(21 de julio de 2025) “Por la cual se resuelve un recurso de apelación” Radicación 21-478761 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que mediante oficio No. 21-478761-00 del 01 de diciembre de 2021 la Superintendencia Financiera de Colombia, remitió la queja presentada por xxxxx xxxx xx xxxxxxx xxx xxxxx xx contra COVINOC S.A., en la cual informa que la citada empresa envió un correo electrónico informando a terceros no autorizados sobre su situación financiera, como puede evidenciarse a continuación: “Por la cual se resuelve un recurso de apelación”
SEGUNDO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 29924 del 31 de mayo de 2023, decidió abrir una investigación administrativa y formular cargos en contra de COVINOC S.A. (en adelante COVINOC), por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
TERCERO. Que una vez agotada la etapa probatoria y efectuado el análisis del escrito de descargos1 y de los diferentes medios probatorios allegados al expediente, la Dirección, mediante Resolución No. 61591 del 11 de octubre de 2024, resolvió: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
CUARTO. Que, COVINOC a través de su Apoderada General (en adelante la RECURRENTE), mediante escrito radicado con el número 21-478761-36 del 28 de octubre de 2024 presentó recurso de reposición y en subsidio de apelación2 en contra de la decisión contenida en la Resolución No. 61591 del 11 de octubre de 2024, indicando como principales argumentos los siguientes: 4.1.
Que en la presente actuación administrativa se vulneró el debido proceso de su representada, en la medida que le fueron endilgados deberes que, en atención a su calidad de encargado no le corresponden. 4.2. Que el valor de la multa impuesta es exorbitante y desproporcionada. Considera que la Dirección no contempló de manera adecuada, los esfuerzos adelantados por COVINOC para garantizar la seguridad y confidencialidad de los datos personales, así como los criterios de graduación de la sanción establecidos por el artículo 24 de la Ley 1581 de 2012.
QUINTO. Que la Dirección, mediante Resolución No. 29504 del 19 de mayo de 2025, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 61591 del 11 de octubre de 2024.
SEXTO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, a través de esta resolución se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 6.1. “Nulidad del acto administrativo, por cuanto COVINOC ostenta la calidad de encargado del tratamiento, no de responsable” 6.1.1. Sobre la calidad que ostenta COVINOC respecto del tratamiento de los datos personales bajo análisis La recurrente inicia su recurso con la afirmación de que celebró un contrato con la sociedad REINTEGRA S.A.S., cuyo objeto es, entre otros: “la administración de los Portafolios de Créditos que el Propietario adquiera de tiempo en tiempo, y poner a disposición toda su infraestructura física, tecnológica, operativa, administrativa, financiera, contable y jurídica que sea requerida para que el Recaudador realice una adecuada Gestión de Recaudo de los Portafolios de Créditos del Propietario”.
Mediante Oficio No. 21-478761-20 del 27 de junio de 2023 la apoderada de COVINOC presentó el escrito de Descargos. La Resolución No. 61591 del 11 de octubre de 2024 fue notificada a COVINOC personalmente de manera electrónica el 11 de octubre de 2024. “Por la cual se resuelve un recurso de apelación” Para el desarrollo del citado objeto contractual, COVINOC y REINTEGRA S.A.S. celebraron adicionalmente un contrato de protección y transmisión de datos personales.
En éste se estableció que COVINOC en calidad de Encargado tendría acceso a las bases de datos dispuestas por REINTEGRA, para la consulta de la información de los titulares que tuvieran obligaciones pendientes de pago, y así proceder con la respectiva gestión de cobro prejudicial o judicial. Para la recurrente, el envío de una comunicación a los empleadores del quejoso, conducta que, entre otras, concreta el incumplimiento del deber por el cual fue investigada y sancionada por la Dirección, se realizó en desarrollo de las obligaciones contractuales adquiridas, relacionadas con la gestión de cobro.
De tal forma que la intención de su dependiente era, según el escrito de apelación, establecer puentes de comunicación con el titular y deudor de la cartera que estaba en proceso de ser cobrada, actividad que no corresponde a una nueva finalidad determinada de forma unilateral por COVINOC. Insiste la recurrente, que la conducta desplegada por COVINOC como Encargado y no como Responsable del tratamiento, se ajusta a las obligaciones contractuales adquiridas con REINTEGRA, específicamente las relacionadas con las operaciones que surjan de los procesos de normalización de cartera vencida.
Entra entonces esta Delegatura a analizar el mérito de estos argumentos. Para lo cual resulta indispensable precisar, según la Ley y la Jurisprudencia qué se entiende por Encargado del tratamiento de datos personales y qué por Responsable del tratamiento de los datos personales. El artículo 3 de la Ley 1581 de 2012 define estos términos de la siguiente manera: d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
Esta distinción ha sido desarrollada jurisprudencialmente por la Corte Constitucional en la Sentencia C-748 de 2011, en los siguientes términos: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos [189]3. (…) El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.
También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.[192]4 Estos conceptos parecen ser tomados del artículo 2 de la Directiva 95/46/CE, que los define así: «responsable del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario; «encargado del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trate datos personales por cuenta del responsable del tratamiento.
En la Directiva 1/2010 sobre el concepto de encargado del tratamiento, se afirma: “(…) para poder actuar como encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste” “Por la cual se resuelve un recurso de apelación” Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.
Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos [193]; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.
La Corte también advirtió que: “(…) no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.[196] (…) corresponderá a la autoridad competente (…) examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].
Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita;
(ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho.
(…) En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta[199].” (resaltado fuera del texto) En definitiva, según la jurisprudencia de la Corte Constitucional, el responsable o encargado del tratamiento de datos puede determinarse a partir de la capacidad de influencia de hecho, cuando, sin mediar competencia legal o jurídica expresa, existe la posibilidad de decidir sobre el tratamiento de datos personales.
Bajo esta premisa, la calidad de encargado o de responsable no es una situación que dependa del autorreconocimiento que de dicha actividad realice el sujeto vigilado. Es decir, no es una cuestión que esté librada a su propia voluntad, por sí o en concurso con otros. Es un asunto que, sobre todo, concierne a la materialidad del tratamiento; a la definición efectiva del alcance y la naturaleza de las actividades que desarrolla el agente en relación con las actividades de tratamiento de datos personales.
