Resolución sancionatoria N° 56589 de 2024

(26 de septiembre de 2024) Radicado 22-208367 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO. Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad UNI2 MICROCREDITO S.A.S., (en adelante LA INVESTIGADA), identificada con NIT. 900.725.066-2, en consideración a los hechos contenidos en la queja interpuesta por el señor XXXXXX XXXXXXX XXXXXXXX, mediante radicado No. 22-208367 de fecha 25 de mayo del 2022, quien alegó que: 1.1.

Adquirió un crédito de libre inversión por un valor de $20.579.296 con LA INVESTIGADA, en calidad de codeudor de la señora XXXXX XXXXXX XXXXXXX. 1.2. Señala que se ha sentido hostigado y presionado por los asesores de LA INVESTIGADA, quienes desde el 31 de marzo del 2022 se comunicaron con terceras personas, ajenas a la relación crediticia, para dar información acerca de dicha obligación. 1.3.

Manifiesta que, frente a tal situación, se comunicó con el gerente de LA INVESTIGADA y realizó un PQR, pero que a la fecha no ha tenido respuesta. 1.4. Alega que sus referencias personales han recibido visitas domiciliarias por parte de un asesor de LA INVESTIGADA, quien ha presionado y ha realizado mensajes intimidatorios sobre los adquirentes de la obligación crediticia. 1.5.

Como prueba de sus alegaciones, el denunciante adjunta los siguientes documentos: - Copia del mensaje enviado a WhatsApp1 por parte de LA INVESTIGADA. - Pantallazos de los mensajes enviados a terceros por parte de LA INVESTIGADA 2. - Pantallazo de la carta compartida a terceros por parte de LA INVESTIGADA 3 SEGUNDO. Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1.

Requerimiento de información 22-208367-4 del 9 de agosto de 2022 dirigido a la sociedad UNI2 MICROCREDITO S.A.S. 2.2. Comunicación remitida 22-208367-7 del 24 de agosto de 2022 de la sociedad UNI2 MICROCREDITO S.A.S. 2.3. Ampliación de respuesta por parte de la sociedad UNI2 MICROCREDITO S.A.S en fecha 19 de octubre de 2022 con radicado 22-208367-11 Radicado 22-208367-0, página 2.

Folio 2 Radicado 22-208367-0, página 2. Folio 3 Radicado 22-208367-0, página 2. Folio 4 “Por la cual se impone una sanción” 2.4. Requerimiento de información 22-208367-13 del 13 de marzo de 2023 dirigido a la sociedad UNI2 MICROCREDITO S.A.S. 2.5. Requerimiento de información 22-208367-14 del 13 de marzo de 2023 dirigido al denunciante 2.6.

Respuesta del denunciante de fecha 18 de marzo de 2023 con radicado 22-208367-15 2.7. Comunicación remitida 22-208367-16 del 25 de marzo de 2023 de la sociedad UNI2 MICROCREDITO S.A.S TERCERO. Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas a partir de los cuales se advierte la presunta vulneración de las normas sobre protección de datos personales, este Despacho mediante Resolución No. 38958 del 11 de julio de 2023 inició la presente actuación administrativa y formuló cargos a LA INVESTIGADA, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.

El citado acto administrativo le fue notificado a LA INVESTIGADA el día 12 de julio de 2023 de forma electrónica de conformidad con la certificación del 25 de julio de 2023 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-208367-22.

CUARTO. Que LA INVESTIGADA, por intermedio de apoderado especial aportó escrito de descargos, junto con anexos, bajo el radicado 22-208367-23 del 3 de agosto de 2023, argumentando, entre otras cosas, lo siguiente: Inicialmente, manifiesta encontrarse dentro de la oportunidad procesal para presentar el escrito de descargos y realiza las pretensiones de practica de pruebas y consiguiente archivo de la actuación administrativa4.

A continuación, reitera el cargo formulado, así como la adecuación típica del mismo y señala que, el tratamiento de datos del Titular se dio en el marco de la autorización otorgada por este5. Agrega que, sin perjuicio de ello, tiene establecidos políticas y procesos para la gestión de cobranza, por lo que los hechos que motivaron la apertura de la investigación fueron aislados de su normal actuar y que cuenta con medidas técnicas, humanas y administrativas para el tratamiento de datos personales en los términos de la Ley 1581 de 2012. 4.1.

Respecto de la Autorización para el Tratamiento de los Datos Personales de XXXXXX XXXXXXX XXXXXXXX. Indicó LA INVESTIGADA en el escrito de descargo que, el RGPD6, establece que la base para el tratamiento de los datos personales es la autorización otorgada por el titular. Al respecto, manifiesta que la autorización otorgada por el titular establece los datos personales, las finalidades y forma del tratamiento que podrá realizar el responsable y/o su encargado.

Para demostrar lo anterior, transcribe la copia de la autorización y señala que ésta se otorga al momento de llenar el formulario de solicitud multiproducto de UNI2, dentro del cual se incluye la siguiente información: (i) productos solicitados, (ii) información básica del solicitante, (iii) datos del cónyuge, (iv) datos del negocio, (v) referencias y (vi) referidos.

Es claro que las referencias son aquellas personas que serán contactadas por autorización del titular, respecto a las gestiones necesarias para la aprobación y gestión del crédito del titular. Al respecto, agrega que el propósito de las referencias personales7 y comerciales en el marco de una relación de financiación es realizar una validación de la identidad de la persona, sus datos financieros que permiten evaluar su solvencia y liquidez, para determinar su capacidad de endeudamiento y de pago mensual, y medir los riesgos propios de este tipo de relaciones.

Así mismo, estas referencias permiten validar la información del deudor durante la ejecución de la relación comercial. Radicado 22-208367-23, página 6, folio 2 Ibidem Ibid 4, folio 3 Ibid 4, folio 4 “Por la cual se impone una sanción” Por ello, manifiesta que el acceso y consulta de los datos personales del señor XXXXXX XXXXXXX XXXXXXXX por las referencias personales y comerciales incluidas en el formulario de solicitud multi es un tratamiento de datos personales autorizado por el titular, es decir consulta y acceso de los datos personales.

Así, manifiesta que los datos personales del señor XXXXXX XXXXXXX XXXXXXXX no han sido compartidos con terceros8. 4.2. Respecto de lo parámetros y lineamientos de UNI2 para el tratamiento de los datos personales relacionados con la gestión de cobro. La sociedad UNI2 MICROCREDITO S.A.S cuenta con un Manual de Buenas Prácticas de Cobranza (“Manual de Cobranza”), el cual establece las políticas y procedimientos internos para realizar esta labor.

Alega que dentro de su manual se establece específicamente una sección dedicada a evitar las prácticas abusivas en el marco de esta gestión de cobro. Al respecto, agrega que “En esa medida, y sin perjuicio que en el marco de la autorización otorgada por SAI se pudiera realizar esta actividad, lo cierto es que UNI2 ha establecido de forma expresa la prohibición de que se realicen este tipo de actividades como las que narra el denunciante en los hechos.

