Resolución sancionatoria N° 64958 de 2022

(21 SEPTIEMBRE 2022) VERSIÓN PÚBLICA “Por la cual se impone una sanción” Radicación: 21-169379 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que en la Resolución No. 78555 del 07 de diciembre de 2020, expedida por la Dirección de Investigación de Protección de Datos Personales, se ordenó lo siguiente: “ARTÍCULO CUARTO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Hábeas Data lo pertinente”.

SEGUNDO: Que en la parte motiva de la Resolución No. 78555 del 07 de diciembre de 2020, expedida por la Dirección de Investigación de Protección de Datos Personales, se indicó lo siguiente: “10.1 Respecto al deber de contar con la Autorización del titular La Ley 1581 de 2012 desarrolló el artículo 15 de la Constitución Política, el cual consagró el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, en especial los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. ‘(…) El artículo 15 de la Constitución de 1991 reconoció explícitamente el ‘(…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas’ y además dispuso que ‘[e]n la recolección, tratamiento y circulación de datos se respetará la libertad y demás garantías consagradas en la Constitución’.

Estos preceptos leídos en conjunto con la primera parte del mismo artículo 15 – sobre el derecho a la intimidad, el artículo 16 –que reconoce el derecho al libre desarrollo de la personalidad- y el artículo 20 – sobre el derecho a la información activo y pasivo y el derecho a la rectificación- de la Carta, han dado lugar al reconocimiento de un derecho fundamental autónomo catalogado como derecho al habeas data, y en algunas oportunidades, como derecho a la autodeterminación informativa o informática.

(…)’. En el artículo 9 de la Ley 1581 del 2012, se establece lo relacionado a la autorización previa e informada por parte del titular de la información, la cual se encuentra ligada a que este cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, que resultan vitales para salvaguardar los derechos a la intimidad y al buen nombre, al respecto la corte en la Sentencia T-017 de 2011 se pronunció en los siguientes términos: ‘En cuanto al núcleo esencial del habeas data, se ha dicho que está constituido por el derecho a la autodeterminación informática y por la libertad en general, y en especial la libertad económica.

Quiere esto decir que el habeas data confiere a su titular la posibilidad efectiva de controlar la inclusión de su información personal en los referidos archivos y bancos de datos, siendo la autorización previa y consciente de la persona concernida un PAGE \* MER GEFO requisito indispensable para la válida recolección y almacenamiento de estos datos.

La RMA autodeterminación informática incluye también la posibilidad que toda persona tiene de conocer, actualizar y rectificar la información personal que se haya recogido sobre ella. En T8 “Por la cual se impone una sanción” cuanto a la libertad económica, ha dicho la Corte que ésta puede ser vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no hayan sido autorizados por la persona concernida o por la ley’.

Por su parte, el artículo 17 de la Ley 1266 de 2008 [SIC] contempla los deberes que les asisten a los responsables y encargados del tratamiento fuentes de información [SIC] estableciendo lo siguiente: ‘ARTÍCULO

17. DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad. ‘(…) b. Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. c. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

(…)’. Anudado a lo anterior es necesario mencionar que el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 donde se define la forma en que se debe otorgar la autorización: ‘(…)

ARTÍCULO 2. 2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (Decreto 1377 de 2013, art. 5)

ARTÍCULO 2. 2.2.25.2.3. De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones: 1.

Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. 2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles. (…)’. En este orden de ideas, la ausencia de autorización previa y expresa otorgada por el titular de la información, implica que los datos asociados al reclamante no pueden ser recolectados ni tratados, por ser la autorización el núcleo esencial del derecho fundamental de Habeas Data, pues a través de ella el titular del derecho manifiesta su voluntad frente al tercero para el manejo de su información, de ello se desprende la obligación para los responsables y encargados de contar con la misma, y que la información que reportan del comportamiento comercial del titular sea veraz, actualizada y comprobable.

PAGE \* MER GEFO RMA Frente al requerimiento realizado por esta Superintendencia a la sociedad Mervicol S.A.S., respecto a acreditar prueba de la autorización (previa e informada) otorgada por el titular de T8 “Por la cual se impone una sanción” la información para el tratamiento de sus datos personales, la compañía manifiesta que: ‘No se cuenta con la respectiva autorización de la persona para realizar el ofrecimiento comercial de sus servicios pues como se indicó en el numeral anterior la empresa no cuenta con bases de datos por parte de las personas que aceptan de manera voluntaria la prestación de los servicios que se ofrecen.

Adicionalmente nosotros solamente pedimos información al usuario cuando aprueba el servicio’ (consecutivo 4 del expediente digital del sistema de trámites de esta Superintendencia), así las cosas, se encuentra que la sociedad investigada incurrió en un posible incumplimiento al deber consagrado en el artículo 9 de la Ley 1581 de 2012 al realizar llamadas con el fin de ofrecer sus servicios al número telefónico de la reclamante sin contar con su autorización. 10.2 Deber de los responsables y encargados del tratamiento de información de contestar las peticiones (literal j artículo 17 Ley 1581 de 2012).

Los numerales 1, 2 y 3 del artículo 15 de Ley 1581 de 2012, establecen el término máximo con el que cuentan los responsables y encargados de información para atender los reclamos que ante éstos (sic) se presentan y la forma como deben hacerlo. Tal precepto señala que los titulares que consideren que la información contenida en su registro individual debe ser objeto de corrección o actualización pueden presentar un reclamo ante la fuente o el operador, quienes contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo de este y podrán prorrogarlo por el término de ocho (8) días hábiles más. Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de 2008, cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2008, se pronunció acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los responsables o encargados del tratamiento de información señalando lo siguiente: (…) ‘Los artículos 14 y 15 del proyecto de ley regulan los mecanismos de consulta y reclamo del titular del dato o sus causahabientes al responsable o encargado del tratamiento, con el fin de hacer efectivo el derecho al habeas data.

Se señala que: (i) los titulares o sus causahabientes podrán consultar la información personal del titular que repose en cualquier base de datos pública o privada; (ii) los responsables y encargados del tratamiento deben suministrar al titular toda la información contenida en la base de datos bien porque se tenga un registro individual o exista alguna asociada a su identificación;

(iii) el responsable y el encargado del tratamiento deben tener algún medio habilitado para que la consulta se pueda realizar, el cual debe permitir dejar prueba de ello; (iv) la consulta se debe resolver en un término máximo de 10 días hábiles a partir de la fecha de recibo de la solicitud; y (v) en el evento de no poder responderse en ese término, se le debe informar al titular sobre las razones.

De todas maneras la respuesta la debe recibir dentro de los 5 días siguientes al vencimiento del primer plazo. Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución, que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades públicas o privadas, peticiones para establecer que información o datos poseen sobre ellos y los términos para atender las consultas.

El artículo 15 por su parte, regula los reclamos que puede efectuar el titular del dato o sus causahabientes al responsable o encargado del tratamiento con el fin de corregir, actualizar o suprimir la información contenida en la base de datos o cuando se considere que se ha incumplido con cualquiera de los deberes que les corresponde’ (…).

