Sanción 62514 de 2024 — SIC

(18 de octubre de 2024) “Por la cual se impone una sanción” Radicación 21-456485 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, identificada con Nit. 900.341.622-9, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos contenidos en la queja1 interpuesta por la denunciante: 1.1.

La señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, identificada con cedula de ciudadanía N°. xx.xxx.xxx denuncia que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S consultó su historial de crédito sin su autorización. 1.2. Asegura que nunca ha otorgado autorización a tal sociedad para el tratamiento de sus datos, así como tampoco ha solicitado un estudio de crédito. 1.3.

Por ello, solicita que se sea anulada toda solicitud dado que no ha firmado ningún documento físico o digital, así como tampoco ha autorizado verbalmente a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1. Requerimiento de información a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S., fechado de 17 de febrero de 2022; en Expediente digital, consecutivo número 3, página 2. 2.2.

Respuesta suministrada por la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S. al requerimiento de información, de fecha de 4 de marzo de 2022 en Expediente digital, consecutivo número 9, página 2 2.3. Requerimiento de información al Operador de Información Experian Colombia S.A. fechado de 23 de agosto de 2022; en Expediente digital, consecutivo número 17, página 2. 2.4.

Respuesta suministrada por el Operador de Información Experian Colombia S.A. fechada de 8 de septiembre de 2022; en Expediente digital, consecutivo número 20, página 2. 1 Radicado 21-456485-0, pág. 1 “Por la cual se impone una sanción”.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 2 de febrero de 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 2032 por medio de la cual se formuló cargo único a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S., por la presunta contravención de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

La mencionada resolución le fue notificada a la investigada por medio de Aviso N°. 1238 del 13 de febrero del 2024 de conformidad con la certificación de fecha 15 de febrero del 2024 expedida por la Secretaría General de esta Superintendencia bajo el radicado 21-456485-28.

CUARTO: Que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, por medio de apoderado, presentó escrito de descargos obrante en radicados 21-456485-29 y 21-456485-30 del 29 de febrero de 2024 y del 1 de marzo del 2024, respectivamente, argumentando, entre otras cosas, lo siguiente: 4.1. Inicialmente, señala que siempre ha expresado la aceptación en la omisión de la respuesta oportuna a los requerimientos de la Coordinación del Grupo de Trabajo de Hábeas Data.

Sobre este punto, aclara que en el histórico de los requerimientos ha dado respuesta a la mayoría de las solicitudes de la autoridad. Por ello, menciona que se acoge al literal f) del artículo 19 de la Ley 1266 de 2008, toda vez que aceptó expresamente la omisión de respuesta a las solicitudes de explicaciones presentadas por la Coordinación del Grupo de Trabajo de Hábeas Data 4.2.

A continuación, realiza una explicación del principio de responsabilidad demostrada al tener la documentación exigida por la normatividad de habeas data. Inicialmente, señala que este principio fue incorporado en las directrices de la Organización para la Cooperación y el Desarrollo Económico (OCDE) y posteriormente en la normatividad nacional.

Sobre la normatividad nacional menciona que este principio se incluyó en el Decreto 1377 del 2013 y en la Ley 2157 del 2021. Así, entiende que “los operadores, las fuentes y los usuarios deben demostrar que han implementado “medidas apropiadas, efectivas y verificables para cumplir con las disposiciones de la Ley 1266 de 2008”. Estas medidas deben ser proporcionales frente a: (i) la naturaleza jurídica del operador, la fuente o el usuario;

(ii) el tamaño de la empresa; (iii) la naturaleza de los datos personales; (iv) el tipo de tratamiento; (v) los riesgos potenciales que se pueda causar a los derechos de los titulares”2 Finaliza su explicación del principio señalando que “En síntesis, bajo el principio de responsabilidad demostrada, a los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data.

Finalmente, aporta las pruebas que pretende hacer valer en el expediente y sus datos de notificación. QUINTO Que mediante Resolución N°. 27345 del 27 de mayo de 2022, este Despacho procedió a incorporar las pruebas obrantes en el expediente y ordenó el decreto de otras. Las pruebas incorporadas son las siguientes: 5.1. Queja de la Titular de fecha 16 de noviembre de 20214. 5.2.

Requerimiento de información a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS. del 17 de febrero de 20225 5.3. Requerimiento de información a terceros dirigido al operador de información CIFIN S.A.S. del 17 de febrero de 20226. 5.4. Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. del 17 de febrero de 20227 5.5.

Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A, de fecha 18 de febrero del 20228 5.6. Respuesta al requerimiento de información por parte del operador de información CIFIN S.A.S, de fecha 25 de febrero del 20229 5.7. Respuesta al requerimiento de información por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS, de fecha 3 de marzo del 202210 5.7.1 Certificado de Existencia y Representación Legal de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS de fecha 9 de febrero del 202211 5.8.

Requerimiento de información a terceros dirigido al operador de información CIFIN S.A.S. del 5 de marzo de 202212 5.9. Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. del 5 de marzo de 202213 5.10. Respuesta al requerimiento de información por parte del operador de información CIFIN S.A.S, de fecha 17 de mayo del 202214 5.11.

Segundo requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. del 14 de junio del 202215 5.12. Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A, de fecha 7 de julio del 202216 4 Radicado 21-456485-0 5 Radicado 21-456485-3, pág. 2 6 Radicado 21-456485-4, pág. 2 7 Radicado 21-456485-5, pág. 2 8 Radicado 21-456485-7, pág. 3 9 Radicado 21-456485-8, pág. 3 10 Radicado 21-456485-9, pág. 3 11 Radicado 21-456485-9, pág. 4 12 Radicado 21-456485-10, pág. 2 13 Radicado 21-456485-11, pág. 2 14 Radicado 21-456485-12, pág. 3 15 Radicado 21-456485-13, pág. 2 16 Radicado 21-456485-15, pág. 3 y 21-456485-16, pág. 3 “Por la cual se impone una sanción”. 5.13.

Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. del 23 de agosto de 202217 5.14. Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A, de fecha 7 de septiembre del 2022 de hora 11. 47 am18 5.15. Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A, de fecha 7 de septiembre del 2022 de hora 15. 40 pm 19 5.15.1.

Copia de la Historia de Crédito de la Titular20 5.16. Certificado de Existencia y Representación Legal de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS de fecha 12 de enero del 202421 5.16.1. Copia del escrito de descargos de la sociedad FINANCIERAS DE CRÉDITO S.A.S del 29 de febrero de 202422 ASESORÍAS 5.16.2. Estados Financieros de los periodos 2021 y 2022 de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S23 5.16.3.

Poder especial entregado por el Representante Legal Suplente de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S a su apoderado24 5.16.4. Documento titulado “Procedimiento para el control de autorizaciones de consulta ante centrales, de no clientes” de fecha 4 de enero del 2024, versión N°. 1 y código PR-SAC-0825 La mencionada resolución le fue comunicada a la investigada el día 27 de mayo de 2024 de conformidad con la certificación de fecha del 4 de junio de 2024 expedida por la Secretaría General de esta Superintendencia bajo el radicado 21-456485-34.

SEXTO: Que la investigada no presentó escrito de alegatos de conclusión.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 200826, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho 17 Radicado 21-456485-17, pág. 2 18 Radicado 21-456485-19, pág. 3 19 Radicado 21-456485-20, pág. 3 20 Radicado 21-456485-20, pág. 4 21 Radicado 21-456485-29, pág. 4 22 Radicado 21-456485-29, pág. 5 23 Radicado 21-456485-29, pág. 6 24 Radicado 21-456485-29, pág. 7 25 Radicado 21-456485-29, pág. 8 26 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción”. administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 8 de la Ley 1266 de 2008 establece los deberes que le asisten a las fuentes de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1.

Respecto del deber de utilizar la información únicamente para los fines para los que le fue entregada El artículo 15 de la Ley 1266 de 2008 establece las finalidades para las cuales los usuarios de información pueden consultar el historial crediticio de un titular. A su turno, el literal b) del artículo 4 de la citada ley, establece el principio de finalidad como aquel en que “la administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley.

La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto”. De otra parte, la Corte Constitucional en Sentencia C-1011 de 2008 mediante la cual analizó la constitucionalidad del proyecto de ley de protección de datos crediticios y financieros, estableció lo siguiente: “(…) Así, el acceso por parte de los usuarios está limitado a que la utilización del dato personal esté relacionada con el propósito de la recolección de la información, que no es otro que el cálculo del riesgo crediticio, basado en el análisis del modo en que el sujeto concernido cumple con sus obligaciones financieras y comerciales.