La calidad de encargado o responsable tampoco depende de una atribución formal. Como lo afirma la Corte Constitucional en el aparte de la jurisprudencia citada: “no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición”.
Son los hechos, el funcionamiento efectivo, la descripción de cómo se adelanta el tratamiento de los datos personales, lo que permiten saber, desde el punto de vista material, si una persona actúa como responsable o como encargado del “Por la cual se resuelve un recurso de apelación” tratamiento, en los términos y bajo los criterios definidos en la Ley y en la Jurisprudencia. Indica la recurrente en su escrito que la labor de recuperación de cartera realizada tiene su fundamento en los contratos suscritos con REINTEGRA.
El primero relacionado con la administración de la cartera, y el segundo relacionado con las reglas que deberán ser tenidas en cuenta para el tratamiento de datos personales frente a las gestiones de cobro que se realicen. Para mejor ilustración del punto se transcribirá el objeto del “Contrato de protección y transmisión de datos personales y seguridad de la información entre REINTEGRA SAS y COVINOC S.A”, así como las obligaciones a cargo de ésta última.
I. OBJETO El objeto del presente contrato es regular las condiciones en las que EL ENCARGADO tratará los datos personales contenidos en la base de datos de propiedad de REINTEGRA SAS quien actúa como RESPONSABLE, con las siguientes finalidades: I) Administrar la cartera para lograr efectivamente el recaudo de las obligaciones insolutas. II) Realizar el cobro pre-jurídico y jurídico de las obligaciones, así como cualquier acción tendiente a recuperar las obligaciones insolutas asignadas.
III) Contestar y atender todo tipo de requerimientos judiciales y/o administrativos. IV) Atender peticiones, quejas, reclamos, sugerencias y cualquier tipo de solicitud que realicen los titulares de las carteras administradas por EL ENCARGADO, previamente delegadas por EL RESPONSABLE. La información contenida en la base de datos podrá utilizarse para la consecución de las labores previamente descritas y las que en el desarrollo del mandato se estimen necesarias para la operación del RESPONSABLE.
El uso de los datos de las bases de datos se realizará por un tiempo determinado y mientras se mantenga vigente el contrato de prestación de servicios suscrito entre las partes, salvo acuerdo particular en contrario entre las partes y de manera no cesible e intransferible, teniendo EL ENCARGADO derecho a utilizar la base de datos únicamente para las finalidades anteriormente descritas.
En ningún caso el uso de los datos comprenderá la cesión de la propiedad sobre los derechos de propiedad intelectual de la base de datos. (negrilla fuera de texto) (…) V. OBLIGACIONES DEL ENCARGADO PRIMERO: EL ENCARGADO declara y garantiza a EL RESPONSABLE que tratará los Datos Personales teniendo en cuenta los niveles más altos de protección y confidencialidad y en cumplimiento con la Política de Tratamiento, la Ley Aplicable de Protección de Datos, este Contrato y al acuerdo de confidencialidad, así como cualquier instrucción adicional que EL RESPONSABLE le haya dado.
SEGUNDO: EL ENCARGADO deberá notificar oportunamente y por escrito a EL RESPONSABLE de cualquier requerimiento que reciba de las autoridades competentes, que impliquen la divulgación de Datos Personales conforme a las leyes aplicables; el aviso deberá darse con una anticipación razonable de forma que permitan a EL RESPONSABLE adoptar las medidas legales que considere oportunas o necesarias.
EL ENCARGADO no estará obligado a dar aviso a EL RESPONSABLE sobre estos requerimientos cuando las Leyes Aplicables le impidan hacerlo.
TERCERO: EL ENCARGADO deberá atender de forma oportuna y apropiada las solicitudes que le haga EL RESPONSABLE en relación con el Tratamiento de los Datos Personales sujetos a la Transmisión y cumplir con las recomendaciones, instrucciones y ordenes de la Autoridad de Protección de Datos en Cumplimiento con la Ley Aplicable de Protección de Datos, en relación al Tratamiento de Datos Personales.
CUARTO: EL ENCARGADO deberá cooperar y enviar a EL RESPONSABLE dentro de los términos y condiciones razonablemente establecidas por EL RESPONSABLE, toda la información pertinente que sea requerida a través de éste por la Autoridad de Protección de Datos.
QUINTO: EL ENCARGADO dará tratamiento, a nombre de EL RESPONSABLE, a los Datos Personales conforme a los principios que los tutelan. “Por la cual se resuelve un recurso de apelación”
SEXTO: EL ENCARGADO salvaguardara la seguridad de las bases de datos en los que se contengan Datos Personales. Para el desarrollo del objeto contractual, COVINOC como Encargado del tratamiento de la información para realizar las gestiones de cobro y recuperación de cartera, debía utilizar la información entregada por REINTEGRA, bajo esas precisas instrucciones.
Así mismo, debía mantener la información recibida bajo todas las medidas de seguridad pertinentes. Con el oficio No. 21-478761-09 del 23 de junio de 2022, COVINOC dio respuesta a la solicitud de explicaciones elevada por la Dirección, en el cual informó lo siguiente: Conforme lo descrito en el citado oficio y en el correo electrónico relacionado en el numeral primero de esta Resolución, es claro que COVINOC, por intermedio de uno de sus dependientes, decidió buscar información relacionada con el titular-quejoso en una fuente diferente a la suministrada por REINTEGRA en virtud del contrato de administración de cartera suscrito, y consecuentemente decidió realizar su tratamiento en tanto decidió extender comunicación sobre dicha información a terceros, con el efecto de lograr la revelación a estos terceros no autorizados de la información personal del quejoso-titular, información que está relacionada a detalle con la situación de impago de una obligación dineraria.
Todas estas actuaciones deliberadas de COVINOC, que constituyen tratamiento de datos personales, excedieron los límites de su encargo5. El tratamiento así realizado no le puede ser imputable a COVINOC en calidad de encargado. Dicho tratamiento no se realizó según los estrictos y precisos términos del encargo y por cuenta y riesgo de un responsable.
La decisión deliberada de uno de sus dependientes de actuar en exceso del mandato, de seleccionar los medios del tratamiento, incluso en contra de lo dispuesto en el contrato de encargo, y con ello permitir el acceso no autorizado a la información por parte de terceros y de paso afectar el buen nombre y la vida privada del quejoso, al revelar su información personal a sus empleadores en el escenario laboral, son las que a juicio de la Dirección y que este Despacho confirma, permiten afirmar que COVINOC asumió para el caso el rol de Responsable.
