuesto antes mencionado, no se demostró que la consulta realizada por LA INVESTIGADA al historial crediticio de la señora XXXXXXXXXXXXXXXXXXXXXX, se hubiese realizado con fines comerciales y en virtud de una relación contractual o comercial con la titular. En consecuencia, se puede concluir preliminarmente que LA INVESTIGADA consultó el historial crediticio de la Titular sin tener una finalidad legítima establecida, de aquellas consagradas dentro del artículo 15 de la Ley 1266 de 2008.

Es por esta razón que el Despacho encuentra que la conducta realizada por LA INVESTIGADA preliminarmente se subsume típicamente en una presunta transgresión al deber consagrado en el numeral 5 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la mencionada Ley.” “Por la cual se impone una sanción administrativa” En cuanto a lo anterior, la sociedad investigada presentó escrito de descargos, junto con anexos, con radicado número 21-400890-24 del 31 de octubre de 2022, argumentando, entre otras cosas, lo siguiente: “(…)

PRIMERO: La entidad asevera que existe una vulneración a la protección de los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXX, toda vez que las consultas del historial crediticio realizadas durante el mes de agosto del 2021, se hicieron sin haber cumplido con los fines previstos en el artículo 15 de la ley 1266 del 2008, entendiendo que la señora XXXXXXXX no cuenta con ningún vínculo contractual con la empresa DATSOFT S.A.S., sin embargo, como se expuso anteriormente en la respuesta anterior, identificada en el expediente con los radicados No. 21- 400890-13 y 21- 400890-14, la empresa DATSOFT S.A.S,. en virtud de la relación contractual que sostiene con las empresas CREDIYES S.A.S. y WEB KAPITAL S.A.S., la empresa DATSOFT S.A.S. se encarga de brindar servicios de perfilamiento y calificación del riesgo de los clientes que solicitan préstamos a través de sus plataformas tecnológicas, entre otras herramientas para realizar el perfilamiento, se realiza (sic) consultas ante centrales de información, para lo cual se cuenta con la respectiva licencia para realizar consultas ante centrales de información. Por lo tanto, al realizar una consulta de un cliente queda una huella de consulta de datsfot (sic) y la empresa aliada, entendido esto como una actividad conexa al estudio de crédito realizado por estas empresas y que en ningún caso la ley prohíbe que tal servicio no pueda ser practicado por un tercero. Al respecto de lo anterior el artículo 15 de la ley 1266 como bien se enunció en el respectivo pliego de cargos provee (sic) que la información financiera de una persona podrá ser consultada “Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente”, sin embargo, no se prohíbe que en virtud de una relación contractual, la parte acreedora de un contrato de mutuo pueda delegar la función de perfilamiento y calificación del riesgo crediticio de sus clientes, a un tercero especializado que cuente con los elementos suficientes para ejecutar dicha función, en virtud de los permisos ya otorgados por los clientes para ejecutar dicha acción, obtenidos de la forma prevista en el literal a del artículo de la ley 1266 del 2008: (…) En este sentido haciendo alusión directa a la relación contractual preexistente de las empresas DATSOFT S.A.S. con WEB KAPITAL S.A.S. y CREDIYES S.A.S., con estas se celebraron contratos de colaboración empresarial para la prestación de servicios de perfilamiento y calificación del riesgo de clientes, y tienen como condición explicita que las empresas WEB KAPITAL S.A.S. y CREDIYES S.A.S. sean las encargadas de recopilar y obtener las autorizaciones para el uso de los datos personales de los clientes, en los términos anteriormente enunciados, incluyendo dentro de sus políticas de tratamiento de datos, la autorización respectiva a nombre de DATSOFT S.A.S. y en todo caso, las autorizaciones otorgadas por medio de las plataformas tecnológicas, que son requisito sine qua non para continuar con el proceso de solicitud de préstamo, pueden ser rastreables y verificables a través de un archivo plano que se descarga de la plataforma, que son extraíbles para su consulta directamente por el área de soporte técnico.