Por ello, como se indicó en la etapa de averiguación preliminar de haberse presentado este acto, fue un hecho aislado que no corresponde al actuar habitual de UNI2.”9 4.3. UNI2 sí cuenta con medidas técnicas, humanas y administrativas para el tratamiento de los datos personales. La sociedad UNI2 MICROCREDITO S.A.S implementó un Manual Política de Protección de Datos Personales10 la cual ha sido adaptada conforme al desarrollo de la Compañía y que, en virtud de dicho documento, (i) realiza capacitaciones a su personal sobre los principales aspectos de esta, (ii) ha incluido cláusulas de confidencialidad en los contratos con sus empleados y (iii) ha segmentado a sus empleados asignando niveles de acceso a la información de forma general y específica para el área de cartera.

De manera concreta, señala que, para realizar el tratamiento de los datos, este se hace a través de la plataforma o software propietario “Plataforma UNI2”11; que dicha plataforma, cuenta con una (i) segmentación de usuarios con permisos de consultas, acceder, modificar, actualizar o eliminar datos personales conforme sus funciones y área y (ii) con un sistema de trazabilidad o logs, para registrar quienes acceden a ella y bajo cuáles credenciales para garantizar la integridad de los datos, y verificar quienes acceden a la información. En esa medida, alega que es posible evidenciar que UNI2 no solo cuenta con medidas humanas conformado por un personal capacitado, especializado y segmentado conforme a los datos personales que tratan, sino también cuenta con herramientas tecnológicas y administrativas para salvaguardar la seguridad de los datos personales que trata12.

QUINTO. Que mediante Resolución N°. 20257 del 25 de abril de 2024, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación. 5.1. Queja del Titular de fecha 25 de mayo de 202213. 5.2.

Requerimiento de información a la sociedad FINANCIACION AMIGA S.A.S. del 9 de agosto de 202214 5.3. Solicitud de acceso a expediente de fecha 10 de agosto de 202215. Ibid. 4, folio 5 Ibid. 4, folio 7 Ibidem Ibid. 4, folio 8 Ibidem Radicado 22-208367-0 Radicado 22-208367-4 Radicado 22-208367-5 “Por la cual se impone una sanción” 5.4. Segunda solicitud de acceso a expediente de fecha 12 de agosto de 202216 5.5.

Correo de envío de la respuesta al requerimiento de información de la sociedad FINANCIACION AMIGA S.A.S, con anexos, de fecha 23 de agosto del 202217 5.5.1 Certificado de Existencia y Representación Legal de la sociedad FINANCIACION AMIGA S.A.S de fecha 11 de julio del 202218 5.5.2. Lista de bases de datos con datos a tratar19 5.5.3. Formulario en blanco de solicitud de multiproducto20 5.5.4.

Copia del correo enviado a esta entidad solicitando al acceso al expediente del 10 de agosto del 202221 5.5.6. Copia del correo enviado a esta entidad solicitando al acceso al expediente del 12 de agosto del 202222 5.5.7. Formulario diligenciado de solicitud de multiproducto fechado del 7 de septiembre del 201923 5.5.8. Respuesta a la carta del Titular contenida en la queja de este por la investigada de fecha 12 de septiembre del 201924 5.5.9.

Documento titulado “AVISO CRÉDITO EN MORA” de fecha 8 de octubre de 202025 5.5.10. Documento titulado “MODELO DE MENSAJES DE TEXTO”26 5.5.11. Modelo de CONTRATO DE TRABAJO A TÉRMINO INDEFINIDO27 5.5.12. Documento titulado “Manual de Buenas Prácticas para la Gestión de Cobranza”28 sin fecha 5.5.13. Documento titulado “Manual Política para el Tratamiento de Datos Personales”29 versión 3 del mes de abril del 2021 5.5.14.

Respuesta al requerimiento de información de la sociedad FINANCIACION AMIGA S.A.S, de fecha 23 de agosto del 202230 5.6. Tercera solicitud de acceso a expediente de fecha 29 de agosto de 202231 5.7. Respuesta a solicitud de acceso a expediente del 9 de septiembre del 202232 5.8. Cuarta solicitud de acceso a expediente de fecha 28 de septiembre de 202233 5.9.

Complemento de información de fecha 18 de octubre del 202234 Radicado 22-208367-6 Radicado 22-208367-7-1 Radicado 22-208367-7-2 Radicado 22-208367-7-3 Radicado 22-208367-7-4 Radicado 22-208367-7-5 Radicado 22-208367-7-6 Radicado 22-208367-7-7 Radicado 22-208367-7-8 Radicado 22-208367-7-9 Radicado 22-208367-7-10 Radicado 22-208367-7-11 Radicado 22-208367-7-12 Radicado 22-208367-7-13 Radicado 22-208367-7-14 Radicado 22-208367-8-1 Radicado 22-208367-9 Radicado 22-208367-10-2 Radicado 22-208367-11-5 “Por la cual se impone una sanción” 5.10.

Respuesta a solicitud de acceso a expediente del 13 de marzo del 202335. 5.11. Requerimiento de información a la sociedad FINANCIACION AMIGA S.A.S. del 13 de marzo del 202336 5.12. Requerimiento al solicitante del 13 de marzo del 202337 5.13 Respuesta del solicitante del 14 de marzo del 202338 5.14. Correo de respuesta al requerimiento de información a la sociedad FINANCIACION AMIGA S.A.S. del 23 de marzo del 202339 5.14.1 Respuesta al requerimiento de información a la sociedad FINANCIACION AMIGA S.A.S. del 23 de marzo del 202340 5.14.2.

Formulario diligenciado con información del codeudor fechado del 9 de septiembre del 201941 5.15. Correo de envío del escrito de descargos42, con anexos, del 3 de agosto de 2023 5.15.1. Poder especial43 5.15.2. Escrito de descargos44 5.15.3 Copia de la cédula de ciudadanía del REPRESENTANTE LEGAL45 5.15.4 Certificados de existencia y representación legal de fechas 21 de julio y 2 de agosto de 202346 5.15.5 Certificación expedida por UNI2 MICROCRÉDITO S.A.S. fechada del mes de agosto del 202347 5.15.6 Presentación sobre el régimen general de protección de datos personales48 5.15.7 Reglamento de trabajo FINANCIACION AMIGA S.A.S49 5.15.8 Archivo de Excel con distribución de tareas50 5.15.9 Archivo de Excel con perfiles y permisos51 5.15.10.