La condición de responsable en la que se endilga responsabilidad a COVINOC surge por tener, para el caso, según la Jurisprudencia constitucional citada, la “capacidad de determinación” o la “capacidad de influencia de hecho” para Frente este aspecto en particular llama la atención del Despacho que, a pesar de existir entre las partes un acuerdo adicional en el que se establecen aspectos mínimos de seguridad que debe seguir Covinoc en las labores relacionadas con el contrato de administración de cartera, éstas no se tuvieron en cuenta al momento de realizar la gestión de cobro del quejoso.
“Por la cual se resuelve un recurso de apelación” definir, actuar y concretar los medios y finalidades del tratamiento. No entenderlo así, generaría consecuencias inconstitucionales o absurdas. En efecto, si se considerara que COVINOC debía responder como encargado, en tanto se limitó a actuar en los términos del contrato de encargo, no solo la afirmación sería contrafáctica, sino que la responsabilidad le sería imputable a REINTEGRA, como un supuesto “auténtico” Responsable.
En tal hipótesis, que esta Delegatura no puede prohijar, REINTEGRA terminaría respondiendo solidariamente por las consecuencias de un tratamiento de datos personales indebido a partir de unas instrucciones que no emitió, y por la supuesta definición de unos medios y unas finalidades que nunca definió. Esta Delegatura recuerda que la forma, la manera, cómo el agente realmente realiza el tratamiento de la información personal es criterio determinante para establecer el rol de Encargado o Responsable, en los términos establecidos en la Ley 1581 de 2012, y en la Jurisprudencia constitucional citada.
Así las cosas, después de establecer cómo COVINOC obtuvo la información de los empleadores del quejoso, cruzó esa información con la que tenía a disposición cedida por REINTEGRA y motu proprio decidió utilizarla con la finalidad de lograr el pago de la deuda por medios o canales indebidos, es claro que se actualizan los rasgos característicos de la figura del Responsable.
Por tanto, esta Delegatura considera que en el presente caso no hubo violación alguna al debido proceso de COVINOC, la calidad en que fue sancionado por la Dirección se fundamenta en los hechos probados y no controvertidos en este caso, y sobre todo se ajusta a la normatividad y a la jurisprudencia que lo gobiernan. En conclusión, esta Delegatura considera que no existe mérito suficiente para desestimar, por tales razones, la validez de la Resolución de la Dirección ahora impugnada. 6.1.2.
Sobre el desconocimiento del derecho de defensa y la falsa motivación en los fundamentos de derecho del acto administrativo por aplicación indebida de la norma Considera la recurrente que en la presente actuación administrativa se vulneró el derecho de defensa de su representada, y que, existe una falsa motivación en los fundamentos de derecho del acto administrativo que impuso la sanción. Para sustentar su dicho indica que la Dirección no tuvo en cuenta lo dispuesto en el artículo 47 del CPACA, pues no indicó de manera clara y concreta las “disposiciones presuntamente vulneradas”.
Afirma que para que un administrado pueda ejercer de manera adecuada su derecho de defensa y contradicción, se debe informar los cargos que se le imputan y las normas presuntamente vulneradas. Indica que, si en el marco del proceso delimitado por el artículo 47 del CPACA existe una identificación indebida de las normas incumplidas, se generaría una irregularidad sustancial que cercenaría el derecho del administrado de defenderse de manera adecuada, lo cual, a su vez, daría lugar a la nulidad del acto administrativo.
Considera que la resolución está inmersa en las causales de nulidad establecidas en el artículo 137 del CPACA, en la medida que COVINOC no actúa en calidad de Responsable sino de Encargado, calidad que no tuvo en cuenta la Dirección al momento de la formulación de los cargos y que posteriormente sirvieron de base para la imposición de la sanción. Se configura entonces una falsa motivación del acto administrativo, por la apreciación errónea que se hiciera de los hechos.
Insiste la recurrente que su representada actúa como Encargado del tratamiento, y no como Responsable como se indicó. Afirma que la Dirección le está endilgando obligaciones que no le corresponden, vulnerando de esta manera el principio de tipicidad, y, en consecuencia, el debido proceso. “Por la cual se resuelve un recurso de apelación” • Aplicación del artículo 47 del CPACA6.
El cumplimiento de los requisitos descritos en esta norma garantiza al administrado el pleno ejercicio de su derecho de defensa. Bajo esta premisa y con el fin de resolver el argumento presentado por la recurrente es necesario analizar el acto administrativo mediante el cual la Dirección formuló cargos a COVINOC. Mediante la Resolución No. 29924 del 31 de mayo de 2023, la Dirección cuando la Dirección formuló los cargos: (i) Describió con precisión y claridad los hechos que dieron origen a la presente actuación administrativa, relacionando la queja presentada por el señor xxxxxxxxxxxx xxxxxxx.
(ii) Estableció que COVINOC en calidad de Responsable, es la persona jurídica objeto de la presente investigación. (iii) Relacionó de manera concreta los deberes presuntamente incumplidos por COVINOC, y las normas que los contienen, a saber: el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la citada norma.
(iv) Finalmente determinó cuáles, de conformidad con lo establecido en el artículo 23 de la Ley 1581 de 2012, serían las consecuencias jurídicas si se llegase a determinar que efectivamente vulneró el régimen de protección de datos personales. Conforme lo anterior, evidencia el Despacho que, en la formulación del citado cargo, siguió al pie de la letra los requisitos establecidos en el artículo 47 del CPACA, adicionalmente sustenta la decisión en el amplio análisis que se hiciera respecto de las pruebas allegadas en la etapa preliminar. • Vulneración del Debido Proceso de COVINOC.
Sostiene la Recurrente que la Dirección vulneró el debido proceso de su representada pues, no logró ejercer una debida defensa en tanto el cargo formulado fue en calidad de Responsable y no de Encargado, por lo que se le están endilgando obligaciones que como encargado no está en la obligación de cumplir. Pues bien, el debido proceso es un derecho fundamental consagrado la Constitución Política7, que se traduce en las garantías mínimas que tiene todo ciudadano frente a las prerrogativas ejercidas por las autoridades administrativas y judiciales en sus diferentes actuaciones.