Así pues, si en cabeza del responsable o encargado está la obligación de atender pronta y oportunamente las peticiones quejas y reclamos que presenten los titulares, es precisamente para salvaguardar el derecho de actualización, rectificación y eliminación de la información a que éstos (sic) tienen derecho. En el presente caso, la Titular manifiesta que el 23 de enero de 2019 elevó una queja en contra de Mervicol S.A.S., sin haber recibido respuesta a la misma.

Al respecto, la sociedad investigada señaló a folio 12 ‘La señora xxxxxxxxxxxxxxxxxxx xxxxxx, presentó queja en la cual se presentó de manera inmediata el bloqueo de su número telefónico de la central por medio de las cuales realizamos las llamadas que es la empresa PAGE \* MER GEFO NETCOM WIRELESS, (adjunto con la presente contestación copia simple de las RMA explicaciones dadas por la empresa NETCOM WIRELESS de fecha 3 de mayo de 2019, en la cual por error el día 23 de Febrero de 2019 generó llamadas a una lista negra en la cual T8 “Por la cual se impone una sanción” se encontraba el teléfono de la señora xxxxxxxxxxxxxxxxxxxxxxxx, y en la cual también constata lo consignado en el presente por medio del cual se explica que ese número no se encuentra asociado a ninguna persona en específico’, no obstante no allega pruebas que soporten el hecho de haber dado respuesta a la reclamante.

En ese orden de ideas, este Despacho evidencia que la compañía Mervicol S.A.S., no ha dado respuesta a la queja de la señora xxxxxxxxxxxxxxxxxxxxxxxxx enviada el día 23 de enero de 2019 a la página web de la sociedad, y así lo admite en la respuesta a las explicaciones solicitadas por esta Superintendencia, por lo que es importante resaltar y recalcar a la sociedad Mervicol S.A.S., que la reclamante tiene derecho a obtener una respuesta clara, completa y de fondo sobre el asunto solicitado.

Conforme a lo anterior, este Despacho observa una posible vulneración al deber contenido en el artículo 15 de la Ley 1581 por parte de la sociedad Mervicol S.A.S., en tanto que manifiesta que la titular presentó queja, razón por la cual, encuentra procedente ordenar a la sociedad Mervicol S.A.S, identificada con Nit. 900.369.378-8 que en el término establecido en la parte resolutiva de este acto administrativo dé respuesta completa y de fondo a la queja presentada el día 23 de enero de 2019 por la señora xxxxxxxxxxxxxxxxxxxxxxxx a través de la página web de la sociedad (consecutivo 0 del expediente digital del sistema de trámites de esta Superintendencia). 10.3 Respecto a la solicitud de supresión de información personal del titular Frente a la posibilidad que tienen los titulares de solicitar la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución, (…). De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…).

Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales o que el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio ‘haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)’.

Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada ley[2], determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho Fundamental de habeas data. En efecto, dicha Corporación indicó en Sentencia C-748 del 6 de octubre de 2011 que: (…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato (…)[2].

PAGE \* MER GEFO RMA Continúa señalando que (…) considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos personales T8 “Por la cual se impone una sanción” del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional.

Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular. En cada una de estas decisiones se ha planteado que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático, descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal’ [3].

Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de habeas data permite a los titulares solicitar la supresión de información que haya sido recogida en bases de datos, de suerte que la Corte consideró que la interpretación adecuada del señalado literal e) es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

Frente al particular encuentra este Despacho que en virtud de lo establecido en el artículo 13 de la Ley 1581 de 2012, conforme al principio de libertad, el tratamiento de la información personal sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Antes de analizar el material probatorio, es oportuno recordar que es imperativo -no facultativo que los Responsables del tratamiento de datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.

Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligencia y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución’.

Así pues, a la luz del material probatorio obrante en el expediente, observa el Despacho que el 23 de enero de 2019 la titular presentó queja a la compañía investigada a través del correo electrónico info@mervicol.com en la que afirma no haber otorgado autorización para recibir llamadas telefónicas a su residencia y solicita cesar toda llamada a través de su número de contacto (Consecutivo 0 del expediente digital del sistema de trámites de esta Superintendencia): Al respecto, la sociedad Mervicol S.A.S., indicó que realiza llamadas a personas indeterminadas y de manera aleatoria para captar clientes, sin contar con bases de datos, de igual manera informa que no cuenta con autorización de la titular para realizar ofrecimiento comercial de sus servicios y frente a la queja presentada por la titular, procedieron a bloquear su número telefónico de la central NETCOM WIRELESS, y para el efecto adjuntan copia de la respuesta dada por la central de llamadas NETCOM WIRELESS en la que informan que el número telefónico xxxxxxxx se encuentra en una lista negra de números bloqueados y no se encuentra como asociado a ninguna persona en específico, (consecutivo 4 del expediente digital del sistema de trámites de esta Superintendencia), como se aprecia en la siguiente imagen: “Por la cual se impone una sanción” PAGE \* MER GEFO RMA T8 Por su parte la sociedad NETCOM WIRWELES en respuesta dada a esta Superintendencia el 03 de febrero de 2020 vista en el consecutivo 7 del expediente digital de esta Superintendencia indicó lo siguiente: ‘(…) En suma, la señora xxxxxxxxxxxxxxxxxxxxxxxxx solicitó a la sociedad Mervicol S.A.S., el 29 de octubre de 2019, el 23 de enero de 2019 la cesación de llamadas para ofrecer servicios comerciales en virtud de no haber otorgado autorización a la compañía denunciada y la sociedad afirma haber bloqueado el número telefónico través de la central de llamadas de la sociedad Netcom Wireles, la cual a su vez indicó que el 23 de enero de 2019 registró el número telefónico xxxxxxxx en la función ‘Blacklist para evitar que el número sea marcado desde el sistema telefónico de la compañía Mervicol S.A.S.’ y dentro de las pruebas allegadas al expediente por parte de la sociedad investigada, se observa la comunicación relacionada y USB que muestra video de marcación telefónica.

(…) PAGE \* MER GEFO RMA y por último dispositivo USB que contiene un video en el que se observa que al marcar el número telefónico xxxxxxxx no se logra comunicación al encontrarse bloqueado T8 “Por la cual se impone una sanción” (Consecutivos 5 y 7 del expediente digital del sistema de trámites de esta Superintendencia): (…)’. Así las cosas, este Despacho revisó la prueba aportada por la sociedad investigada referida al proceso de marcación del número telefónico discutido y que se encuentra contenido en el video del dispositivo USB, con el que se demuestra que al realizar la marcación del número no se puede conectar la llamada debido al bloqueo efectuado, más ello no indica que el dato haya sido eliminado dentro del sistema, por lo tanto, esta prueba no determina la certeza frente a la eliminación del número telefónico solicitado.