Archivo de Excel con registros de tiempo52 5.15.11 Documento titulado “Notificación de movimientos de personal – Asignación de usuarios a junio 11”53 5.15.12 Archivo con relación de procesos en servidor interno54 5.15.13 Certificación de la sociedad SISTEMAS GYG S.A55 Radicado 22-208367-12 Radicado 22-208367-13 Radicado 22-208367-14 Radicado 22-208367-15 Radicado 22-208367-16-1 Radicado 22-208367-16-5 Radicado 22-208367-16-6 Radicado 22-208367-23 Radicado 22-208367-23-5 Radicado 22-208367-23-6 Radicado 22-208367-23-9 Radicado 22-208367-23-10 y 22-208367-23-11 Radicado 22-208367-23-12 Radicado 22-208367-23-13 Radicado 22-208367-23-14 Radicado 22-208367-23-15 Radicado 22-208367-23-16 Radicado 22-208367-23-17 Radicado 22-208367-23-18 Radicado 22-208367-23-19 Radicado 22-208367-23-20 “Por la cual se impone una sanción” 5.15.14 Estados financieros de la vigencia 2021 a 202256 5.15.15 Estados financieros de la vigencia 2020 a 202157 5.15.16 Estados financieros de la vigencia 2019 a 202058 5.15.17 Notas de vigencia de los estados financieros del periodo 2019 a 202059 5.15.18 Relación de las respuestas a la “Actualización Manual de Buenas Prácticas”60 5.15.19 Escrito de la investigada ante Colombia Telecomunicaciones S.A. E.S.P. sobre el sector económico al que pertenece61 El citado acto administrativo le fue comunicado a LA INVESTIGADA el día 25 de abril de 2024 de conformidad con la certificación del 30 de abril de 2024 expedida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia bajo el radicado 22208367-27.

SEXTO. Que mediante comunicación radicada bajo 22-208367-28 de fecha 10 de mayo de 2024, la sociedad UNI2 MICROCREDITO S.A.S reiteró lo mencionado en el escrito de descargos y agrega que “En los procesos sancionatorios administrativos opera el principio de antijuridicidad material o daño al ordenamiento jurídico, sobre el cual, el Consejo de Estado ha señalado su alcance: “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico.

En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material). Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia.

(…) el derecho administrativo sancionador se caracteriza por la exigencia de puesta en peligro de los bienes jurídicos siendo excepcional el requerimiento de la lesión efectiva. (…)”62 A continuación, manifiesta que el hecho que se investiga representa el 0.00026% de los créditos colocados por UNI2, corresponde al 0.0063% de la totalidad de clientes que han entrado en mora, y el 0.0078% de la totalidad de los clientes activos al 31 de mayo de 2022.

Lo anterior pone en evidencia que no existe mérito alguno ni transcendencia jurídica que dé lugar que constituya una puesta en peligro o real afectación del bien jurídico tutelado que protege el RGPD63. Indica que, el artículo 24 de la Ley 1581 de 2012 establece los criterios para graduar las sanciones, los cuales se analizarán como mero ejercicio hipotético e intelectual, como parte del análisis integral de la investigación, sobre el citado artículo sostiene que en relación con la dimensión del daño o peligro a los intereses jurídicos, examina que, a su juicio, el presunto daño se podría referir únicamente a la circulación de un dato del titular dentro de un ámbito cercano y conocido por este.

Así mismo, alega que UNI2 no ha obtenido beneficio económico alguno, que no existe prueba alguna que indique reincidencia de la conducta. Finalmente, no existe resistencia ni obstrucción a la SIC, ni mucho menos renuencia o desacato a las órdenes de la Autoridad.

SÉPTIMO. Competencia de la Superintendencia de Industria y Comercio Radicado 22-208367-23-21 Radicado 22-208367-23-22 Radicado 22-208367-23-23 Radicado 22-208367-23-24 Radicado 22-208367-23-25 Radicado 22-208367-23-26 Radicado 22-208367-28-2, folio 15 Ibidem “Por la cual se impone una sanción” El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO. Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201164, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2.

Valoración probatoria y conclusiones 8.2.1. Respecto del deber de conservar la información sujeta a tratamiento con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. El literal g) del artículo 4 de la Ley 1581 de 2012 establece el principio según el cual los Responsables y Encargados del Tratamiento de Datos Personales deben manejar la información sujeta a tratamiento: “(…) con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

Este deber es desarrollado, respecto de los Responsables del tratamiento, por el literal d) del artículo 17 de la Ley citada, el cual determina que: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

De igual forma, cuando se estudia el deber de seguridad con respecto a accesos o usos no autorizados o fraudulentos, se debe tener en cuenta que el artículo 13 ibídem señala las personas a quienes se les puede suministrar información personal: “La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: Cfr. Corte Constitucional, sentencia C-748 del 2011, de fecha 6 de octubre del 2011.

M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.23. Examen del artículo 24: criterios para graduar las sanciones. “Por la cual se impone una sanción” a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley.” Sobre los principios establecidos en los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012, la Corte Constitucional en la sentencia C-748 de 2011 señaló: “Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. (…) En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías.

De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4. Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. (…) De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. (…) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”65 (Negrilla fuera del texto original) Por su parte, sobre el desarrollo del deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional precisó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos-intimidad y habeas data-del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii)Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.”66 (Negrilla original) En este sentido, esta Dirección encontró preliminarmente que LA INVESTIGADA habría divulgado información personal del Titular de información XXXXXX XXXXXXX XXXXXXXXX, al realizar cobro de la obligación en mora, por medio de mensajes WhatsApp y llamadas al teléfono de las referencias del Titular.

Por ello, la sociedad en calidad de Responsable del Tratamiento habría remitido información personal a terceras personas, permitiendo así la consulta y el acceso no autorizado frente a los mismos, situación que evidencia la ausencia de medidas técnicas, humanas y administrativas de la sociedad. Frente al citado cargo, la investigada señala que implementó un Manual de Política de Protección de Datos Personales67 la cual ha sido adaptada conforme al desarrollo de la Compañía y que, en virtud de dicho documento, (i) realiza capacitaciones a su personal sobre Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

Considerando 2.6.5.2.7 Ibídem. Considerando 2.17.3 Ibidem “Por la cual se impone una sanción” los principales aspectos de esta, (ii) ha incluido cláusulas de confidencialidad en los contratos con sus empleados y (iii) ha segmentado a sus empleados asignando niveles de acceso a la información de forma general y específica para el área de cartera.

De manera concreta, señala que, el tratamiento de los datos se realiza hace a través de la plataforma o software propietario “Plataforma UNI2”68; la cual, cuenta con (i) una segmentación de usuarios con permisos de consultas, acceder, modificar, actualizar o eliminar datos personales conforme sus funciones y área y (ii) un sistema de trazabilidad o logs, para registrar quienes acceden a ella y bajo cuáles credenciales para garantizar la integridad de los datos, y verificar quienes acceden a la información. En esa medida, alega que es posible evidenciar que UNI2 no solo cuenta con herramientas humanas conformado por un personal capacitado, especializado y segmentado conforme a los datos personales que tratan, sino también cuenta con herramientas tecnológicas y administrativas para salvaguardar la seguridad de los datos personales que trata69.