De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca:
ARTÍCULO
47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.
Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.
Contra esta decisión no procede recurso. Constitución Política, artículo 29: “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.
En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.
Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso“. “Por la cual se resuelve un recurso de apelación” “( ) “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”8. De igual forma, la Corte se refirió a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “(…) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”9.
(Negrilla fuera de texto) Frente al citado argumento es importante indicar, en primer lugar, que la imputación realizada por la Dirección obedece a la actividad preliminar que hiciera con el fin de juntar los elementos de hecho y derecho necesarios para sustentar, como bien lo hizo, el cargo formulado a COVINOC en calidad de Responsable.
Este aspecto se evidencia con la solicitud de explicaciones hecha por la Dirección, y con la respuesta dada a la misma tanto por REINTEGRA como por COVINOC. COVINOC, conforme al trámite administrativo sancionatorio desarrollado en el artículo 47 y siguientes del CPACA, ha participado de manera activa en cada una de las etapas procesales: presentó descargos y alegatos de conclusión, y finalmente hizo uso de los recursos de que trata el artículo 74 del CPACA.
El pliego de cargos fue claro, los hechos objeto de investigación también, las pruebas allegadas al expediente estuvieron disponibles para su escrutinio y análisis, y existe congruencia entre el pliego de cargos y la resolución sancionatoria. En este orden de ideas, en el presente trámite administrativo se han respetado por parte de la Dirección y de este Despacho cada una de las garantías constitucionales para que COVINOC ejerza en debida forma su derecho de defensa. • Nulidad de la Resolución No. 61591 del 11 de octubre de 2024.
En lo que tiene que ver con la solicitud de nulidad hecha por la recurrente, en virtud de las normas establecidas en el CPACA sólo la jurisdicción de lo contencioso administrativo tiene la competencia para declarar la nulidad de la Resolución No. 61591 del 11 de octubre de 2024, en los términos solicitados en el recurso de apelación. Cualquier autoridad del orden administrativo carece de dicha facultad, por lo que no es posible pronunciarse al respecto. 6.2.
Respecto del Principio de Proporcionalidad en la imposición de la sanción. 6.2.1.Valoración de las medidas apropiadas, efectivas, útiles, oportunas y demostrables puestas en marcha por COVINOC, para garantizar la seguridad y confidencialidad de la información. Indica la recurrente que “comprendiendo que existió en todo caso un indebido tratamiento de datos personales ocasionado por la divulgación indebida de los mismos, COVINOC busca reiterar su compromiso con la garantía de la seguridad y confidencialidad de los datos personales.
Para lo anterior, de manera anterior y autónoma frente a los sucesos que dieron lugar a la presente actuación administrativa, solicito a la Autoridad tenga en cuenta los esfuerzos adelantados por COVINOC quien sí ha llevado a cabo acciones encaminadas a fijar medidas Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo.
Ibidem. “Por la cual se resuelve un recurso de apelación” de seguridad suficientes de conformidad lo establecido en la regulación colombiana de protección de datos”. Enumera en este punto algunas de las acciones implementadas: • • • • • • • • Política de Protección de Datos Personales y la Privacidad de la Información Política General de Seguridad de la Información Lineamiento de Gestión de Incidentes de Seguridad de la Información y Ciberseguridad Lineamientos de Gestión de Cobranza para NPL´s (Anexo 7) y Gestión de Cobranza ASSET Acuerdos y mecanismos jurídicos para trabajadores Acuerdos con terceros Identificación y gestión de riesgos Programa de capacitaciones y fortalecimiento de la cultura de privacidad En el presente caso, conforme los hechos denunciados, la Dirección concluyó que COVINOC incumplió el deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma, los cuales establecen lo siguiente: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” Efectivamente, de conformidad con lo establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, la información sujeta a tratamiento tanto por el “Responsable” como por el “Encargado” debe ser manejada con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, y así evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
El principio de seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables y Encargados a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas. Frente al citado principio la Corte Constitucional, mediante Sentencia C-748 de 2011, manifestó lo siguiente: “2.6.5.2.7.
Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar “Por la cual se resuelve un recurso de apelación” seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”[240]10, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.
En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados. En el año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales” o “SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de “parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos”. [241]11 Concordante con lo anterior, el principio de acceso y circulación restringida12 establece que el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos personales, de las disposiciones de la ley y la Constitución Política.
En este sentido, el Tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley. En la mencionada sentencia, en lo que tiene que ver con el citado principio, precisó: “2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.
Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. En relación con el primer inciso, deben hacerse las siguientes precisiones. Como se explicó anteriormente, esta Ley Estatutaria, al establecer las condiciones mínimas en el manejo de la información, no agota la regulación en materia de habeas data, y por tanto, el Tratamiento estará también sujeto a la normatividad que se expida posteriormente.
En cuanto al segundo inciso, la norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa, es decir, lo que la jurisprudencia ha denominado el principio de individualidad del dato. Como consecuencia de lo anterior, queda prohibido generar efectos jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos. [240] El término es utilizada por el Dictamen 3/2010 sobre el principio de responsabilidad, emitido por el Grupo de Protección de Datos de la Unión Europea. [241] La seguridad, es uno de los elementos que debe contar con las garantías necesarias de protección de datos personales en los SRS.
En consecuencia, el Grupo de Trabajo diseñó ciertos parámetros bajo los cuales el acceso a la información personal en redes sociales debe estar protegido, pues de no ser así, generaría desconfianza en el usuario, al no tener la certeza de que su información no va a ser tratada adecuadamente. Al especto se indicó: “Los SRS deberían pues establecer parámetros por defecto respetuosos de la intimidad, que permitan a los usuarios aceptar libre y específicamente que personas distintas a sus contactos elegidos accedan a su perfil, con el fin de reducir el riesgo de un tratamiento ilícito por terceros.