En consecuencia, otras modalidades de acceso, que no estén vinculadas con la finalidad del banco de datos, serán contrarias al principio de circulación restringida y, por lo tanto, configurarán un incumplimiento de la norma estatutaria, susceptible de sanción en los términos del artículo 18 del Proyecto de Ley. (…)”. “Por la cual se impone una sanción”.

Conforme lo anterior, es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Honorable Corte Constitucional, la finalidad de acceso de la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar información que les permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio al otorgar créditos o conceder servicios, así como para hacer estudios de mercado o estadísticas y para el adelantamiento de un trámite ante una autoridad pública o una persona privada cuando dicha información resulta pertinente, esto, de acuerdo con lo señalado en la Sentencia C-1011 de 2008.

“(…) Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulación restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos.

Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo crediticio”.

(Subrayas fuera de texto). En este sentido, esta Dirección encontró preliminarmente que la sociedad investigada consultó el 19 de julio y 11 de noviembre de 2021 la historia de crédito de la Titular ante el operador EXPERIAN COLOMBIA S.A. y luego de requerir a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S., manifestó que no contaba con las autorizaciones para realizar dichas consultas y tampoco manifestó tener una finalidad legítima, motivo por el cual este Despacho decidió iniciar una investigación y formular cargos a la sociedad Por su parte en el escrito de descargos la sociedad investigada respecto del cargo único endilgado realizó una explicación del principio de responsabilidad demostrada al tener la documentación exigida por la normatividad de habeas data.

Inicialmente, señala que este principio fue incorporado en las directrices de la Organización para la Cooperación y el Desarrollo Económico (OCDE) y posteriormente en la normatividad nacional. Sobre la normatividad nacional menciona que este principio se incluyó en el Decreto 1377 del 2013 y en la Ley 2157 del 2021. Así, entiende que “los operadores, las fuentes y los usuarios deben demostrar que han implementado “medidas apropiadas, efectivas y verificables para cumplir con las disposiciones de la Ley 1266 de 2008”.

Estas medidas deben ser proporcionales frente a: (i) la naturaleza jurídica del operador, la fuente o el usuario; (ii) el tamaño de la empresa; (iii) la naturaleza de los datos personales; (iv) el tipo de tratamiento; (v) los riesgos potenciales que se pueda causar a los derechos de los titulares”27 Finaliza su explicación del principio señalando que “En síntesis, bajo el principio de responsabilidad demostrada, a los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data.

Estas medidas deberán garantizar, como mínimo y en cualquier operación de procesamiento de datos personales: (i) una organización administrativa para cumplir con estas políticas; (ii) un mecanismo interno para hacerlas efectivas; y, (iii) un proceso adecuado de consultas, peticiones y reclamos que garantice la confidencialidad y 27 Radicado 21-456485-29-5 y 21-456485-30-5, pág. 5, folio 4 “Por la cual se impone una sanción”. seguridad de la información”28 Así las cosas, revisado el material probatorio, se encuentra que: En la queja, la denunciante, XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, manifiesta que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S consultó su historial de crédito sin su autorización. Además, reitera que NO ha otorgado autorización a tal sociedad para el tratamiento de sus datos, así como tampoco ha solicitado un estudio de crédito.

Ante esta situación, este Despacho mediante requerimiento de información dirigido a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS., fechado de 17 de febrero de 2022 en consecutivo número 21-456485-3, le solicitó que indicara la finalidad de la consulta al historial de crédito del denunciante, y que, en caso de no contar con ella, aportara copia de la autorización del Titular para efectuar dicha consulta.

Por otro lado, se requirió a los Operadores de Información Experian Colombia S.A. y CIFIN S.A.S. en fecha 17 de febrero de 2022 bajo consecutivo número 21-456485-4 y 21-456485-5 que informara y acreditara si la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S. realizó consulta(s) de la historia de crédito de la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX en el último año (2022-2023) y que en caso de que la respuesta fuese afirmativa, que informara la(s) fecha(s) exacta(s) de la(s) consulta(s) realizada(s) a la historia de crédito de esta.

Frente a tales requerimientos, los operadores de información contestaron, así: Inicialmente, los operadores de información indicaron mediante comunicaciones con radicados 21-456485-7-1 de fecha 18 de febrero de 2022 y 21-456485-8-1 de fecha 25 de febrero de 2022 que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S. NO consultó el historial crediticio de la titular.