Por lo anterior, es evidente para el Despacho que para la fecha la sociedad Mervicol S.A.S., no ha atendido la solicitud de supresión del número de teléfono de la titular porque dicha sociedad aún conserva dicho número en la denominada ‘Blacklist’. En palabras de la Real Academia Española, suprimir es ‘Hacer cesar, hacer desaparecer’[5]. Es decir, la sociedad Compañía de Créditos Rápidos SAS no ha desparecido la información del titular toda vez que todavía está inmersa en una base de datos ilícita.

De igual modo, el Despacho observa que la titular no tiene el deber legal o contractual de mantenerse en las bases de datos de la sociedad investigada por cuanto no tiene en la actualidad ningún contrato vigente u obligación pendiente con la sociedad, es decir, en el presente caso no aplica la excepción consagrada en el inciso segundo del artículo 2.2.2.25.2.6. del Decreto 1074 de 2015.

En conclusión, la compañía Mervicol S.A.S., vulneró el derecho de la titular de suprimir su información personal, así como, confeccionó una base de datos ilícita transgrediendo los principios constitucionales y legales de libertad, finalidad y legalidad asociados al derecho de habeas data. Dado todo lo anterior y en virtud de las facultades legales de esta Delegatura, se solicitará a la sociedad Mervicol S.A.S., que, además de eliminar los datos personales de la titular, especialmente elimine el número de teléfono xxxxxxxx de la base de datos denominada ‘Blacklist’, elimine dicha base de datos, cese el uso de este tipo de listas y se abstenga de crear otras de esa naturaleza en un futuro”.

PAGE \* MER GEFO TERCERO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de RMA Hábeas Data se recolectaron los elementos materiales de prueba que se enlistan a continuación: T8 “Por la cual se impone una sanción” 3.1 Denuncia radicada con el número 19-46232-00000 el 22 de febrero de 2019 ante esta Superintendencia por la señora xxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía número xx.xxx.xxx, en la cual informó que: 3.1.1 La sociedad MERVICOL S.A.S. la ha contactado reiteradamente telefónicamente al número telefónico de su residencia en días y horas de descanso, a pesar de no haber autorizado el tratamiento de sus datos personales por parte de dicha sociedad. 3.1.2 El 23 de enero de 2019 presentó una reclamación ante la sociedad MERVICOL S.A.S., en la cual le solicitó a la sociedad aportar prueba de la autorización para el tratamiento de sus datos personales y les informó que no autorizaba el tratamiento de sus datos personales, entre otros. 3.1.3 A la fecha en la que presentó la denuncia no había recibido respuesta a su reclamación por parte de la sociedad MERVICOL S.A.S. 3.2 Oficio con radicado 19-46232-00003 del 15 de abril de 2019, mediante el cual se le solicitó a la sociedad MERVICOL S.A.S. que se pronunciara sobre los hechos del reclamo y se le requirió lo siguiente: “1.

Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales. 2. En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3.

Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información. 4. Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5.

Informar las políticas internas de seguridad bajo las cuales conservan la información del Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular”. 3.3 Comunicación presentada ante esta Superintendencia por la sociedad MERVICOL S.A.S. radicada con el número 19-46232-00004 del 06 de mayo de 2019, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.2. del presente acto administrativo, indicó entre otras que: 3.3.1 La sociedad no controla las bases de datos por medio de la cual se realiza oferta del servicio preventivo de gas natural. 3.3.2 Captan sus clientes a través de un generador de números de manera aleatoria a través de la empresa NETCOM WIRELESS S.A.S., realizando llamadas a personas indeterminadas, por lo que no es cierto que la compañía maneje bases de datos, ni incumpla lo dispuesto en la Ley 1581 de 2012. 3.3.3 No cuentan con autorización de las personas a las que les ofrecen sus servicios y solo solicitan información de los titulares cuando estos aceptan la prestación de los servicios de la sociedad.

PAGE \* MER GEFO 3.3.4 Recibió una queja de la titular, ante la cual procedió a bloquear el número telefónico RMA esta de la central por medio de las cuales realizan las llamadas y remite copia de la T8 “Por la cual se impone una sanción” comunicación de la sociedad NETCOM WIRELESS S.A.S. con fecha del 03 de mayo de 2019, en la dicha sociedad afirma que el número telefónico de la titular se encuentra en una lista negra para que no se le generen llamadas.

Adicionalmente, remite dispositivo USB que contiene un video en el que se observa que al marcar el número telefónico xxxxxxxx no se logra comunicación al encontrarse bloqueado. 3.4 Oficio 19-46232-00005 del 22 de enero de 2020, mediante el cual se le requirió a la sociedad MERVICOL S.A.S. lo siguiente: “1. Informe cuáles son los canales habilitados por la compañía para contactar con los clientes y nuevos clientes. 2.

Indique los mecanismos empleados por la sociedad para la obtención y vinculación de nuevos clientes. 3. Informe y acredite la relación o tipo de contrato existente con la sociedad Netcom Wireless S.A.S. Así mismo informe si cuenta con contrato para la transmisión de datos de acuerdo con lo establecido en el artículo 2.2.2.25.5.1 del Decreto 1074 de 2015”. 3.5 Oficio 19-46232-00006 del 22 de enero de 2020, mediante el cual se le solicitó a la sociedad NETCOM WIRELESS S.A.S. que se pronunciara sobre los hechos del reclamo y se le requirió lo siguiente: “1.

Acreditar prueba de la autorización (previa e informada) otorgada por la Titular de la información para el tratamiento de sus datos personales. 2. En caso de que la respuesta anterior sea afirmativa, informe y allegue prueba de que la Titular fue informada de manera previa y/o concomitante sobre la finalidad de la recolección de sus datos, así como de los derechos que le asisten y los canales para ejercerlos. 3.

Informar si ustedes han tratado la información de la titular en calidad de Encargado de la sociedad MERVICOL S.A.S., en caso afirmativo, indicar desde cuándo, así mismo indique sobre qué bases de datos actúa como encargado y si el teléfono de la señora (…) [SIC] (…), fue proporcionado por la compañía MERVICOL S.A.S. 4. Informar si la titular de la información ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5.

Indicar si ha tratado los datos personales de la Titular en calidad de Responsable o Encargado del tratamiento. En cualquiera de los dos casos, indicar la manera como obtuvo los datos de la señora xxxxxxxxxxxxxxxxxxxxxxxxx. 6. Informar las políticas internas de seguridad bajo las cuales conservan la información de la Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 7.