Los perfiles de acceso ilimitado no deberían ser localizables por los motores de búsqueda internos, incluso por la función de búsqueda por parámetros como la edad o el lugar (…)”. ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; “Por la cual se resuelve un recurso de apelación” De otra parte, y en relación con ese segundo inciso, uno de los interviniente solicita a esta Corporación, declarar su constitucionalidad bajo los siguientes condicionamientos: (i) se debe evitar que los datos privados, semiprivados, reservados o secretos puedan estar junto con los datos públicos, y por tanto, los primeros no pueden ser objeto de publicación en línea, a menos que se ofrezcan todos los requerimientos técnicos y (ii) se debe eliminar cualquier posibilidad de acceso indiscriminado, mediante la digitación del número de identificación a los datos personales del ciudadano. Considera la Sala que tales condicionamientos no son necesarios, por cuanto la misma norma elimina estas posibilidades.
En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4.
Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos.” Por su parte, el principio de confidencialidad agrega un sentido de responsabilidad a quienes realizan el tratamiento de datos personales, pues, de acuerdo con su definición, “[t]odas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento”13.
El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, dispone que “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.
Sobre este particular, la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia-validez del principio de responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.
A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.
El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la Literal h) del artículo 4 de la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de apelación” vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”14 (Destacamos) De conformidad con lo anteriormente indicado, tanto Responsable como Encargado del tratamiento de los datos personales deben estar en la capacidad de demostrar que tienen implementadas las medidas de seguridad necesarias para prevenir cualquier tipo de riesgo que pueda comprometer el tratamiento seguro de los datos personales recolectados y evitar su divulgación a personas que no hayan sido autorizadas por parte del titular.
Para lograr que las actividades de prevención tengan un impacto positivo en el tratamiento de datos personales es necesario que las personas que laboran en la empresa sean capacitadas sobre su importancia y la forma en que debe realizarse ese tratamiento para que no vulnere las normas constitucionales y legales que lo protegen. En relación con el principio de seguridad de la información, llama la atención del Despacho que COVINOC y REINTEGRA suscribieron adicionalmente un acuerdo relacionado con los aspectos mínimos de seguridad de la información respecto del tratamiento de datos personales en actividades de recuperación de cartera.
Conforme lo anterior, COVINOC tenía conocimiento de las medidas de seguridad en el tratamiento de datos personales, que debía adoptar para el correcto desarrollo de las gestiones de recuperación de cartera, sin embargo, no fue suficiente para prevenir la ocurrencia de la conducta investigada. Ahora bien, la recurrente allega una serie de documentos relacionados con las medidas que en materia de protección de datos han sido implementadas al interior de la organización. Pero no es posible determinar si éstos se encontraban vigentes o en ejecución al momento en que ocurrió el hecho que dio origen a la presente actuación administrativa.
Adicionalmente se evidencia una serie de archivos en formato Excel en los que se puede verificar los siguientes documentos: Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm “Por la cual se resuelve un recurso de apelación” 1.
Matriz de riesgos: No se establece de manera clara y concreta la fecha de expedición de la misma, es decir, si para el momento en que ocurrió la conducta que se investiga se encontraba vigente. 2. Matriz de capacitación interna y externa: Frente a esta Matriz, evidencia el Despacho que las capacitaciones allí descritas relacionadas con la seguridad de la información, protección de datos personales y riesgos e incidentes de seguridad, se llevaron a cabo en diversas fechas en el año 2024. 3.
Plan de capacitaciones correspondiente al año 2024. Aunque COVINOC alega que tiene implementadas diferentes políticas y medidas al interior de su organización relacionadas con la seguridad de la información que fuera objeto de tratamiento para la recuperación de cartera, lo cierto es que no es posible determinar que las mismas se encontraran vigentes para el momento en que sucedió el hecho investigado.
A la misma conclusión llega el Despacho en lo que tiene que ver con las capacitaciones realizadas, todas realizadas en fechas posteriores a la comisión de la conducta. Conforme lo anterior, no puede este Despacho concluir que las medidas implementadas fueron suficientes para evitar que la conducta reprochada ocurriera, por lo que no puede tenerse en cuenta como una eventual razón para disminuir el valor de la sanción impuesta. 6.2.2.Dosificación excesiva de la sanción. Respecto de la proporcionalidad de la sanción impuesta la recurrente, considera que la decisión de la SIC de imponer una multa equivalente a $569.101.568 constituye una vulneración al principio de proporcionalidad.
Sostiene la recurrente que: “si bien la regulación de protección de datos personales no establece unos rangos específicos para la imposición de la sanción, únicamente existiendo el tope máximo (2000 SMLV), no hay un criterio que permita establecer con mayor claridad la dosimetría de la sanción. No obstante lo anterior, el artículo 24 de la Ley 1581 de 2012 establece los criterios de graduación que deberán ser tenidos en cuenta al momento de decidir sobre la sanción a imponer, a saber: (a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley;
(b) el beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; (c) la reincidencia en la comisión de la infracción; (d) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la SIC; (e) la renuencia o desacato a cumplir las órdenes impartidas por la SIC; (f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
Resalta la recurrente que, “de conformidad con lo establecido por la SIC en la Resolución, en el caso bajo análisis no se configuraron los agravantes establecidos en los literales (b), (c), (d) y (e) anteriores, así como tampoco se aplicó el atenuante del literal (f). De igual forma, si bien no lo manifiesta expresamente, se entiende que la autoridad tampoco dio aplicación al agravante del literal (a), por cuanto no realizó en la decisión un análisis sobre un potencial daño a los intereses jurídicos del titular.
Por lo tanto, y en la medida en que no se evidencia la configuración de dicho daño (o incluso su potencialidad), no sería aplicable dicho agravante. Así las cosas, debería entenderse que, al no existir situaciones agravantes en la conducta de COVINOC, ante un eventual incumplimiento de la regulación, la dosificación de una sanción debería ubicarse lejos de las sanciones más altas”.
Adicionalmente, la recurrente hace una relación de las últimas 19 sanciones impuestas por la Dirección a otras empresas, comparando el valor de los ingresos de cada una, el valor de la sanción impuesta y las normas vulneradas. Aspecto sobre el cual alega lo siguiente: “De los diecinueve (19) actores sancionados examinados en la tabla, se puede ver que dieciocho (18), al momento de la dosificación de la sanción, contaban con activos totales superiores a aquellos de COVINOC, mientras que dieciséis (16) contaban con ingresos superiores a mi representada (según datos de los estados financieros “Por la cual se resuelve un recurso de apelación” publicados por los actores y/o disponibles en el Sistema Integrado de Información Societaria de la Superintendencia de Sociedades).