Así las cosas, revisado el material probatorio, se encuentra que: En su queja del 25 de mayo del 2022, el señor XXXXXX XXXXXXX XXXXXXXXX manifestó que (i) adquirió un crédito de libre inversión por un valor de $20.579.296 con LA INVESTIGADA siendo su codeudora la señora XXXXX XXXXXX XXXXXX; (ii) que se ha sentido hostigado y presionado por los asesores de la sociedad LA INVESTIGADA, quienes desde el 31 de marzo del 2022 se comunicaron con terceras personas, ajenas a la relación crediticia, para dar información acerca de dicha obligación. Igualmente, manifiesta que, frente a tal situación, se comunicó con el gerente de la investigada y realizó un PQR al respecto, pero que a la fecha no ha tenido respuesta.

Indica que sus referencias personales han recibido visitas domiciliarias por parte de un asesor de LA INVESTIGADA, quien ha presionado y ha realizado mensajes intimidatorios sobre los adquirentes de la obligación crediticia. Como prueba de sus alegaciones, el denunciante adjunta copia de los mensajes enviados por medio de la aplicación WhatsApp70 71por parte de la sociedad investigada, así como copia de la carta compartida a terceros por parte de la sociedad investigada72; imágenes que se adjuntan a continuación: Ibid. 4, folio 8 Ibidem Expediente virtual, consecutivo número 0, página 2.

Folio 2 Expediente virtual, consecutivo número 0, página 2. Folio 3 Expediente virtual, consecutivo número 0, página 2. Folio 4 “Por la cual se impone una sanción” Vistas estas pruebas, el Despacho procedió a requerir a la sociedad UNI2 MICROCREDITO S.A.S mediante comunicación con radicado 22-208367-4 del 9 de agosto de 2022 a efectos de que la misma indicara lo siguiente “(…) Informe las razones por las cuales, tal como se encuentra narrado dentro de los hechos contenidos en la queja inicial, compartió información personal del Titular XXXXXXXX XXXXXXXX XXXXXXXXX (…) Indíquele al Despacho de que forma la sociedad FINANCIACIÓN AMIGA S.A.S. envía información financiera a las personas que adquirieron productos y/o servicios con ustedes y a sus referencias personales y/o laborales (…) Infórmele al Despacho las razones por las cuales se comparte la información de los Titulares con terceros [de acuerdo con las imágenes aportadas por el denunciante] ” En este sentido, la sociedad UNI2 MICROCREDITO S.A.S mediante comunicación remitida 22-208367-7 del 24 de agosto de 2022 indicó que “Se solicita una prórroga para responder este punto, toda vez que desde el inicio del término actual se ha solicitado acceso al expediente ante la Superintendencia de Industria y Comercio sin que logre ser vinculado al mismo.

La Compañía desea atender esta solicitud con fundamento en los documentos que reposan en el expediente, a los cuales no ha tenido acceso. (…) “Por la cual se impone una sanción” Se envía información a las personas que adquirieron productos a través de mensajes de texto, cartas de mora y llamadas telefónicas (Anexo 9). Eventualmente se contacta a las referencias personales o laborales por los mismos medios, cuando no se logra el contacto directo con los clientes (…) Se solicita una prórroga, por los motivos expuestos en el punto 6” Posteriormente, la sociedad UNI2 MICROCREDITO S.A.S el 19 de octubre de 2022 mediante radicado 22-208367-11 aporta una ampliación de su respuesta anterior, en la cual señala que “Dentro de los sistemas de registro de PQR de la Compañía no se encuentra una solicitud petición, queja o reclamo del señor XXXXXXX XXXXX XXXXX relacionadas con los hechos de su queja que obren en el expediente, ni en la fecha indicada La Compañía reitera que sus protocolos están establecidos en políticas establecidas en el punto 11 de la respuesta del 23 de agosto del 2022.

Por lo cual, este fue un hecho aislado que no es parte de nuestras políticas y procedimientos. La compañía desea poner de presente a su Despacho que conforme a tuvo (sic) noticia de este requerimiento de la autoridad ha establecido los siguientes planes de acción: (i) Adelantar un entrenamiento con el área encargada de cobro, para reiterar los procedimientos políticas en manejo de datos personales, (ii) Realizar una actualización del programa de Protección de Datos, para fortalecer los procesos existentes” Para efectos de establecer la cantidad de titulares a los que la sociedad UNI2 MICROCREDITO S.A.S había compartido datos de la obligación crediticia asumida por el señor XXXXXX XXXXXXX XXXXXXXXXX, este Despacho mediante comunicación con radicado 22-208367-14 del 13 de marzo de 2023 le preguntó al denunciante lo siguiente: “Sírvase informar el nombre completo y cédula de los titulares de los números de celular que recibieron los mensajes de WhatsApp provenientes de la sociedad denunciada en donde se compartía su información personal” En virtud de tal comunicación, el denunciante aporta mediante comunicación de fecha 18 de marzo de 2023 con radicado 22-208367-15, la siguiente información: “Buenas tardes Adjunto la información solicitada. 1.xxxxxx xxxxxxx xxxxxxx. cedula de ciudadanía: xxxxxxxxxx Celular: xxxxxxxxxx 2.xxxxxxxx xxxxxxx xxxxxxxx cedula de ciudadanía: xxxxxxxxxx Celular: xxxxxxxxxx 3.xxx xxxxx xxxxx xxxxxxx cedula de ciudadanía: xxxxxxxxxx Celular: xxxxxxxxxx 4.xxxx xxxxxxxx xxxxxxx Cedula ciudadanía: xxxxxxxxxx Celular: xxxxxxxxxx” Por su parte, en sede de descargos, LA INVESTIGADA alega que cuenta con un Manual Política de Protección de Datos Personales73 la cual ha sido adaptada conforme al desarrollo de la Compañía y que, en virtud de dicho documento, (i) realiza capacitaciones a su personal sobre los principales aspectos de esta, (ii) ha incluido cláusulas de confidencialidad en los contratos con sus empleados y (iii) ha segmentado a sus empleados asignando niveles de acceso a la información de forma general y específica para el área de cartera.

Así las cosas, desde esta Dirección de Investigaciones de Protección de Datos Personales, se ha dicho que estas medidas de seguridad se ajustan a lo siguiente: • Las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos de disponibilidad, confidencialidad e integridad de los datos y de los sistemas de información como el acceso no autorizado o fraudulento por parte del personal de la sociedad o de terceros a una relación comercial.