En caso de ser procedente, acreditar prueba mediante la cual se demuestre que ustedes eliminaron, actualizaron o corrigieron la información de la Titular de la información”. 3.6 Comunicación presentada ante esta Superintendencia por la sociedad NETCOM WIRELESS S.A.S. radicada con el número 19-46232-00007 del 03 de febrero de 2020, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.5. del presente acto administrativo, indicó entre otras que: 3.6.1 El vínculo comercial entre las sociedades NETCOM WIRELESS S.A.S. y MERVICOL S.A.S., obedece a la ejecución del contrato No. NW-5251: “Soporte y Mantenimiento del Servidor IP PBX (Central Telefónica IPPBX)”, del 09 de septiembre de 2014, que consiste en labores de configuración, monitoreo y mantenimiento de los equipos y del software de telefonía. PAGE \* MER GEFO RMA 3.6.2 No existe un acuerdo de transmisión de datos entre las sociedades, debido a que no T8 “Por la cual se impone una sanción” fue el objeto para el cual fueron contratados. 3.6.3 Tanto los equipos físicos (servidor y teléfonos IP-PBX), como los lógicos (la solución IP-PBX), son de propiedad de la sociedad MERVICOL S.A.S., así como toda la información que existe en el disco duro del servidor como en el software.

En consecuencia, la sociedad MERVICOL S.A.S. es quien administra y controla la gestión de su Call Center; quien decide a que números marcar y en qué momento hacerlo; quien maneja y controla de forma directa su propia información (bases de datos); y es el responsable de las políticas de seguridad de la solución de central telefónica IP-PBX. 3.6.4 En las bases de datos del sistema de telefonía IP-PBX de MERVICOL S.A.S., no hay registro de nombres de personas naturales, ni relación de estas con números telefónicos, la estructura de carga de datos para realizar la marcación automática no incluye nombre del contacto o propietario de la línea, por lo que no hay posibilidad técnica de guardar en el sistema de telefonía IP-PBX relación entre un número telefónico y algún dato personal del abonado. 3.6.5 Al verificar la configuración del sistema IP-PBX se evidenció que, desde el 23 de enero de 2019, el número xxxxxxxx se encuentra registrado en una función “Blacklist”, la cual evita que este número sea marcado desde el sistema de IP-PBX, por lo que es técnicamente imposible marcar este abonado desde el sistema telefónico de la sociedad MERVICOL S.A.S. 3.6.6 No han tratado información de la señora xxxxxxxxxxxxxxxxxxxxxxxxx, razón por la cual no puede acreditar la autorización para el tratamiento de sus datos y no actúan como encargados, ni responsables de la información de la sociedad MERVICOL S.A.S. 3.7 Comunicación presentada ante esta Superintendencia por la sociedad MERVICOL S.A.S. radicada con el número 19-46232-00009 del 11 de agosto de 2020, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.4. del presente acto administrativo, indicó entre otras que: 3.7.1 El mecanismo utilizado para la obtención y/o vinculación de nuevos clientes es de manera telefónica, a quienes previamente a realizar el ofrecimiento comercial se solicita la autorización expresa e inequívoca de sus datos personales, los cuales son utilizados únicamente para ofrecer los servicios de la compañía, tales como revisión preventiva de gasodomésticos o al presentarse algún inconveniente con estos, una revisión de emergencia solicitada por el cliente al encontrarse adscritos en la base de datos de prestadores de este tipo de servicios de VANTI. 3.7.2 El contrato con la sociedad Netcom Wireless S.A.S., es de prestación de servicios con el objeto de realizar marcaciones a los números de contacto de potenciales clientes, sin que en el mismo exista la transmisión de datos sin contar con bases de datos para transmisión internacional de datos.

CUARTO: Que, con base en la denuncia y en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 y; iii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 40963 30 junio 2021, por medio de la cual se formularon TRES (3) cargos a la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8.

PAGE \* MER GEFO Acorde con la certificación con radicado 21-169379-00009 del 16 de julio de 2021 emitidaRMA por la Secretaria Ad-Hoc de esta Superintendencia, la mencionada resolución fue notificada T8 “Por la cual se impone una sanción” electrónicamente el 6 de julio de 2021 a la investigada, por conducto de su representante legal, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada el 2 de julio de 2021 a la denunciante.

QUINTO: Que la sociedad MERVICOL S.A.S., a través de su representante legal, presentó descargos y las pruebas que pretende hacer valer en esta actuación administrativa a través de la comunicación con radicado 21-169379-00010 del 28 de julio de 2021, exponiendo en descargos lo siguiente: 5.1 La respuesta a la petición de la Titular de la información fue a tiempo y: “(…) en debida forma suprimiendo tal y como lo indicaba su número telefónico prueba de esto es la comunicación emitida por la empresa NETCOM WIRELESS que eliminaba su número telefónico, no es cierto lo que afirmaba la Superintendencia que ese dato aún se encuentre en una Blacklist, pues esta hace referencia a la eliminación del dato por nuestra parte, que esta sea la denominación que tenga NETCOM WIRELESS para este concepto se aparta de nuestro arbitro privado”. 5.2 Solicita que se tenga en cuenta la situación económica y empresarial generada por la pandemia en la dosificación de la sanción, así como se tenga en cuenta el criterio de atenuación de la sanción del titeral f) del artículo 24 de la Ley 1581 de 2012 en consideración a: “Reconocemos que si (sic) fue nuestro error porque somos los responsables, pero también dejamos precedente que solicitamos en su debido tiempo la supresión y eliminación del número telefónico xxxxxxx a nuestro operador IP-PBX Netcom Wireless (sic).

También dejamos precedente que fue un error indirecto, como se evidencia en el comunicado adjunto del 3 de mayo de 2019 de Netcom Wireless, donde ellos por escrito aceptación que hubo fallas técnicas de telefonía IP-PBX y donde también nos comunican que el número fue bloqueado y en lista negra. También aclaramos que para Netcom Wireless la palabra bloqueado y/o en lista negra significa lo mismo que suprimir o eliminar ósea (sic) significa que queda absolutamente eliminado de MERVICOL SAS y no existe ni la mas (Sic) remota posibilidad de volver a llamar, que esta sea el nombre que tenga Netcom Wireless para este concepto se aparta de nuestra facultad.

MERVICOL SAS, después de este incidente por parte de nuestro oparador Netcom Wireless cambiamos inmediatamente el procedimiento que se realizaba a través de nuestro operador Netcom Wireless de estas solicitudes y en la actualidad nosotros mismos realizamos inmediatamente la supresión y /o (sic) anulación”.

SEXTO: Que este Despacho profirió la Resolución No. 64514 del 5 de octubre de 2021, mediante la cual incorporó las pruebas obrantes en el expediente 21-169376 y se corrió traslada a la investigada para alegatos de conclusión. La Resolución No. 64514 de 2021 fue comunicada a la investigada, a través de su representante legal, el 6 de octubre de 2021 acorde con la certificación con radicado 21-169379-00015 del 20 de octubre de 2021 expedida por la Secretaria Ad-Hoc de esta Superintendencia.

SÉPTIMO: Que, mediante la comunicación con radicado 21-169379-00014 del 14 de octubre de 2021, la sociedad MERVICOL S.A.S. solicitó un plazo para la presentación de alegatos de conclusión y, a través de la comunicación con radicado 21-169379-00016 del 20 de octubre de 2021 los presentó oportunamente dentro de los 10 días hábiles siguientes a la comunicación de la Resolución No. 64514 de 2021.