Sin contar además que dichos actores responden a un tratamiento de información personal similar al adelantado por COVINOC. Sin embargo, solo dos (2) de las sanciones revisadas fueron superiores a aquella impuesta en la Resolución. Cabe aclarar que, de acuerdo con las decisiones que se encuentran publicadas en la página web de la SIC, la sanción impuesta a COVINOC es la segunda más alta en lo corrido del 2024 y la más alta que se ha impuesto en el año en curso con ocasión a una vulneración de la Ley 1581 de 2012.
Adicionalmente, no sobra resaltar que, en el caso de la Resolución 31870 de 2023, el caso objeto de sanción implicó una situación fáctica casi idéntica a la analizada en la Resolución, en la medida en que implicó la divulgación indebida de los datos personales de un titular, por cuenta de un error humano, imputándose exactamente los mismos cargos y aplicándose los mismos criterios de graduación. No obstante, en este caso, tratándose de una sociedad con activos totales equivalentes a COP $23.428.698.444.000 (363 veces más que COVINOC) e ingresos equivalentes a COP $14.613.999.381.000 (127 veces más que COVINOC), recibió una sanción equivalente a COP $90.040.676 (antes de allanarse), lo cual constituye una sanción seis veces menor a la impuesta a mi representada.
Finalmente, ponemos de presente que seis (6) de los sancionados que se analizan en la tabla fueron sancionados por la infracción a más de un deber establecido en la regulación de protección de datos, pero cinco (5) de estos obtuvieron una sanción más baja que la impuesta a COVINOC. Por otro lado, en siete (7) de los casos evaluados se identificó que existió un agravante por renuencia en la conducta, pero solo dos (2) de estos casos obtuvieron sanciones más altas que la de COVINOC, resaltando que se trató de sanciones para un mismo actor, cuyos activos totales e ingresos ascienden a las decenas de billones de pesos, realidad financiera considerablemente diferente a la de mi representada”. 6.2.2.1.
Facultad sancionatoria de la Superintendencia de Industria y Comercio. En términos generales, el derecho administrativo sancionador pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”15 En un pronunciamiento reciente, la Corte Constitucional16 sostuvo que el derecho administrativo sancionador “es una manifestación del ius puniendi estatal”17, esto es, de la facultad que tiene el Estado para sancionar las conductas que se consideran reprochables.
Dada su naturaleza, es una rama del derecho público que está sometida a unos principios “que operan como límite”18, entre ellos, los principios de legalidad y tipicidad19. Se trata entonces de una facultad discrecional limitada. De conformidad con lo establecido en el artículo 3 del CPACA20, las actuaciones sancionatorias definidas en el artículo 47 y siguientes de la misma codificación, se desarrollarán, con arreglo al principio del debido proceso21, en virtud del cual se tendrán en cuenta las normas de procedimiento y competencia establecidas en la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción, así como del principio de legalidad de las faltas y de las sanciones.
Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. Sentencia C- 094 de 2021 Sentencia C-412 de 2015. Ib. La Corte Constitucional también ha considerado como principios del derecho administrativo sancionador el debido proceso, el principio de proporcionalidad y la independencia entre la sanción administrativa y la sanción penal (cfr., sentencia C-748 de 2011, citada por la sentencia C-412 de 2015).
La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA.
Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 Efectivamente, el artículo 29 de la Constitución Política, establece que el “debido proceso” se aplicará a toda clase de actuaciones judiciales y administrativas, así mismo indica que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”, aspectos que se materializan en los principios de legalidad y tipicidad.
“Por la cual se resuelve un recurso de apelación” En lo que tiene que ver con el principio de legalidad, la doctrina ha indicado que su finalidad es garantizar la libertad de los titulares y controlar la arbitrariedad judicial y administrativa mediante el señalamiento legal previo de las penas aplicables. Y aunque se ha reconocido que el derecho administrativo sancionador no tiene la misma rigurosidad exigible en materia penal, el comportamiento sancionable debe estar precisado inequívocamente, como también la sanción correspondiente a fin de garantizar el derecho al debido proceso a que laude el artículo 29 Superior22.
Respecto al principio de tipicidad, se ha dicho que el legislador está obligado a describir la conducta o comportamiento que se considera ilegal o ilícito en la forma más clara y precisa posible, de modo que no quede duda alguna sobre el acto, el hecho, la omisión o la prohibición que da lugar a una sanción. Igualmente, debe predeterminar la sanción indicando todos aquellos aspectos relativos a ella, esto es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición23.
En materia de protección de datos personales, la potestad sancionatoria de esta Superintendencia se concreta en el artículo 22 de la Ley 1581 de 2012, el cual establece que, para la imposición de una sanción deberá determinarse, previo el desarrollo de la actuación administrativa correspondiente, que hubo un desconocimiento de los deberes prescritos en la citada Ley.
Mediante sentencia C–748 del 6 de octubre de 2011, la Corte Constitucional cuando estudió la constitucionalidad del artículo 22 antes mencionado, manifestó: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción285.
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
De esta misma generalidad adolecía el proyecto que dio origen a la Ley 1266 de 2008, y la Corte, en la sentencia C-1011 de 2008, interpretó que la infracción administrativa la constituía el desconocimiento de los deberes de los usuarios, fuentes y operadores. Esa interpretación será la misma que empleará en esta oportunidad la Sala para declarar la exequibilidad del inciso primero del artículo 22, cuando se refiere al “incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento”.
Restrepo Medina, MANUEL ALBERTO. Nieto Rodríguez MARÍA ANGELICA. El Derecho Administrativo Sancionador en Colombia. Editorial Universidad del Rosario. Legis. Bogotá Colombia Primera Edición 2017. Ibidem “Por la cual se resuelve un recurso de apelación” Conforme lo anterior, para la imposición de una sanción, si el operador jurídico, a partir de las resultas de la actuación administrativa correspondiente, determina que un responsable o encargado vulneró el régimen de protección de datos personales, debe imponer la sanción correspondiente.
Esa facultad, si bien discrecional24 no es del todo ilimitada. Debe aplicarse conforme los principios de legalidad y tipicidad antes desarrollados. El estudio que de los mismos realizó la Dirección al momento de evaluar los supuestos de hecho y de derecho son suficientes para determinar que la conducta desplegada por COVINOC es efectivamente merecedora de una sanción administrativa. 6.2.2.2.