Dicha obligación quedo (sic) consignada en la cláusula segunda de cada contrato celebrado con cada empresa, los cuales se anexan con los presentes descargos. Respecto de la consulta realizada del historial crediticio de la señora XXXXXXXXXXXXXXXX XXXXX, con fecha del 23 de agosto del año 2021, la misma se hizo a nombre de la empresa CREDIYES S.A.S., como un servicio de perfilamiento y calificación del riesgo de la cliente, por una solicitud de préstamo realizada a través de la plataforma tecnológica denominada SE PRESTA, el cual no fue otorgado por no cumplir con las condiciones del mismo, información que en todo caso se aportó en la respuesta del requerimiento anterior, y del cual se aporta con la presente rendición de cargos, el archivo plano de autorización para el tratamiento de los datos personales otorgado con la solicitud respectiva, teniendo en cuenta que dentro del acuerdo y política de tratamiento de datos, se autorizó además a la empresa DATSOFT S.A.S. para realizar las consultas en centrales de riesgo en virtud de los servicios de perfilamiento que se prestan por DATSOFT, dando cumplimiento con esto a los términos enunciados anteriormente del artículos 5 y 15 de la ley 1266 del 2008, y el artículo 9 de la ley 1581 de 2012, sin que hubiera en este caso ninguna vulneración al derecho de habeas data de la señora XXXXXXxxXX.

SEGUNDO: Con el fin de dar claridad sobre los contratos aportados, es necesario aclarar que los mismos se aportaron como muestra de los diferentes productos a los que había accedido la señora XXXXXXXXXXXXXXXXX, con otra de nuestras empresas aliadas, como lo es WEB KAPITAL S.A.S., con la cual también se celebró un contrato de colaboración empresarial y se ha desarrollado la política de tratamiento de datos incluyendo dentro de las autorizaciones para el uso de los mismos a la empresa DATSOFT S.A.S., tal y como se puede observar en las políticas publicadas directamente en la plataforma.

Los contratos se anexaron como prueba del procedimiento desarrollado para adquirir los préstamos a través de las plataformas tecnológicas y en tales casos se realizó el servicio de perfilamiento y calificación del riesgo en los términos estipulados en el artículo 15 de la ley 1266 del 2008. Dichos contratos se aportaron como muestra, sin embargo, no guardan ninguna relación con la consulta realizada el 23 de agosto del año 2021, por la cual se formularon los cargos que son objeto de investigación en este caso, la consulta realizada durante el año 2021 se hizo a solicitud de la empresa CREDIYES S.A.S., en virtud de una solicitud de préstamo realizada a través de la plataforma tecnológica SE PRESTA, de la cual se anexa la evidencia correspondiente, habiendo obtenido todas las autorizaciones para el tratamiento de datos por parte de CREDIYES S.A.S. y DATSOFT S.A.S. tal y como se puede observar en las políticas publicadas en la plataforma y de la cual se anexa el respectivo archivo plano obtenido directamente de la plataforma mencionada, no obstante, el préstamo se negó porque durante el estudio de crédito se determinó que la señora xxxxxxxxxxxxxxxxxxxxxxx, no cumplía con las condiciones para acceder a tales servicios, por tal motivo la información se consultó como objeto de análisis para establecer una relación contractual de mutuo, específicamente con el fin de realizar el perfilamiento y calificación del riesgo del cliente, por orden de la empresa CREDIYES S.A.S., en virtud del contrato de colaboración suscrito con la empresa DATSOFT S.A.S., el cual se anexa, siendo esta la única consulta realizada al historial crediticio de la señora xxxxxxxxxx, lo cual como ya se expuso se encuentra justificado dentro del modelo de negocio y operación desempeñado y en tal sentido, no se puede deducir de dicho actuar, que se hubieran vulnerado los derechos de la Señora xxxxxxx al habeas data, ni tampoco que se hubiera transgredido la ley en este sentido.