En estos alegatos de conclusión reiteró lo expuesto en descargos y agregó que: 7.1 La Superintendencia de Industria y Comercio no solo realicé un análisis taxativo de las normas sino también tenga en cuenta que con la llamada efectuada no se obtiene por la empresa PAGE \* MER GEFO ningún tipo de beneficio económico, siendo confiscatorias y desproporcionadas las sanciones RMA al conllevar al cierre de negocios y con ello, se afecta el empleo y a familias.

T8 “Por la cual se impone una sanción” 7.2 Se allana al primero y segundo cargo, a fin que se aplique la causal de atenuación del literal f) del artículo 24 de la Ley 1581 de 2012.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 y; iii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si las conductas desplegadas por la investigada darán lugar o no a la imposición de sanciones para lo cual se deberán tener en cuenta el conjunto de pruebas allegadas al expediente, así como sus argumentos expuestos en descargos y alegatos de conclusión. 9.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como el acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 9.2.1 Respecto de los deberes de solicitar y conservar la autorización previa, expresa e informada del Titular Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

PAGE \* MER GEFO El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos RMA a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben T8 “Por la cual se impone una sanción” autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de libertad, al disponer: “Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)”. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

El principio de libertad es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. Así, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: PAGE \* MER GEFO (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos RMA descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento T8 expreso del titular del dato ( )”. “Por la cual se impone una sanción” También, en sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional señaló: “La autorización será compatible con el derecho de hábeas data cuando la misma es idóneas para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad.

Esto significa que sujeto concernido manifiesta su consentimiento de tratamiento del dato (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho de hábeas data de aquellas formas de recopilación de información personal que sean secretas o que se fundamentan en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal”.

(Se subraya fuera de texto) Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (…) Artículo 2.2.2.25.2.5. Prueba de la autorización “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el Responsable del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

En este mismo sentido, la Corte Constitucional señaló lo siguiente: “La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos. Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del PAGE \* MER GEFO dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en RMA tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la T8 “Por la cual se impone una sanción” administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data”2.

Preliminarmente, este Despacho evidenció que la sociedad MERVICOL S.A.S. no cuenta con la autorización previa, expresa e informada de la Titular, por cuanto en respuesta a requerimiento de información de esta Superintendencia informó en comunicación con radicado 19-46232-000043 que: “No se cuenta con la respectiva autorización de la persona para realizar el ofrecimiento comercial de nuestros servicios pues como se indicó en el numeral anterior la empresa no cuenta con bases de datos por parte de las personas que aceptan de manera voluntaria la prestación de los servicios que se ofrecen”.

Frente a la formulación de cargos, la investigada en alegatos de conclusión, obrantes en la comunicación con radicado 21-169379-00016, se allanó al cargo que se analiza en este acápite. Por su parte, si bien la investigada aceptó que cometió la infracción, este Despacho procede a continuación a efectuar una valoración integral del acervo probatorio, dentro del cual se encuentra: (i) En petición4 presentada por la Titular de la información a la investigada, expone: “1.

Me informen la autorización que les emití para hacer llamadas a mi residencia, dado que continuamente se dedican a hacerlas en horas de descanso, como hoy desde las 7:15 am e incluso noches y domingos. 2. No los conozco, por tanto no les he autorizado para que usen mis datos personales como mi número telefónico. 3. La señora (…) inicialmente me informó que tenían mis datos, al pedir cuando los autoricé, dijo que hacían llamadas aleatorias.

A igual la señora (…)? (sic) 30 minutos después que estaba otra vez llamando. 4. No los autorizo a hacer llamadas a mi residencia”. (ii) Respuesta a petición fechada del 14 de diciembre de 2020, en la cual la investigada informó a la Titular lo siguiente: Imagen 1. Tomada del radicado 21-169379-00010, página 6, folio 2. Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011, MP: Jorge Ignacio Pretelt Chaljub.

Obrante en el radicado 21-169379-00001, página 2, folios 5 a 8. Obrante en el radicado 21-169379-00001, página 2, folio 2. “Por la cual se impone una sanción” PAGE \* MER GEFO RMA T8 Imagen 2. Tomada del radicado 21-169379-00010, página 6, folio 3. Imagen 3. Tomada del radicado 21-169379-00010, página 6, folio 4. (iii) Respuesta a requerimiento de información con radicado 19-046232-00006 del 6 de mayo de 20195, en la cual señala: Imagen 4.

Tomada del radicado 21-169379-00001, página 2, folio 5. Imagen 5. Tomada del radicado 21-169379-00001, página 2, folio 6. Obrante en la comunicación con radicado 21-169379-00001, página 2, folios 5 a 8. PAGE \* MER GEFO Comunicación del 3 de mayo de 2019 de la sociedad NETCOM WIRELESS S.A.S.6, enRMA la cual se refiere a las fallas técnicas presentadas el 23 de febrero de 2019 en el sistema de telefonía T8 “Por la cual se impone una sanción” (iv) IP-PBX, a saber: Imagen 6.

Tomada del radicado 21-169379-00001, página 2, folio 9. (v) Respuesta a requerimiento de información del 3 de febrero de 2020 de la sociedad NETCOM WIRELESS S.A.S.7, en la cual informó: Imagen 7. Tomada del radicado 21-169379-00001, página 2, folio 16. Imagen 8. Tomada del radicado 21-169379-00001, página 2, folio 17. Obrante en el radicado 21-169379-00001, página 2, folio 9.

Obrante en el radicado 21-169379-00001, página 2, folios 16 a 19. “Por la cual se impone una sanción” PAGE \* MER GEFO RMA T8 Imagen 9. Tomada del radicado 21-169379-00001, página 2, folio 17. (vi) Respuesta8 de la investigada a requerimiento de información del 22 de enero de 2020 de esta Superintendencia, en la cual señala lo siguiente: Imagen 10.

Tomada del radicado 21-169379-00001, página 2, folio 23. Imagen 11. Tomada del radicado 21-169379-00001, página 2, folio 24. De acuerdo con las anteriores evidencias, este Despacho encuentra que: (i) La investigada afirma en respuesta9 a requerimiento de información del 22 de enero de 2020 que a los potenciales clientes los contacta telefónicamente previa solicitud de la autorización para el Tratamiento de sus datos personales de acuerdo con lo previsto en la Ley 1581 de 2012.

Sin embargo, para el caso concreto, no cuenta con la autorización previa, expresa e informada de la Titular xxxxxxxxxxxxxxxxxxxxxxxxx, toda vez que: i) así lo indica la Titular de manera expresa en la petición remitida el 23 de enero de 2019 a la sociedad MERVICOL S.A.S. y; ii) la investigada en respuesta del 14 de diciembre de 2020 a petición de la Titular, le informó a ella que no cuenta con su autorización para contactarla y la llamó al número de Obrante en el radicado 21-169379-00001, página 2, folios 23 a 25.