Proporcionalidad de la Sanción. La facultad sancionatoria a la cual se ha hecho referencia a lo largo del presente acto administrativo, además de encontrarse sujeta a los principios de legalidad y tipicidad, lo está también al principio de proporcionalidad. En virtud de este principio, la sanción a imponer debe ser “proporcional” a la falta o infracción que se quiere sancionar, esto dentro de un marco de referencia que permita la determinación de la sanción en el caso en concreto.
Ese criterio de proporcionalidad busca que la sanción que vaya a ser impuesta sea consecuente y equilibrada respecto de la conducta reprochada, es decir, debe ser adecuada a la norma que le da sustento y estar en función del incumplimiento del deber y de la gravedad de la falta, pues lo que se pretende con su imposición es promover y garantizar el cumplimiento del Régimen de Protección de Datos Personales.
En desarrollo de los citados principios, la Ley 1581 de 2012 en sus artículos 23 y 24 establece las clases de sanciones y los criterios que deben ser tenidos en cuenta para efectos de su graduación. “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
(…)
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Respecto de la aplicación de los criterios para la imposición de la sanción, la Dirección tuvo en cuenta el literal a) del artículo 24 de la Ley 1581 de 2012, relacionado con la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. La jurisprudencia constitucional ha indicado que la discrecionalidad debe ser ejercida siempre dentro de parámetros de racionalidad, proporcionalidad y razonabilidad, en tal sentido, ha identificado como límites para el ejercicio de dicha facultad, los siguientes: a) debe existir una norma de rango constitucional o legal que contemple la discrecionalidad expresamente, b) su ejercicio debe ser adecuado a los fines de la norma que la autoriza, y c) la decisión debe ser proporcional a los hechos que le sirven de causa.
Por su parte, el artículo 44 del C.P.A.C.A. establece que, en la medida en que el contenido de una decisión de carácter general o particular sea discrecional, debe ser “adecuada” a los fines de la norma que la autoriza, y “proporcional” a los hechos que le sirven de causa; lo anterior supone que debe existir una razón o medida entre la realidad de hecho y el derecho que supone la verdad de los hechos y su conexidad con la decisión, se dice entonces, que la discrecionalidad tiene como medida la “razonabilidad”.
(Consejo de Estado – Sala de lo Contencioso Administrativo Sección Segunda Subsección B Consejero Ponente: Sandra Lisset Ibarra Vélez.) “Por la cual se resuelve un recurso de apelación” A consideración de la recurrente, en la presente actuación administrativa no se demostró la configuración de un daño o perjuicio respecto del titular, por lo que este criterio no podría ser aplicado.
Para ejercer la facultad sancionatoria no es necesario demostrar ni tasar un perjuicio específico, basta con determinar a partir de la actividad probatoria que se realice, que hubo una infracción de la norma. En este caso aquellas establecidas en la Ley 1581 de 2012. En los siguientes términos lo ha dicho el Consejo de Estado25: “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico.
En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material). Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia [94]26.
Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma [95]27”, de allí que se sostenga que el reproche recae sobre “la mera conducta”.
En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración [96]28.” Frente a la consideración del criterio para la graduación de las sanciones consistente en apreciar “la dimensión del daño o peligro a los intereses jurídicos tutelados” frente al acto administrativo recurrido, esta Delegatura constata que la Dirección precisó que, conforme a dicho literal, no se exige la demostración de un perjuicio concreto para la imposición de la sanción, sino que basta con acreditar que la conducta generó un daño o puso en peligro los intereses jurídicos tutelados, en especial, los relacionados con el derecho fundamental a la protección de datos personales.
En el presente caso, se acreditó que la conducta de COVINOC no solo generó un peligro a los intereses jurídicos tutelados que puede considerarse como un riesgo abstracto, sino que produjo una afectación concreta al derecho fundamental de habeas data de un titular específico: el señor xxxxxxxxxxxx xxxxxxx, quien interpuso la queja ante la Superintendencia Financiera de Colombia porque consideró que la práctica de COVINOC lesionó sus derechos e intereses.
Queja que fue trasladada a esta Superintendencia y a partir de la cual se adelantó la presente actuación administrativa. Por otra parte, no desconoce esta Delegatura que este tipo de conductas ilustran, demuestran, son prueba viva de la existencia de un peligro real para los intereses jurídicos tutelados de titulares indeterminados cuyos datos personales también eran para el momento de los hechos investigados objeto de tratamiento por COVINOC.
Así las cosas, no son de recibo las razones expuestas por la recurrente en su escrito. Esta Delegatura encuentra que la aplicación del criterio agravante Consejo de Estado – Subsección C). Radicación número: 05001-23-24-000-1996-00680-01(20738) Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012). Consejero ponente: ENRIQUE GIL BOTERO. [94] RINCÓN CÓRDOBA, Jorge Iván. Derecho Administrativo Laboral.
Bogotá, Universidad Externado de Colombia. Pág. 595. [95] Ibídem. [96] BIELSA, Rafael. Derecho Administrativo. Tomo IV. El Poder de Policía. Limitaciones Impuestas a la Propiedad Privada en Interés Público. Administración Fiscal. Buenos Aires, Depalma. 1956. Pág. 69. “Por la cual se resuelve un recurso de apelación” previsto en el literal a) del artículo 24 de la ley se encuentra plenamente justificada, contrario a lo que señala la Recurrente. 6.2.2.3.
Respecto de los supuestos precedentes sancionatorios. Esta Delegatura no comparte el argumento de la recurrente que cuestiona la legalidad de la Resolución ahora impugnada por no haber tenido como referencia las sanciones impuestas en 19 actuaciones administrativas diferentes, en relación con el monto o la proporcionalidad de la sanción impuesta.
En primer lugar, tal como lo reconoce la recurrente en su propio escrito de apelación, 16 de esas sanciones no guardan ni de lejos relación con los hechos, circunstancias y actores objeto de escrutinio en el presente caso. Tampoco guardan relación con la vulneración del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 por la cual fue sancionada y, además, como esta Delegatura lo evidencia, no se trata de empresas o sociedades que tengan el mismo objeto social, o si quiera uno parecido, al de la ahora recurrente.