Estos riesgos pueden presentarse cuando hay uso no autorizado de los datos personales de los Titulares, cuando no hay disponibilidad de la información de dichos Titulares o del sistema de información y cuando se afecte la integridad de los datos personales. Ibidem “Por la cual se impone una sanción” Estas medidas técnicas propenden por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la sociedad. • Las medidas administrativas se refieren a (i) la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo y (ii) la implementación de procedimientos y documentación que tienda a demostrar el compromiso de la entidad con la seguridad de la información. Para ello, la sociedad debe asegurar que haya implementado un sistema para garantizar la trazabilidad de la información y el norepudio de la misma frente a los accesos informáticos. • Las medidas humanas se refieren a los métodos de capacitación de personal y de formación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales y de la seguridad de la información. Ahora, analizado el material probatorio aportado por LA INVESTIGADA tendente a demostrar la implementación de las medidas de seguridad, la investigada aporta (i) la copia de su “Manual Política para el Tratamiento de Datos Personales”74, (ii) la copia del contrato de trabajo con sus empleados75, (iii) una presentación sobre el régimen general de protección de datos personales76, (iv) la copia del Reglamento interno de trabajo77, (v) un archivo de Excel con perfiles y permisos78 y (vi) una certificación de uno de sus proveedores79.

En vista de lo anterior, se evidencia que la sociedad no aporta un manual de políticas de seguridad de la información, a partir del cual se hayan documentado todas las medidas de seguridad pertinentes. No obstante, una vez revisado el documento titulado “Manual Política para el Tratamiento de Datos Personales”80 versión 3 del mes de abril del 2021, en este tampoco se han documentado medidas de seguridad.

Así las cosas, más allá de que LA INVESTIGADA alegue que la “Plataforma UNI2” cuenta con una (i) segmentación de usuarios con permisos de consultas, acceder, modificar, actualizar o eliminar datos personales conforme sus funciones y área y (ii) con un sistema de trazabilidad o logs, para registrar quienes acceden a ella y bajo cuáles credenciales para garantizar la integridad de los datos, y verificar quienes acceden a la información, lo cierto es que NO se aportaron las pruebas para demostrar lo anterior, por lo que se infiere de manera razonable que dentro de la documentación aportada no se aprecian medidas técnicas, como lo ha entendido este Despacho.

En este caso, se resalta que la importancia de medidas técnicas implica que LA INVESTIGADA cuente con esquemas para garantizar que el personal de la compañía no pueda enviar información a terceros ajenos a la relación comercial. En cuanto a las medidas administrativas, se observa que la sociedad UNI2 MICROCREDITO S.A.S, en el documento titulado “Manual Política para el Tratamiento de Datos Personales”81 versión 3 del mes de abril del 2021, ha documentado las medidas administrativas para gestionar un incidente de seguridad, así: “14.

Incidentes de seguridad de datos personales. El objetivo principal del Modelo de Gestión de Incidentes de seguridad y privacidad de la información y de datos personales es tener un enfoque estructurado y planificado en el cual se anticipe a cualquier eventualidad que pudiese poner en riesgo la seguridad de la información. Según las buena practicas Finamiga trabajara en 3 tipificaciones: 1.

Evento: Cualquier cambio de estado que tenga importancia para la gestión de un elemento de un servicio de TI. Radicado 22-208367-7-13 Radicado 22-208367-7-11 Radicado 22-208367-23-13 Radicado 22-208367-23-14 Radicado 22-208367-23-16 Radicado 22-208367-23-20 Ibid. 79 Ibidem “Por la cual se impone una sanción” 2. Incidente: Cualquier evento que no forma parte del desarrollo habitual del servicio y que causa, o puede causar una interrupción del mismo o una reducción de la calidad de dicho servicio 3.

Brecha: Es el resultado no autorizado de una serie de eventos realizados por un agente que aprovechan o explotan vulnerabilidades de un servicio, tecnología o sistema de información. El área de TI es la encargada de monitorear y reportar a la gerencia general y a la dirección de riesgos de manera oportuna los incidentes que se lleguen a presentar con la seguridad de los datos personales y de información, con el fin de construir herramientas para lo cual se ejecutan las siguientes actividades: • Detección de Incidentes de Seguridad: Monitorear y verificar los elementos de control con el fin de detectar un posible incidente de seguridad de la información. • Atención de Incidentes de Seguridad: Recibe y resuelve los incidentes de seguridad. • Recolección y Análisis de Evidencia Digital: Toma, preservación, documentación y análisis de evidencia cuando sea requerida. • Anuncios de Seguridad: Deben mantener informados a los funcionarios, contratistas o terceros sobre las nuevas vulnerabilidades, actualizaciones a las plataformas y recomendaciones de seguridad informática a través de correo electrónico. • Auditoria y trazabilidad de Seguridad Informática: El equipo realiza verificaciones periódicas del estado de la plataforma para analizar nuevas vulnerabilidades y brechas de seguridad. • Certificación de productos: El equipo verifica la implementación de las nuevas aplicaciones en producción para que se ajusten a los requerimientos de seguridad informática definidos por el equipo. • Configuración y Administración de Dispositivos de Seguridad Informática: Se encargarán de la administración adecuada de los elementos de seguridad informática. • Clasificación y priorización de servicios expuestos: Identificación de servicios sensibles y aplicaciones expuestas para la prevención o remediación de ataques. • Investigación y Desarrollo: realizar la búsqueda constante de nuevos productos en el mercado o desarrollo de nuevas herramientas de protección para combatir brechas de seguridad, y la proposición de nuevos proyectos de seguridad de la información. Igualmente, dentro del contrato de trabajo que adjuntó la investigada, se aprecia lo siguiente: “11.- COMPROMISO DE CONFIDENCIALIDAD, NO UTILIZACIÓN DE INFORMACIÓN PRIVILEGIADA, COMPROMISO DE NO ADOPTAR COMPORTAMIENTOS QUE CONSTITUYAN CONFLICTOS DE INTERESES - COMPETENCIA DESLEAL Teniendo en cuenta que entre las partes existe un contrato laboral, que en desarrollo de las funciones, el trabajador, conoce y conocerá, de manera directa e indirecta las medidas, políticas, procedimientos relacionados con la actividad del empleador, que el empleador, en cumplimiento de compromisos contractuales está obligado para con terceros a garantizar que la información entregada para gestión y la que se genere en desarrollo del contrato no sea copiada, editada, reproducida por cualquier medio y, no sea revelada a cualquier persona, total o parcialmente.

Definen como información confidencial, toda aquella información que con ocasión de las labores contratadas, se la ha puesto al conocimiento del trabajador, bien sea de naturaleza, técnica, industrial, financiera, comercial, administrativa, estratégica y cualquier información relacionada con las operaciones de negocios presentes y futuros, bien sea que dicha información sea escrita, oral o visual, magnética, complementariamente, incluyendo las bases de datos empresariales, que se le entreguen al trabajador, en el desarrollo de la labor encomendada.