En cuanto a la respuesta por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS, de fecha 3 de marzo del 202229, la entidad señala que “(…) Informe si ha consultado la historia de crédito de la reclamante en el último año. En caso de que su respuesta sea afirmativa, indique la razón por la que realizó dicha(s) consulta(s). R/ Si, mi representada si ha consultado la historia de crédito de la reclamante en perfilamiento comercial para una solicitud otorgamiento de crédito el 19 de julio de 2021 y el 11 de noviembre de 2021.

Informe si cuenta con autorización de la reclamante para consultar su historia de crédito ante los Operadores de Información. En caso de que su respuesta sea afirmativa, sírvase remitir copia o evidencia de la misma: R/ Se informa al despacho que, de la consulta del 19 de julio de 2021 al ya haber pasado el tiempo de huella de consulta (seis meses), mi representada no cuenta con la autorización. De la consulta del 11 de noviembre de 2021, le informo al despacho que dicha documentación ya se solicitó a la fuerza comercial por tanto le solicito al despacho 10 días para remitirlo.

(…)”. Así las cosas, se requirió nuevamente a los operadores de información mediante comunicaciones de fecha 3 de mayo del 2022 con radicados 21-456485-10 y 21456485-11 para que los mismos indicaran si la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S., en el periodo comprendido entre el 1 de 28 Ibidem, folio 5 29 Radicado 21-456485-9, pág. 3, folio 2 “Por la cual se impone una sanción”. enero de 2020 y la fecha de su respuesta: (i) consultó el historial crediticio de la Titular XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, y (ii) si reportó información en calidad de Fuente en el historial crediticio de la Titular.

Ante este requerimiento, el operador de información CIFIN S.A.S.30, indicó mediante comunicación del 17 de mayo del 2022 que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS no ha consultado la historia de crédito de la Titular y por consiguiente no ha reportado información en dicho historial. Por su parte, el operador de información EXPERIAN DE COLOMBIA S.A. aportó respuesta en fecha 7 de septiembre del 202231 en la cual señala que: “De manera atenta, damos respuesta al requerimiento de la referencia recibido en Experian Colombia S.A., en el cual esa Superintendencia solicitó informar si la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S, realizó consulta al historial crediticio del Titular XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, identificado(a) con cédula de ciudadanía No. xxxxxxxx, desde el 01 de enero de 2020 hasta la fecha de investigación. Sobre el particular, nos permitimos informar que la sociedad efectuó consulta al historial crediticio de la titular en dos (2) oportunidades, el día 19 de julio de 2021 y el día 11 de noviembre de 2021, bajo la huella ASFICREDITO SAS. la cual se adjunta” Revisada la información de la historia de crédito de la Titular, se tiene que la misma coincide con la información reportada por el Operador EXPERIAN DE COLOMBIA S.A. y con la información brindada por la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS.

Hasta este punto, no se encuentra que la investigada haya alegado justificación alguna frente a la consulta del historial de crédito de la Titular, así como tampoco se aprecia que dentro de las respuestas aportadas por la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS se encuentre la copia de la “documentación” que permita la consulta del 11 de noviembre de 2021 dentro de dicho historial.

Visto el material probatorio, se encuentra lo siguiente: En el ordenamiento jurídico colombiano, la Ley 1266 de 2008 es muy clara al mencionar que el Titular, para obtener la garantía de su derecho de habeas data, tiene derecho a acudir ante la autoridad de vigilancia para presentar quejas contra los usuarios por violación de las normas sobre administración de la información financiera y de exigir la prueba de la autorización en los eventos en los que lo señala la norma.

Por ello, la investigada tiene la carga de proceder de conformidad. Así las cosas, conviene reiterar que el artículo 15 de la Ley 1266 del 2008 detalla las causales bajo las cuales un usuario de información puede acceder a ella dentro del marco de esta norma. Del análisis de este artículo, se tiene que, para acceder de manera legítima a la información crediticia de un Titular, el usuario de información debe poder probar que su actuación se enmarca en una de las causales señaladas en el artículo en cuestión y que, en caso de que no se encuadre dentro de ellas, se debe solicitar autorización para el tratamiento de los datos al Titular que corresponda.

Así lo señaló la Corte Constitucional en sentencia C 1011 del 200832, consideración “3.4.6. Acceso a la información por parte de los usuarios”, en el siguiente sentido: 30 Radicado 21-456485-12, pág. 3 31 Radicado 21-456485-20, pág. 3 32 Cfr. Corte Constitucional, sentencia C 1011 del 2008 de fecha 16 de octubre de 2008, M.P.: JAIME CÓRDOBA TRIVIÑO “Por la cual se impone una sanción”.