No puede esta Delegatura aceptar este argumento que pretende crear una fuerza mostrativa en masa, que no está precedido de un análisis detallado de la pertinencia y adecuación necesarias para ilustrar un cargo por la presunta falta de proporcionalidad de la sanción impuesta en la resolución ahora recurrida. No obstante lo anterior, esta Delegatura no pasa por alto la mención a sendas resoluciones en las que hubo un pronunciamiento sobre el mismo deber legal cuyo incumplimiento originó la responsabilidad administrativa de COVINOC.
En relación con este argumento, la Delegatura recuerda que cada actuación administrativa parte de hechos concretos, circunstancias particulares y valoraciones probatorias distintas, que impiden establecer una comparación directa o automática entre las decisiones adoptadas por la Autoridad en cada caso. También recuerda que la Ley no reconoce que las decisiones de la administración tengan la vocación de fijar precedente, ni que exista en la administración pública, en el contexto del ejercicio de la facultad sancionatoria, una especie de principio de stare decisis administrativo.
En cambio, el proceso sancionatorio está sujeto a los principios de individualización y análisis del caso concreto, lo cual implica que la conducta, el contexto de su ocurrencia, los riesgos generados, las consecuencias producidas, el grado de diligencia del responsable y la naturaleza de los datos comprometidos, entre otros, deben ser objeto de valoración particular e independiente en cada expediente.
En ese sentido, las circunstancias específicas de cada caso hacen que las resoluciones sancionatorias no sean trasladables como precedentes numéricos automáticos. Cada decisión se construye sobre su propio acervo probatorio, de manera que no existe un criterio de “tarifación” uniforme o porcentual aplicable a todos los casos de vulneración del deber de seguridad o de cualquier otro deber.
La valoración individual y autónoma, en el contexto de los principios de legalidad y proporcionalidad en el que la autoridad ejerce su discrecionalidad limitada, es lo que sustenta la validez y razonabilidad de la sanción impuesta. En el presente caso, la Dirección se movió en el marco de dichos principios. La multa impuesta a COVINOC ($569.101.568), corresponde al 22.4% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes) establecido en el artículo 23 de la Ley 1581 de 2012.
La imposición de esta multa estuvo precedida por un análisis integral de los elementos propios y particulares de este caso, y tuvo en cuenta factores como la dimensión del daño o peligro, el tamaño de la empresa, su situación financiera y la conducta desplegada por la sociedad investigada. En este contexto, la sanción fue calculada de manera proporcional, con base en el patrimonio y la “Por la cual se resuelve un recurso de apelación” capacidad económica de la sociedad, garantizando así un efecto disuasorio sin que resultara confiscatoria y en el marco de la discrecionalidad limitada de la administración. Esta Delegatura no advierte entonces el desconocimiento de los principios que gobiernan el ejercicio de la potestad sancionatoria y no encuentra que la recurrente haya logrado demostrar algo semejante al sustentar su recurso de apelación.
SÉPTIMO. Conclusiones. • COVINOC asume el rol de Responsable en el momento que, por su propia cuenta, decide realizar el tratamiento de la información encontrada en línea para ubicar el titular y realizar una gestión de cobro indebida, ilegal e inconstitucional. Estas conductas excedieron los términos del contrato de administración de cartera con REINTEGRA relacionadas con el tratamiento de los datos personales. • COVINOC divulgó información financiera del titular a terceros no autorizados y no pudo impedir como no impidió dicho tratamiento indebido, lo cual constituye un incumplimiento del deber legal previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los principios de seguridad, y acceso y circulación restringida. • Los argumentos de defensa presentados por la Recurrente resultan insuficientes, pues las pruebas aportadas si bien demuestran una implementación de políticas, no es posible determinar que las mismas estuvieran vigentes o fueran eficaces antes de que se presentara la conducta reprochada en la presente actuación administrativa. • Para ejercer la facultad sancionatoria, no es necesario tasar un daño o perjuicio que afecte una persona en concreto, basta con que se demuestre, a partir de la actividad probatoria que se realice en la actuación administrativa correspondiente, que hubo una infracción de la norma, en este caso aquellas establecidas en la Ley 1581 de 2012. • La sanción impuesta fue determinada con base en una valoración individual del caso, dentro del marco le gal y de manera proporcional a la gravedad de la conducta y a la capacidad económica de la sociedad, sin que los argumentos de la Recurrente desvirtúen la legalidad ni la proporcionalidad de la medida adoptada. • La comparación con sanciones impuestas en otros casos no resulta procedente, pues cada actuación administrativa se basa en hechos, circunstancias y pruebas particulares.
La legalidad y proporcionalidad de la sanción impuesta en el presente caso se sustenta en una valoración individual, sin que exista un criterio uniforme o automático aplicable a todas las infracciones del deber de seguridad o de cualquier otro deber. • La multa impuesta a COVINOC ($569.101.568), corresponde al 22.4% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
Por lo que se encuentra en el marco de lo permitido en la Ley y en el cual se mantuvo la Dirección en el ejercicio de su discrecionalidad limitada. • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables y encargados del tratamiento. • El incumplimiento del deber de seguridad y la prohibición de acceso no autorizado, implicó al mismo tiempo la vulneración del derecho de habeas data de un titular plenamente identificado (el quejoso) y la puesta en riesgo “Por la cual se resuelve un recurso de apelación” de los intereses protegidos por el derecho a la protección de datos personales de titulares indeterminados. • La sanción impuesta cumple con los principios de legalidad y proporcionalidad, es adecuada al tipo de falta y a su magnitud, redunda en la garantía efectiva del derecho fundamental al habeas data de un titular identificado y de titulares indeterminados pero identificables y sirve al propósito de generar un efecto disuasorio que evite la repetición de la infracción por este o por cualquier responsable o encargado del tratamiento de datos personales.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura procederá a confirmar en su integridad la Resolución No. 61591 del 11 de octubre de 2024 por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 61591 del 11 de octubre de 2024, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COVINOC S.A., identificada con el NIT 860.028.4621, a través de su representante legal o apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR el contenido del presente acto administrativo a XXXXX XXXX XXXXXXXXXXXX XXXXXXX, identificado con la cédula de ciudadanía No. XX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 de julio de 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente JUAN CARLOS JUAN CARLOS por UPEGUI MEJIA UPEGUI MEJIA Fecha: 2025.07.21 15:03:42 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó y aprobó: JCUM