La utilización no autorizada de la información confidencial a la que se refiere esta cláusula, además de generar perjuicios, lo colocaría en una posición de conflicto de intereses que desde ahora reconoce como perjudicial para los intereses del empleador. En atención a que esta información goza de protección especial, atendiendo el grado de confidencialidad de la misma, se consagran como obligaciones especiales del trabajador las siguientes: 11.1.1.

Toda información otorgada es de propiedad exclusiva del empleador. En consecuencia, el trabajador, no utilizará esta información para su propio uso o el de terceros sin autorización. 11.1.2. El trabajador, se obliga a mantener la información, reservada y privada y protegerla para evitar su divulgación no autorizada, ejerciendo sobre ésta, el máximo grado de diligencia y cuidado, faltando a esta obligación por acción o por omisión (…)”82 (Negrilla fuera del texto original) Además, LA INVESTIGADA ha establecido en el numeral 12 del artículo 25 del Reglamento interno de Trabajo que sus empleados deben “Guardar completa reserva de la información secreta o confidencial”83 Adicionalmente, en el artículo 49 del mencionado documento, se señala, frente a la disposición de “CONFIDENCIALIDAD Y DEBER DE SECRETO”, que Radicado 22-208367-7-11 Ibid. 82, pág. 18 “Por la cual se impone una sanción” “1.

Que en virtud de la prestación de servicios profesionales que el empleado realiza o realizará a favor del responsable del tratamiento FINAMIGA SAS, este tiene o tendrá acceso a los recursos que tratan datos de carácter personal, y a información o documentación confidencial, marcada o no como tal. 2. Que de conformidad con lo dispuesto en el artículo 4 literal h) de la Ley Estatutaria 1581 de 2.012, de Protección de Datos Personales (en adelante, LEPD), todas las personas que intervengan en el tratamiento de datos personales que no tengan naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo solo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la referida ley y en los términos que la misma disponga.”84 Sin embargo, en los documentos relativos a las obligaciones laborales de los trabajadores de LA INVESTIGADA NO se aprecia ningún tipo de consecuencia en caso de que la información confidencial llegue a ser usada de manera contraria a lo pactado en el contrato laboral y en el Reglamento Interno de Trabajo.

Finalmente, en cuanto a las medidas administrativas, LA INVESTIGADA aporta una certificación de presunto cumplimiento de la norma ISO 27001.2013. En dicha certificación, se determina que esta no fue expedida por una entidad certificadora de sistemas de gestión para garantizar el cumplimiento de la norma ISO 27001.2013, en la medida en que no se aprecia una leyenda que exprese “La entidad XXXXX ha sido auditada y aprobada con respecto a los requisitos especificados en el estándar ISO 27001.2013”.

Adicionalmente, no se aprecia el número de registro de la certificación ni el periodo de vigencia de esta. Ahora, a pesar de que la sociedad LA INVESTIGADA ha documentado obligaciones y disposiciones de seguridad de la información en el Reglamento de trabajo, en sus modelos de contratos de trabajo y en su “Manual Política para el Tratamiento de Datos Personales”, lo cierto es que NO hay evidencias de un control jerárquico al interior de la entidad, por cuanto no se logra demostrar la existencia de una estructura de mando, sus roles, responsabilidades y sistema de rendición de cuentas.

La sociedad no aporta material probatorio alguno para determinar si cumple con los estándares normativos de protección de datos personales ni de seguridad de la información, ya que la certificación aportada del estándar ISO 27001 fue expedida por la propia entidad y no por un tercero especializado. De modo que no hay certeza de si el trabajo de los colaboradores de la entidad, en alguna medida, es controlado o supervisado por dicha cadena de mando.

En lo que tiene que ver con las medidas humanas, este Despacho evidencia que LA INVESTIGADA aporta una presentación sobre el régimen general de protección de datos personales85, (iv) un archivo de Excel con perfiles y permisos86. A partir del análisis del archivo de Excel, es evidente que existe una segmentación de los empleados de la compañía con permisos para manejo y administración de datos personales, así como unos permisos de solo lectura.

Sin embargo, en la medida en que LA INVESTIGADA no aporta una muestra de su sistema GYG para validar la configuración de tales permisos, la sociedad no logra demostrar la implementación de tal segmentación. A pesar de que LA INVESTIGADA manifiesta que realiza capacitaciones a su personal sobre los principales aspectos del régimen de datos personales, lo cierto es que la misma entidad en respuesta del 19 de octubre de 2022 mediante radicado 22-208367-11, reconoció que, con posterioridad al requerimiento del Despacho, llevo a cabo acciones correspondientes a las medidas humanas.

Sin embargo, visto el material probatorio que daría cuenta de las medidas humanas implementadas por la sociedad en cuestión, es claro que LA INVESTIGADA ha aportado evidencias de que (i) sus colaboradores hayan recibido algún tipo de capacitación y con qué frecuencia éstas se han desarrollado; (ii) no hay certeza sobre si los colaboradores le dan aplicación al contenido de la capacitación;

(iii) no hay evidencia de que, con posterioridad a la Ibidem, pág. 42 Radicado 22-208367-23-13 Radicado 22-208367-23-16 “Por la cual se impone una sanción” capacitación realizada, los colaboradores hayan sido evaluados para garantizar la aplicabilidad del documento; (iv) tampoco hay evidencia de que periódicamente se hagan cursos formativos para los colaboradores de modo que estos tengan una comprensión uniforme y global de la Ley de Protección de Datos Personales.

En suma, es evidente que LA INVESTIGADA no cuenta con medidas técnicas, administrativas y humanas suficientes que permitan concluir que el tratamiento de datos que realiza es acorde con lo señalado en la normativa estatutaria y complementaria. Como consecuencia de ello permitió que uno de sus empleados divulgara información financiera de forma ilegitima de un Titular a terceros ajenos a la relación comercial que el señor XXXXXX XXXXXXX XXXXXXXX contrajo con esta.

Así, aun cuando existen una serie de obligaciones que los trabajadores deben respetar, las cuales están señaladas al interior de los contratos de trabajo y en el Reglamento interno de trabajo, estas no fueron garantizadas por parte de LA INVESTIGADA, lo cual refuerza la idea de que la sociedad no cuenta con una cadena de mando, ni con personal debidamente capacitado en materia de datos personales.

Como conclusión, en la medida en que la sociedad no pudo demostrar que efectivamente tiene documentadas las medidas de seguridad necesarias para dar cumplimiento estricto con el régimen de protección de datos personales consagrado en la ley 1581 de 2012, se encuentra probada la violación del cargo, razón por la cual se impondrá una sanción administrativa. 8.2.2.