(…)”8. Así las cosas, encuentra este Despacho que la sociedad DATSOFT S.A.S. manifestó que celebró unos contratos de colaboración empresarial con las sociedades CREDIYES S.A.S. y WEBKAPITAL S.A.S. para la prestación de servicios de perfilamiento y calificación del riesgo de clientes, y que son estas empresas las encargadas de recopilar y obtener las autorizaciones para el uso de los datos personales de los clientes.

Indicó que la consulta realizada a la historia de crédito de la Titular XXXX XXXXXXXXXXXXXXXXX el día 23 de agosto de 2021, se hizo por solicitud de la empresa CREDIYES S.A.S., con el fin de analizar si era posible establecer una relación contractual, puesto que la Titular solicitó un préstamo a esta última a través de la plataforma SE PRESTA.

Adicionalmente, la sociedad DATSOFT S.A.S. afirmó que la Titular XXXXXXXXXXXXXXXXXXXXXX, al momento de solicitar el crédito, aceptó en la plataforma web que esta sociedad consultara su historia de crédito. A partir de lo señalado en líneas anteriores, es menester realizar las siguientes precisiones: - En primer lugar, tal y como lo manifiesta en repetidas oportunidades la sociedad investigada, la documentación allegada en referencia al vínculo contractual de esta con la sociedad WEB CAPITAL S.A.S., no guarda correspondencia con los elementos fácticos que dieron origen a la investigación administrativa de la referencia; motivo por el cual, dichas piezas documentales no serán valoradas por parte de esta Dirección. - Aunado a lo anterior, más allá de la narración descriptiva propuesta por la sociedad investigada en torno a su relación contractual con la sociedad CREDIYES S.A.S., no obra prueba en el expediente que: (i) acredite tal vínculo, (ii) pruebe que la consulta a la historia de crédito de la Titular se realizó bajo el estricto cumplimiento de los preceptos contemplado en la Ley 1266 de 2008 y sus disposiciones reglamentarias, para el efecto; y (iii) no obra copia de la autorización otorgada por la Titular para la consulta de su historial crediticio ante los Operadores de la información. Radicado No. 21-400890-24 del 02 de noviembre de 2022.

“Por la cual se impone una sanción administrativa” - A la luz de lo previsto en el literal d)9 del artículo 3 de la Ley Estatutaria 1266 de 2008, la sociedad DATSOFT S.A.S. ostenta la calidad de usuario de la información, en virtud de que la misma realizó una consulta al historial crediticio de la señora XXXXXXXXXXXXXXXXXXXXXX el día 23 de agosto de 2021.

Así las cosas, la sociedad investigada está obligada a cumplir una serie de requisitos legales para acceder a dicha información, de acuerdo con lo establecido por la Ley Estatutaria 1266 del 2008. - La sociedad DATSOFT S.A.S. aportó una copia de un ‘archivo plano’ en el que, presuntamente, se evidencia que la Titular XXXXXXXXXXXXXXXXXXXXXX otorgó su autorización. Sin embargo, en el ‘archivo plano’ no se evidencia que la Titular haya tenido siquiera la intención de sostener una relación comercial con la sociedad investigada, pues este documento no acredita que para el día 23 de agosto de 2021 se buscara establecer una relación comercial con la Titular y que por ello existiera la necesidad de proceder con el cálculo del riesgo crediticio. - Adicionalmente, en el documento denominado ‘archivo plano’ tampoco se evidencia que a la Titular se le haya informado que, en virtud del proceso de aprobación del presunto crédito que estaba solicitando, era la sociedad DATSOFT S.A.S. quien consultaría su historia de crédito.