“El artículo 15 del Proyecto tiene como objetivo regular las finalidades que legitiman el acceso, por parte de los usuarios, a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que repose en bancos de datos. En ese propósito enuncia como finalidades admisibles las contempladas en las siguientes hipótesis: (i) la de servir como elemento de análisis para establecer una relación contractual de cualquier naturaleza, o evaluar el riesgo derivado de una relación contractual vigente, (ii) para hacer estudios de mercado, o investigaciones comerciales o estadísticas (inciso 3º);

(iii) para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulta pertinente (inciso 4°); y (iv) para cualquier otra finalidad, respecto de la cual de manera general o en forma particular, se haya obtenido autorización por parte del titular de la información (inciso 5º)..

(…) En relación con el contenido de la norma objeto de análisis, una vez más reitera la Corte, que uno de los principios que guían el proceso de acopio, procesamiento y divulgación de información personal es el de la finalidad, el cual exige no solamente que tales procesos estén orientados hacia un fin constitucionalmente legítimo, sino, de manera particular, una definición clara, suficiente y previa de ese objetivo.

(…) Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal. En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes.

( )” (Subrayado fuera del texto original). Partiendo de lo señalado por la Corte, y de las circunstancias de este caso concreto, es claro que el principio de finalidad determina que el proceso de tratamiento de datos personales de contenido crediticio se realice con sujeción a un fin constitucionalmente legítimo y que el objetivo de este fin este definido de manera previa.

Así, se resalta la idea de que el usuario debe indicar de forma clara la finalidad para realizar el acceso a los datos para cada caso evento que señala la norma. En ese orden de ideas, se hará una explicación de cada uno de los incisos del artículo 15 para contratar si alguno de ellos se encuadra dentro de los parámetros facticos de este caso concreto.

Veamos: I. El inciso primero comprende la variable de establecer y mantener una relación contractual, cualquiera que sea su naturaleza. Así, este primer inciso busca proveer a los operadores del sistema financiero de elementos de análisis para calcular el nivel de riesgo al momento de que el Titular contraiga obligaciones de carácter crediticio.

En otras palabras, se busca brindar elementos de evaluación para el establecimiento o mantenimiento de una relación contractual con el usuario de información. II. Por otro lado, la parte final del inciso primero señala el segundo evento en el cual se puede acceder a la información del Titular de la información; este es la facultad de poder acceder a la información crediticia al momento de valorar los riesgos derivados de una relación contractual vigente.

En este sentido, se parte del supuesto de que el Titular quisiera, dentro del marco de un contrato vigente suscrito con el usuario de información, acceder a “Por la cual se impone una sanción”. otro servicio del usuario en cuyo caso este podría acceder a la información crediticia del Titular para evaluar si le otorga o no un nuevo crédito.

En este sentido, se busca medir el nivel de riesgo de sus actuales y futuros clientes. III. El inciso tercero del artículo comprende la posibilidad de que el usuario de información pueda acceder a la misma para efectos de realizar estudios de mercado o investigaciones comerciales o estadísticas, es decir actividades de marketing. A partir de este inciso, se parte del caso en el que el usuario quiera promocionar un nuevo producto e informe concretamente de tal finalidad para efectos de acceder a la información crediticia. IV.

Por su parte, el inciso cuarto del artículo objeto de análisis señala que el usuario podrá acceder a la información crediticia para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente En este sentido, el usuario cuando deba adelantar un trámite ante autoridad judicial o administrativa podrá acceder a la información crediticia de un Titular, siempre que la información a la que acceda sea la pertinente para el trámite que corresponda.

V. Por último, el inciso final del artículo analizado indica que el usuario podrá acceder a la información crediticia para cualquier otra finalidad, diferente de las anteriores, siempre que haya obtenido autorización por parte del titular de la información Finalmente, el artículo señala que en caso de que la finalidad de acceso a la información no se enmarque en ninguna de las causales señaladas dentro de los incisos anteriores, el usuario de información deberá recolectar y conservar copia de la autorización del Titular de la información para poder acceder a ella.

Así, contrastadas las finalidades bajo las cuales el usuario de información puede acceder de manera legítima a la información crediticia de un Titular, se encuentra que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS NO acredita ninguna de ellas, en tanto (i) no hay ánimo de celebrar una relación contractual con la Titular, (ii) no hay motivos para realizar una valoración de los riesgos derivados de una relación contractual vigente, (iii) no se realizaron estudios de mercado y (iv) el acceso no fue efectuado para adelantar un trámite ante autoridad judicial o administrativa.