Aclaraciones finales Por último, este Despacho debe pronunciarse sobre la autorización otorgada por el Titular, prueba en la que la sociedad investigada fundamenta el hecho de que terceras personas hayan accedido legítimamente a los datos personales de este. Al respecto, la investigada señala que la autorización del Titular se otorga al momento de llenar el formulario de solicitud multiproducto, dentro del cual se incluye la siguiente información: (i) productos solicitados, (ii) información básica del solicitante, (iii) datos del cónyuge, (iv) datos del negocio, (v) referencias y (vi) referidos.

Así, en palabras de la investigada, las referencias son aquellas personas que serán contactadas por autorización del titular, respecto a las gestiones necesarias para la aprobación y gestión del crédito de este. Igualmente, agrega que el propósito de las referencias87, en el marco de una relación de financiación, es realizar una validación de la identidad de la persona, de sus datos financieros que permiten evaluar su solvencia, para determinar su capacidad de endeudamiento y de pago mensual, y medir los riesgos propios de este tipo de relaciones.

Frente a ello, vale la pena retomar el texto de autorización obrante en los formularios de solicitud de crédito para analizar si efectivamente el Titular autorizo que terceros ajenos a la relación comercial crediticia constituida con LA INVESTIGADA pudieran conocer su información personal y su comportamiento crediticio. Analizados los formularios de autorización aportados por la investigada, es claro que las leyendas transcritas de los formatos de autorización demuestran que el Titular otorgó su autorización a la sociedad LA INVESTIGADA para realizar tratamiento de sus datos personales con el fin de (i) registrarlos como prospecto, cliente o usuario de sus productos y servicios, (ii) evaluarlo como cliente potencial, (iii) analizar su riesgo financiero, (iv) contrastar la información personal con bases de datos públicas, Centrales de Riesgo y sistemas de prevención de riesgo en aras de realizar actividades de confirmación e (v) informar, reportar, procesar o divulgar a las Centrales de Riesgo, todo lo referente a su comportamiento como cliente.

Así es claro que ambas leyendas versan sobre el hecho de que la sociedad UNI2 MICROCREDITO S.A.S pudiese contactar a las referencias del señor XXXXXX XXXXXXX XXXXXXXX a efectos de “contrastar la información personal entregada con (…) Ibid 4, folio 4 “Por la cual se impone una sanción” referencias y contactos en aras de realizar actividades de confirmación”, no para realizar gestiones de cobro de obligaciones crediticias del denunciante a través de estos.

Por otro lado, en sede de descargos, la sociedad UNI2 MICROCREDITO S.A.S aporta una nueva leyenda de autorización. Sin embargo, no hay constancia en el acervo probatorio de que este último texto de autorización haya sido puesto en conocimiento del Titular, ni que el mismo hubiera consentido dicha leyenda. Por ello, el Titular, al conocer que sus referencias estaban siendo contactadas LA INVESTIGADA para realizar gestiones de cobro y que su información privada estaba siendo divulgada a terceros que no tenían facultades para conocerla, elevó queja ante esta entidad para la protección de su derecho de habeas data.

Al respecto, este Despacho ya se había pronunciado sobre la figura de las referencias en la Resolución N°. 82622 del 17 de diciembre del 2021, al expresar que el termino de referencia, según definición de la Real Academia de la Lengua Española, significa “informe que acerca de la probidad, solvencia u otras cualidades de tercero da una persona a otra”88.

En vista de tal acto administrativo, este Despacho no puede aceptar el argumento según el cual las referencias buscan realizar o apoyar una validación de la identidad de la persona, de sus datos financieros, de su capacidad de endeudamiento, respecto a las gestiones necesarias para la aprobación y gestión del crédito del titular, sin que el Titular haya autorizado su uso previamente.

Por último, este Despacho debe hacer la claridad que la leyenda de autorización otorgada por los Titulares se enmarca dentro de unas finalidades concretas y específicas, las cuales le deben ser informadas al Titular. En esta medida, la sociedad UNI2 MICROCREDITO S.A.S no puede usar la autorización otorgada por el Titular para finalidades distintas a las señaladas en ella.

NOVENO. IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 9.1. Facultad sancionatoria. El artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones Cfr. Real Academia Española. Diccionario de la Lengua Española. https://dle.rae.es/referencia “Por la cual se impone una sanción” tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional89.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. Ahora bien, la Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria, la cual se traduce en la manifestación del poder punitivo del Estado, derivado de los artículos 290, 491 y 692 de la Constitución, que, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo93.

La Corte Constitucional señaló sobre este asunto, lo siguiente: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.

(negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

“Por la cual se impone una sanción” y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso. (…)”94 (negrita añadida) Así, de conformidad con lo establecido en el artículo 22 de la Ley 1581 de 2012, cuando se establezca el incumplimiento de las disposiciones de las normas por parte del Responsable, podrá imponer las sanciones correspondientes, para este efecto, el artículo 23 de la citada norma, definió la multa como una de las sanciones que podrá ser impuesta: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó”;

(…) Respecto del citado artículo 23, la Corte Constitucional indicó lo siguiente: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…)95 De otra parte, el artículo 24 de la Ley 1581 de 2012 establece unos criterios de graduación, los cuales, con el fin de garantizar el debido proceso dentro de la actuación administrativa serán analizados para el caso concreto y así determinar cuáles debe tener en cuenta. Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

“Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción;

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. FJ: 2.22.3. “Por la cual se impone una sanción” d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Efectivamente, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”96 En este orden de ideas, para efectos de la dosificación de la sanción, se tiene en cuenta además de los citados criterios, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros97. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”98.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia99. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 9.2.

Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura del literal a) del artículo 24 de la Ley 1581 de 2012, de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

Sobre este aspecto en particular, LA INVESTIGADA, con los alegatos de conclusión manifestó lo siguiente: “En los procesos sancionatorios administrativos opera el principio de antijuridicidad material o daño al ordenamiento jurídico, sobre el cual, el Consejo de Estado ha señalado su alcance: “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico.

En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material). Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia.

(…) el derecho administrativo sancionador se caracteriza por la exigencia de puesta en peligro de los bienes jurídicos siendo excepcional el requerimiento de la lesión efectiva. (…)” 100 A continuación, manifiesta que el hecho que se investiga representa el 0.00026% de los créditos colocados por UNI2, corresponde al 0.0063% de la totalidad de clientes que han entrado en mora, y el 0.0078% de la totalidad de los clientes activos al 31 de mayo de 2022.

Lo anterior pone en evidencia que no existe mérito alguno ni transcendencia jurídica que dé lugar que constituya una puesta en peligro o real afectación del bien jurídico tutelado que protege el RGPD101. Por su parte, el artículo 24 de la Ley 1581 de 2012 establece los criterios para graduar las sanciones, los cuales se analizarán como mero ejercicio hipotético e intelectual, como parte del análisis integral de la investigación. Frente al citado argumento, este Despacho se considera lo siguiente: El juicio de antijuridicidad que debe realizar el operador jurídico no recae sobre el daño o perjuicio que se pueda causar, sino en la infracción misma de la norma.