Ibídem. PAGE \* MER GEFO su domicilio a través de un marcador aleatorio para ofrecerle los servicios de reparación de RMA gasodomésticos. T8 “Por la cual se impone una sanción” (ii) La investigada en respuesta10 a petición de la Titular y en respuesta 11 a requerimiento de información de esta entidad indicó que realiza marcaciones aleatorias a teléfonos fijos en la ciudad de Bogotá y no cuenta con bases de datos, ya que efectúa las llamadas a los números aleatorios generados por el servicio adquirido con la sociedad TENCOM WIRELESS S.A.S. y las personas a quienes contacta son indeterminadas.

A su turno, la sociedad TENCOM WIRELESS S.A.S. informó 12 que respecto del contrato suscrito con la sociedad MERVICOL S.A.S. de soporte y mantenimiento de la central de telefonía IP-PBX “(…) monitorea el correcto funcionamiento de los equipos físicos y lógicos respecto de telefonía IP-PBX (…)”13, entendiéndose por los equipos físicos al servidor y a los teléfonos IP-PBX, así como correspondiendo a los equipos lógicos la solución IP-PBX.

Así mismo, la antedicha sociedad aclaró que la sociedad MERVICOL S.A.S. es “1. Quien administra y controla la gestión de su Call Center, decidiendo por voluntad propia a que números marcar y en qué momento hacerlo. 2. Quien maneja y controla de forma directa su propia información (Bases de datos)”14. Así, se evidencia que de los números de teléfono fijos aleatorios generados la investigada los usa para contactar a potenciales clientes para ofrecerles el servicio de reparación de gasodomésticos.

Ahora bien, efectuadas las dos anteriores precisiones, las llamadas para fines comerciales realizadas por la sociedad MERVICOL S.A.S. a números fijos arrojados por un sistema de marcación aleatorio constituye Tratamiento de la información. Esto en razón a que a partir de la definición prevista en el literal g) del artículo 3 de la Ley 1581 de 2012 del Tratamiento en el sentido de que es “[c]ualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” (resaltado fuera de texto), se concluye que ese primer contacto que se tiene con los potenciales clientes utilizando números al azar es un Tratamiento, toda vez que la recolección y uso de datos de los potenciales clientes la efectuó con base en la marcación aleatoria que no cambian naturaleza semiprivada del dato del número telefónico del domicilio de los Titulares.

A su vez, es necesario traer a colación el literal c) del artículo 3 de la Ley 1581 de 2012 que define el dato personal como “[c]ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” (se resalta fuera de texto), toda vez que en la marcación aleatoria, a través del contacto con el potencial cliente, es dable indagar información personal, entre ella, el nombre del potencial cliente que permite asociarlo con el número de teléfono del domicilio marcado.

En este orden de ideas, es mandatorio solicitar a los Titulares de la información su autorización, previa, expresa e informada, por cualquiera de los modos previstos en la ley, previo al Tratamiento de sus datos para prospección comercial. Para el caso concreto, como se señaló, la sociedad MERVICOL S.A.S. no solicitó a la Titular xxxxxxxxxxxxxxxxxxxxxxxxx su consentimiento previo, expreso e informado para contactarla al número de teléfono de su domicilio xxxxxxxx para ofrecerle el servicio de reparación de gasodomésticos.

En conclusión, este Despacho encuentra demostrado el actuar negligente de la sociedad MERVICOL S.A.S. en el cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el Obrante en la comunicación con radicado 21-169379-00010, página 2, folios 2 a 4.

Obrante en el radicado 21-169379-00001, página 2, folios 23 a 25. En respuesta a requerimiento de información del 3 de febrero de 2020, obrante en el radicado 21-169379-00001, página 2, folios 16 a 19. Ibídem. Ibídem. PAGE \* MER GEFO inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario RMA 1074 de 2015, por cuanto realizó tratamiento del número de teléfono de la titular con fines T8 “Por la cual se impone una sanción” comerciales sin solicitar previamente la autorización del titular; sin embargo, no hay lugar a la imposición de una sanción, por cuanto, esta conducta vulneratoria de la investigada ya dio lugar a que, con posterioridad a los hechos que dieron lugar a esta actuación administrativa de carácter sancionatorio, se impusiera una sanción de carácter pecuniario por la suma de DOCE MILLONES CUATROCIENTOS VEINTIÚN MIL SETECIENTOS CUARENTA PESOS M/CTE ($12.421.740) y se impartiera una orden administrativa en la Resolución No. 17629 del 29 de mayo de 2019, dentro del expediente 18-233399, tendiente a garantizar que la sociedad MERVICOL S.A.S. solicite y conserve la autorización previa, expresa e informada de los Titulares, por lo cual se desestima este cargo, no obstante lo anterior, se reitera que debe continuar con el cumplimiento de las orden administrativa impartida15 en dicho acto administrativo. 9.2.2 Respecto del deber de informar a los titulares las finalidades del Tratamiento El literal c) del artículo 17 de la Ley 1581 de 2012 consagra el deber de los Responsables del Tratamiento, de “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado que: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas (…)”.

Por su parte, el artículo 4 de la Ley 1581 de 2012 contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de finalidad que está previsto en el literal b) así: “[e]l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”.

Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explicito, razón por la cual se impone el deber de informar clara, suficiente y previamente al Titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.

Adicionalmente, el artículo 12 de la Ley 1581 de 2012, señala que el Responsable debe informar clara y expresamente al Titular: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;

(iii) los derechos que le asisten como Titular; (iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. En la Resolución No. 38281 de 2020 en el artículo segundo del resuelve se indica: “ARTÍCULO SEGUNDO. Corregir el artículo segundo de la Resolución Nº 17629 del 29 de mayo de 2019, de conformidad con lo establecido en la parte motiva de la presente Resolución, el cual quedará así: “ARTÍCULO SEGUNDO: ORDENAR a la sociedad MERVICOL S.A.S. identificada con el Nit. 900.369.378-8, cumplir la instrucción de conservar prueba de la Autorización previa, expresa, e informada de los titulares y no continuar tratando información respecto de aquellos titulares frente a los cuales no haya obtenido Autorización. (…)”.

PAGE \* MER GEFO En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el RMA manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser T8 “Por la cual se impone una sanción” previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el responsable del tratamiento, en los términos del artículo 2.2.2.25.2.2 del Decreto 1074 de 2015, esto es, informarle al Titular “(…) los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)”.

Ahora bien, preliminarmente este Despacho evidenció que la sociedad MERVICOL S.A.S. no informó de forma previa y expresa las finalidades del Tratamiento a la Titular de la información, por cuanto posiblemente no cuenta con su autorización previa, expresa e informada. Al respecto, la investigada en alegatos de conclusión, obrantes en la comunicación con radicado 21-169379-00016, se allanó al cargo.

Por su parte, de acuerdo con lo expuesto en el análisis del cargo anterior, este Despacho evidenció que la sociedad MERVICOL S.A.S. sometió a Tratamiento los datos de la Titular de la información al usar su número de teléfono para contactarla. En consideración a ello, este Despacho halla que la investigada tampoco cumplió con su deber como Responsable de informar debidamente a los Titulares sobre las finalidades del Tratamiento en virtud de la autorización a otorgar.