De tal manera que, la Titular en su escrito de denuncia no solamente manifiesta no haber otorgado su autorización para el efecto; sino que además afirma desconocer a dicha persona jurídica. - Si bien la sociedad investigada DATSOFT S.A.S. manifestó que la consulta a la historia de crédito de la Titular XXXXXXXXXXXXXXXXXXXXXX se realizó en virtud de una de las finalidades establecidas en el artículo 15 de la Ley 1266 de 2008, esta es establecer una relación comercial, y que, por tal, razón no requiere la autorización de la Titular para realizar la consulta, encuentra este Despacho que en el expediente no obra prueba pertinente y conducente que demuestre que la Titular tenía la intención de establecer una relación comercial con la sociedad con la sociedad DATSOFT S.A.S. o por conducto de esta.

En consecuencia, se encuentra suficientemente acreditado que la sociedad DATSOFT S.A.S. realizó una consulta a la historia de crédito de la Titular el día 23 de agosto de 2021, sin contar con su autorización o en atención a una de las finalidades previstas por el legislador estatutario; conducta con la que transgredió el deber dispuesto en el numeral 5 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la precitada norma; razón por la cual, se impondrá la respectiva sanción pecuniaria.

SÉPTIMO: Imposición y graduación de la sanción 7.1. Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 10. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 211, 412 y 613 de la Constitución, 9 Artículo 3°.

Definiciones. d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. 10Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) 12 “Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) 13 “Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) “Por la cual se impone una sanción administrativa” debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo14.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”15 (Negrita fuera del texto original) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional16.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVBaplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de 14 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 15 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. 16 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1266 de 2018, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional17 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten 17 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) “Por la cual se impone una sanción administrativa” adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública. Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008, con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad; por esta razón, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad” 20. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 1822 de la misma ley. Así mismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: 18 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 19 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 20 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción administrativa” “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 7.2.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1266 de 2008 De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”23. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado que la sociedad DATSOFT S.A.S. actuó negligentemente, pues realizó una consulta a la historia de crédito de la Titular el día 23 de agosto de 2021, sin contar con su autorización o en atención a una de las finalidades previstas en la Ley 1266 de 2008, conducta con la que transgredió el deber dispuesto en el numeral 5 del artículo 9 de la Ley 1266 de 2008, en Corte Constitucional.

Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003). Expediente D-4059. M.P. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” concordancia con el artículo 15 de la precitada norma; razón por la cual, se impondrá una sanción pecuniaria de UN (01) SALARIO MÍNIMO LEGAL MENSUAL VIGENTE para el año 2023 – equivalentes a CIENTO DIECISÉIS (116) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE ($1.270.316). 7.3.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que: (i) dentro del investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) tampoco se aceptó la comisión de la infracción.

OCTAVO: CONCLUSIÓN En el presente caso quedó demostrado que la sociedad DATSOFT S.A.S. actuó negligentemente, pues realizó una consulta a la historia de crédito de la Titular el día 23 de agosto de 2021, sin contar con su autorización o en atención a una de las finalidades previstas en la Ley 1266 de 2008.

NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad DATSOFT S.A.S. identificada con NIT. 901.316.730-4, con el correo electrónico de notificación judicial gerencia@datsoft.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-400890. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad DATSOFT S.A.S., identificada con NIT. 901.316.730-4, de UN (01) SALARIO MÍNIMO LEGAL MENSUAL VIGENTE para el año 2023 – equivalentes a CIENTO DIECISÉIS (116) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE ($1.270.316).

Parágrafo primero. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad DATSOFT S.A.S., identificada con NIT. 901.316.730-4, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación. “Por la cual se impone una sanción administrativa”

ARTÍCULO 3. COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXX, identificada con la cédula de ciudadanía xxxxxxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31 A-36, Pisos 3 y 3A en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 28 de junio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.06.28 13:17:32 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: María Guañarita Revisó: Mónica Flórez Aprobó: Carolina García NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: DATSOFT S.A.S. NIT. 901.316.730-4 Luisa Fernanda Romero Hincapié C.C. 1.089.718.799 Calle 21 No. 8-72, piso 2 Pereira - Risaralda gerencia@datsoft.co COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXxXXX XXXXXXXXXXXXXXXX

Resolución sancionatoria N° 34528 de 2024

CONSIDERANDO

RESUELVE