En este punto en particular, resulta necesario traer a colación lo dicho por el Consejo de Estado102 en materia de antijuridicidad. “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico. En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material).

Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia [94]103. Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de Radicado 22-208367-28-2, folio 15 Ibidem Consejo de Estado – Subsección C).

Radicación número: 05001-23-24-000-1996-00680-01(20738) Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012). Consejero ponente: ENRIQUE GIL BOTERO. [94] RINCÓN CÓRDOBA, Jorge Iván. Derecho Administrativo Laboral. Bogotá, Universidad Externado de Colombia. Pág. 595. “Por la cual se impone una sanción” protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma [95]104”, de allí que se sostenga que el reproche recae sobre “la mera conducta”.

En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración [96]105.” A partir de lo anterior, concluye el Despacho que en el procedimiento administrativo sancionatorio como el que nos ocupa, el hecho de que no se consolide un daño en específico respecto del titular, no impide que esta Superintendencia pueda aplicar su facultad sancionatoria, cuando existen razones de hecho y derecho para hacerlo.

Entonces, al no requerirse la materialización del daño, no es necesario que obre prueba de su existencia. Por lo tanto, basta con que se desconozcan las normas de protección de datos personales para que pueda imponerse una sanción. En el caso sub examine, quedó probado, frente al cargo único sobre por el presunto incumplimiento contenido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley, que LA INVESTIGADA, al carecer de medidas de seguridad a nivel técnico, administrativo y humano, permitió que uno de sus empleados divulgase información privada de la relación comercial que el señor XXXXXX XXXXXXX XXXXXXXX contrajo con esta.

Por lo tanto, se impondrá la siguiente sanción: Por tanto, se impondrá como sanción, de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a SESENTA Y TRES MILLONES QUINIENTOS QUINCE MIL OCHOCIENTOS PESOS M/CTE ($63.515.800)106, por la vulneración a lo dispuesto en literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 9.3. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Así mismo, para la dosificación de la sanción, se tendrán en cuenta el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa.

DÉCIMO. PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA En vista de todas los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 [95] Ibídem. [96] BIELSA, Rafael.

Derecho Administrativo. Tomo IV. El Poder de Policía. Limitaciones Impuestas a la Propiedad Privada en Interés Público. Administración Fiscal. Buenos Aires, Depalma. 1956. Pág. 69. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción” implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”107.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 26108 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”109. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “Por la cual se impone una sanción” ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”110.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad UNI2 MICROCREDITO S.A.S, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: (i) Evitar que se repitan hechos como los que dieron origen a la presente investigación. Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/que-es-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción” (ii) Respetar y garantizar los derechos de los titulares de los datos.

(iii) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. (iv) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales.

(v) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. (vi) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DECIMO PRIMERO. ÓRDEN ADMINISTRATIVA De acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir la siguiente orden • La sociedad UNI2 MICROCREDITO S.A.S deberá implementar un Manual de Políticas de Seguridad, en el cual deberá establecerse los mecanismos necesarios para que las gestiones de cobranza se realicen respetando el principio de seguridad. • La sociedad UNI2 MICROCREDITO S.A.S deberá ajustar su Reglamento Interno de Trabajo para asegurar que las gestiones de cobro realizadas por sus empleados se realicen conforme las normas de protección de datos personales y las demás concordantes. • La sociedad UNI2 MICROCREDITO S.A.S deberá realizar una capacitación al personal que preste sus servicios en ella, relacionada con el régimen de protección de datos personales, para que se concienticen respecto de la labor que realizan y la necesidad de garantizar a los titulares sobre quienes se realizan gestiones de cobro, el ejercicio de sus derecho fundamentales.

Para el efecto, la UNI2 MICROCREDITO S.A.S deberá acreditar ante esta entidad dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación suscrita por el Representante Legal de la de cumplimiento de las órdenes impartidas por esta entidad y aportar el material probatorio pertinente que demuestre la implementación de estas órdenes.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, con el correo electrónico de notificación judicial tesoreria@uni2.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-208367. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente “Por la cual se impone una sanción” confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a SESENTA Y TRES MILLONES QUINIENTOS QUINCE MIL OCHOCIENTOS PESOS M/CTE ($63.515.800), por la vulneración a lo dispuesto en literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.

Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. ORDENAR a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, el cumplimiento de lo siguiente: • La sociedad UNI2 MICROCREDITO S.A.S deberá implementar un Manual de Políticas de Seguridad, en el cual deberá establecerse los mecanismos necesarios para que las gestiones de cobranza se realicen respetando el principio de seguridad. • La sociedad UNI2 MICROCREDITO S.A.S deberá ajustar su Reglamento Interno de Trabajo para asegurar que las gestiones de cobro realizadas por sus empleados se realicen conforme las normas de protección de datos personales y las demás concordantes. • La sociedad UNI2 MICROCREDITO S.A.S deberá realizar una capacitación al personal que preste sus servicios en ella, relacionada con el régimen de protección de datos personales, para que se concienticen respecto de la labor que realizan y la necesidad de garantizar a los titulares sobre quienes se realizan gestiones de cobro, el ejercicio de sus derecho fundamentales.

Parágrafo Primero. La sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro del término de dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Para ello, deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida suscrita por el representante legal de la sociedad y el material probatorio pertinente que demuestre la implementación de estas órdenes, sin perjuicio de que la mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

Parágrafo Segundo. El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2 a través de “Por la cual se impone una sanción” su representante legal y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4. COMUNICAR el contenido de la presente resolución al señor XXXXXX XXXXXXX XXXXXXXX, identificado con cédula de ciudadanía número X.XXX.XXX.XXX.

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 de septiembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCÍA MOLINA Elaboró: SR Revisó: NT Aprobó: CG NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: UNI2 MICROCREDITO S.A.S. NIT. 900.725.066-2 FELIPE MARIÑO RIVERA C.C. 1.020.717.036 notificaciones@uni2.com.co AV 9 AN 15 AN - 09 PI 4 Cali (Valle del Cauca) Apoderado: Identificación: Tarjeta Profesional N°.

Correo electrónico: Dirección: Ciudad: VÍCTOR ANDRÉS AYALDE LEMOS C.C. N°. 1.130.609.358 209.953 victor.ayalde@advocat.com Carrera 7 # 73 – 55, Of. 1202 Bogotá D.C. COMUNICACIÓN: Nombre: Identificación: Correo electrónico: Dirección: Ciudad: XXXXXX XXXXXXX XXXXXXXX C.C. N°. X.XXX.XXX.XXX XXXXXXXXXXXXXXXXXXXXX XX XX XX XXX XX Sabaneta Antioquia