Así las cosas, este Despacho encuentra demostrado el actuar negligente de la sociedad MERVICOL S.A.S. al no informar a la Titular, previo a contactarla con fines comerciales al número de teléfono de su domicilio, sobre las finalidades del Tratamiento, vulnerando así el deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; sin embargo, en consideración a que dentro del expediente 18-233399 se profirió la Resolución No. 17629 del 29 de mayo 2019, con la cual se impartió una orden administrativa a la investigada tendiente a garantizar que solicite y conserve la autorización previa, expresa e informada de los Titulares, este Despacho encuentra que en la medida en que dicha orden es posterior a los hechos materia de investigación en esta actuación administrativa, no habrá lugar a imponer una sanción. No obstante lo anterior, se reitera a la sociedad MERVICOL S.A.S. que debe continuar con el cumplimiento de dicha orden administrativa para evitar que los hechos que dieron lugar a esta investigación, vuelvan a ocurrir. 9.2.3 Respecto del deber de atender peticiones, consultas y reclamos El literal j) del artículo 17 de la Ley 1581 de 2012 establece el deber de los Responsables y Encargados de atender los reclamos ante ellos presentados, así: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)”. Este deber se sustenta en el derecho fundamental de petición previsto en el artículo 23 de la Constitución Política que establece: “Toda persona tiene derecho a presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución. El legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales”.

Adicionalmente, la Corte Constitucional en la sentencia C-748 de 2011, al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, respecto de las consultas y reclamos que los Titulares de la información pueden realizar a los Responsables y Encargados del Tratamiento, expresó: PAGE \* MER GEFO RMA “Este artículo regula un procedimiento similar al que contempla el artículo 16, II, numerales T8 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

“Por la cual se impone una sanción” Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data. Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: “En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.

(Se subraya fuera de texto) Así mismo, la Corte Constitucional, además de establecer que las respuestas a las peticiones deben ser oportunas, de fondo y congruentes, también ha señalado que deben ser claras y precisas, respecto de lo cual ha indicado: “La trascendencia constitucional del derecho fundamental de petición implica que ésta garantía sólo se garantiza cuando la solicitud del ciudadano es contestada bajo criterios materiales y sustantivos que posibilitan una respuesta real y efectiva a su petición. De este modo, el pronunciamiento de las autoridades debe ser: (i) claro, como quiera que debe contener argumentos comprensibles y razonables;

(ii) de fondo, lo cual significa que debe resolver de manera completa y detallada todos los asuntos indicados en la petición; (iii) preciso, que haya sido realizado con exactitud y rigurosidad; y, (iv) congruente, es decir, que exista relación entre lo respondido y lo pedido, excluyendo referencias evasivas o que resulten ajenas al asunto planteado.

(…) La Corte Constitucional ha establecido que el derecho de petición comprende dos facetas, una relacionada con la posibilidad de elevar peticiones respetuosas a la administración pública, y otra con el deber de las autoridades de responder de fondo y oportunamente a las mismas. Así, constituye vulneración al derecho de petición: (i) la ausencia de respuesta por parte de la administración dentro de los términos legales establecidos para tal fin y (ii) la respuesta vaga, imprecisa o que no atiende de fondo lo pedido, sin que ello implique resolver favorablemente las pretensiones del administrado”16.

Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni retrasos, de manera completa, de fondo, clara, precisa y congruente.

Ver en: Corte Constitucional, Sentencia T-621/17 del 6 de octubre de 2017, M.P.: Alberto Rojas Ríos. PAGE \* MER GEFO Por su parte, el artículo 15 de la Ley 1581 de 2012, dentro del marco del derecho fundamental de RMA hábeas data, desarrolla el mecanismo de presentación y respuesta de reclamos, al indicar: T8 “Por la cual se impone una sanción” “ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga ‘reclamo en trámite’ y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término”. (Se subraya fuera de texto) Preliminarmente este Despacho evidenció que la sociedad MERVICOL S.A.S. aportó con la denuncia copia del reclamo presentado ante la investigada el 23 de enero de 2019, respecto al cual la investigada el 6 de mayo de 2019 confirmó que lo recibió pero no aportó evidencia de que le dio respuesta.

Al respecto la investigada en descargos17 expresó que dio respuesta a tiempo al reclamo de la Titular y procedió a suprimir su número telefónico de acuerdo con lo solicitado en sus sistemas. Por su parte, dentro del análisis integral del acervo probatorio, este Despacho relaciona las siguientes pruebas: (i) La Titular su denuncia18 expuso: “Respecto de la queja por violación al habeas data que elevé el 23 de enero de 2019 contra Mervicol S.A., comunico que no he recibido respuesta alguna, pese al vencimiento del término de 15 días hábiles, conforme ustedes me indican, para lo cual adjunto reclamación elevada al correo electrónico que anuncian en su página web y que no fue rechazado”.

(ii) Petición enviada por la Titular a la sociedad MERVICOL S.A.S. el 23 de enero de 2019 a la dirección de correo electrónica info@mervicol.com, como se visualiza a continuación: Obrantes en el radicado 21-169379-00010, página 2. Obrante en el radicado 21-169379-00001, página 2, folio 2. “Por la cual se impone una sanción” PAGE \* MER GEFO RMA T8 Imagen 12.

Tomada del radicado 21-169379-00001, página 2, folio 2. (iii) Respuesta del 6 de mayo de 201919 de la investigada a requerimiento de información de esta Superintendencia, en la cual informó: Imagen 13. Tomada del radicado 21-169379-00001, página 2, folio 7. (iv) Mensaje de correo electrónico del 14 de diciembre de 2020 de la sociedad MERVICOL S.A.S. desde la dirección electrónica info@mervicol.com, dirigida a la dirección electrónica xxxxxxxxxxxxxxxxxxxxx de la reclamante, en cual se adjunta la respuesta al reclamo presentado, a saber: Imagen 14.

Tomada del radicado 21-169379-00010, página 6, folio 1. Obrante en el radicado 21-169379-00001, página 2, folios 5 a 8. “Por la cual se impone una sanción” (v) Contenido de la respuesta a las solicitudes efectuadas por la reclamante: PAGE \* MER GEFO RMA T8 Imagen 15. Tomada del radicado 21-169379-00010, página 6, folio 3. De acuerdo con lo anterior, este Despacho encuentra que la Titular de la información presentó reclamo ante la sociedad MERVICOL S.A.S. el 23 de enero de 2019 (imagen 12), por lo cual la investigada tenía hasta el 13 de febrero de 2019 para dar respuesta oportuna al reclamo de la Titular en consideración a que en virtud del artículo 15 de la Ley 1581 de 2012 debía dar respuesta dentro de los 15 días hábiles siguientes a la fecha de presentación del reclamo.

Sin embargo, la investigada acreditó que solo hasta el 14 de diciembre de 2020 dio respuesta al reclamo de la Titular (imágenes 14 y 15), es decir atendió extemporáneamente el reclamo en, aproximadamente, 1 año y 10 meses. Por su parte, este Despacho encuentra que frente a las 3 solicitudes de la Titular de que cesaran las llamadas a su residencia, le informaran cuando autorizó el Tratamiento del número de teléfono de su residencia y si tienen autorización para hacer llamadas indiscriminadas (imagen 12), la investigada dio respuesta de fondo a cada uno de estos interrogantes aunque, como se señaló en el párrafo anterior, con una extemporaneidad de, aproximadamente, 1 año y 10 meses.

En conclusión, esta Dirección evidencia que la sociedad MERVICOL S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley, por cuanto a la petición del 23 de enero de 2019 de la Titular dio respuesta extemporánea en aproximadamente, 1 año y 10 meses, al atenderla el 14 de diciembre de 2020.

Por ello, se procederá a imponer una sanción pecuniaria de acuerdo con lo dispuesto en el literal a) del artículo 23 de la Ley 1581 de 2012.

DÉCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 20 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201521.

Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 21 Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. PAGE \* MER GEFO RMA Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre T8 “Por la cual se impone una sanción” de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1.

Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 1 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento 3.

El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. PAGE \* MER GEFO de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o RMA estatutarias”1 (subrayamos) T8 “Por la cual se impone una sanción” (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador ‘en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros’.

En virtud de lo anterior, EXHORTAMOS al representante legal de la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx, para que se adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de finalidad y libertad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: PAGE \* MER GEFO “Partiendo de la concepción que entiende la planeación como el instrumento fundamental RMA para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se T8 “Por la cual se impone una sanción” expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional22. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional23 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) PAGE \* MER GEFO razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que laRMA norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la T8 “Por la cual se impone una sanción” sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 24. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 25. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”26.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia27. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm PAGE \* MER GEFO La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria RMA que se concreta en el artículo 2328 de la misma ley.

Asimismo, el artículo 24 de la norma en mención T8 “Por la cual se impone una sanción” indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la san ción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

PAGE \* MER GEFO la función pública. Respecto de la sanción administrativa, la proporcionalidad implica RMA también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni T8 tampoco carente de importancia frente a esa misma gravedad”. “Por la cual se impone una sanción” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados30.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad MERVICOL S.A.S. actuó negligentemente al atender el reclamo de la Titular el 14 de diciembre de 2020, aproximadamente, 1 año y 10 meses, de su presentación el 23 de enero de 2019.

Por ello, se encuentra demostrado que desconoció el deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, por lo cual se impondrá una multa equivalente a CUARENTA (40) UNIDADES DE VALOR TRIBUTARIO – UVT. 11.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción con fundamento en: (i) Se encontró que la sociedad MERVICOL S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. PAGE \* MER GEFO el artículo 15 de la misma Ley de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del DecretoRMA Único Reglamentario 1074 de 2015.

T8 “Por la cual se impone una sanción” (ii) Este Despacho encuentra que mediante la Resolución No. 17629 del 29 de mayo de 2019, dentro del expediente 18-233399, se impuso una multa de DOCE MILLONES CUATROCIENTOS VEINTIÚN MIL SETECIENTOS CUARENTA PESOS M/CTE ($12.421.740) por el desconocimiento de la sociedad MERVICOL S.A.S. del deber previsto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como del inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y se impartió una orden administrativa tendiente a garantizar que la investigada solicite y conserve la autorización previa, expresa e informada de los Titulares, siendo la sanción pecuniaria y la orden administrativa posteriores a la conducta vulneratoria denunciada en esta actuación administrativa, por lo cual si bien hubo un desconocimiento de los deberes previstos en i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y; ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, no se impondrá una sanción y se reitera a la sociedad MERVICOL S.A.S. que debe continuar con el cumplimiento de lo ordenado en la Resolución No. 17629 del 29 de mayo de 2019.

(iii) A partir de la definición prevista en el literal g) del artículo 3 de la Ley 1581 de 2012 del Tratamiento en el sentido de que es “[c]ualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” las llamadas para fines comerciales realizadas por la sociedad MERVICOL S.A.S. a números fijos arrojados por un sistema de marcación aleatorio constituye Tratamiento de la información, por lo cual sometió a Tratamiento los datos de la Titular al realizar la llamada comercial al teléfono de su domicilio por el método de marcación aleatoria.

(iv) Además, si bien la investigada, inicialmente, solo contaba con el número telefónico de la Titular, en la llamada podía determinar quién era el Titular del número. (v) Es obligatorio solicitar a los Titulares de la información su autorización, previa, expresa e informada, por cualquiera de los modos previstos en la ley, previo al Tratamiento de sus datos para prospección comercial.

(vi) Se demostró que la Titular de la información presentó reclamo ante la sociedad MERVICOL S.A.S. el 23 de enero de 2019, por lo cual la investigada tenía hasta el 13 de febrero de 2019 para dar respuesta oportuna al reclamo de la Titular en consideración a que en virtud del artículo 15 de la Ley 1581 de 2012 debía dar respuesta dentro de los 15 días hábiles siguientes a la fecha de presentación del reclamo.

Sin embargo, la investigada acreditó que solo hasta el 14 de diciembre de 2020 dio respuesta al reclamo, es decir atendió extemporáneamente el reclamo en, aproximadamente, 1 año y 10 meses. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a UN MILLÓN QUINIENTOS VEINTE MIL CIENTO SESENTA PESOS M/CTE ($ 1.520.160), equivalente a CUARENTA (40) UNIDADES DE VALOR TRIBUTARIO – UVT, la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, por la violación del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO TERCERO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su representante legal vinculado al correo electrónico de notificación judicial de la sociedad, administracion@mervicol.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

PAGE \* MER GEFO En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberáRMA dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los T8 “Por la cual se impone una sanción” correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, de UN MILLÓN QUINIENTOS VEINTE MIL CIENTO SESENTA PESOS M/CTE ($ 1.520.160), equivalente a CUARENTA (40) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO TERCERO: EXHORTAR al representante legal de la sociedad MERVICOL S.A.S., identificada con NIT 900.369.378-8, señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx, para que se adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de finalidad y libertad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO CUARTO: COMUNICAR a la señora xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xx.xxx.xxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: “Por la cual se impone una sanción” - Correo Superindustria: contactenos@sic.gov.co PAGE \* MER GEFO RMA T8 - Sede Principal: Carrera 7 No. 31A - 36, Pisos 3 y 3A, en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 SEPTIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.09.21 10:47:14 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: MERVICOL S.A.S. Identificación: NIT 900.369.378-8 Representante legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: Calle 130 No. 58 A – 91, piso 3 Ciudad: BOGOTÁ D.C. - COLOMBIA Correo electrónico: administracion@mervicol.com COMUNICACIÓN: Señora: xxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxx31 En el expediente no obra la dirección física para efectos de notificaciones.