Por ello, la sociedad debía contar con el soporte de la autorización de la Titular, la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, a efectos de poder estar legitimada para acceder a su historial crediticio. Sin embargo, en la medida en que, de acuerdo con el acervo probatorio, la sociedad en cuestión no demuestra contar con la autorización de la Titular o tener una finalidad legítima, se concluye de manera razonable que el acceso realizado los días 19 de julio de 2021 y el día 11 de noviembre de 2021 por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS a la historia de crédito de la Titular fue un acceso ilegítimo.

Así las cosas, se impondrá la sanción correspondiente.

NOVENO: FRENTE A LA APLICACIÓN RESPONSABILIDAD DEMOSTRADA DEL PRINCIPIO DE La investigada realiza una explicación del principio de responsabilidad demostrada al tener la documentación exigida por la normatividad de habeas data. “Por la cual se impone una sanción”. Inicialmente, señala que este principio fue incorporado en las directrices de la Organización para la Cooperación y el Desarrollo Económico (OCDE) y posteriormente en la normatividad nacional.

(ii) el tamaño de la empresa; (iii) la naturaleza de los datos personales; (iv) el tipo de tratamiento; (v) los riesgos potenciales que se pueda causar a los derechos de los titulares”33 Finaliza su explicación del principio señalando que “En síntesis, bajo el principio de responsabilidad demostrada, a los encargados del tratamiento de datos personales les asiste la obligación general de adoptar medidas apropiadas, efectivas y verificables para proteger el derecho fundamental de habeas data.

Estas medidas deberán garantizar, como mínimo y en cualquier operación de procesamiento de datos personales: (i) una organización administrativa para cumplir con estas políticas; (ii) un mecanismo interno para hacerlas efectivas; y, (iii) un proceso adecuado de consultas, peticiones y reclamos que garantice la confidencialidad y seguridad de la información”34 Al respecto, este Despacho encuentra que, en vista de todas los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada a efectos de indicarle a la investigada que, por más de que la misma alegue contar con la documentación de “los procedimientos para la recolección, tratamiento y supresión de datos, los mecanismos para conservar la confidencialidad y seguridad de la información, una estructura administrativa responsable para la adopción e implementación de la política, y un sistema eficaz para la atención y respuesta de PQR (peticiones, quejas y reclamos) conforme a las exigencias legales”, lo cierto es que el mismo principio se vio quebrantado en tanto no se evidenció un actuar diligente de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS.

Al respecto es necesario traer a colación lo siguiente, el artículo 26 Decreto 1377 de 201335 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. 33 Radicado 21-456485-29-5 y 21-456485-30-5, pág. 5, folio 4 34 Ibidem, folio 5 35 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. “Por la cual se impone una sanción”. Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”36. Posteriormente, con la inclusión de dicho principio en la Ley 2157 del 2021, la cual modificó la Ley 1266 del 2008, se entiende que este principio también es aplicable a toda la administración de datos de carácter crediticio.

El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que ha realizado esta Superintendencia, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP).

Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige en este caso, que las Fuentes, Operadores y Usuarios de información implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”37.

El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 37 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/quees-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción”. Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability).

De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1266 de 2008.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1266 de 2008, y que dichas medidas se hayan implementado con anterioridad a los eventos en los que luego de tomar todas las medidas necesarias, se llegue a materializar el riesgo, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

DÉCIMO: CONCLUSIÓN Por lo expuesto, es claro para esta Dirección que contrastadas las finalidades bajo las cuales el usuario de información puede acceder de manera legítima a la información crediticia de un Titular, se encuentra que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS NO acredita contar con una finalidad legítima para acceder a la información crediticia de la Titular, en tanto (i) no hay ánimo de celebrar una relación contractual con la Titular, (ii) no hay motivos para realizar una valoración de los riesgos derivados de una relación contractual vigente, (iii) no se realizaron estudios de mercado y (iv) el acceso no fue efectuado para adelantar un trámite ante autoridad judicial o administrativa.

Por ello, la sociedad debía contar con el soporte de la autorización de la Titular, la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, a efectos de poder estar legitimada para acceder a su historial crediticio. Sin embargo, en la medida en que, de acuerdo con el acervo probatorio, la sociedad en cuestión no demuestra contar con la autorización de la Titular, se “Por la cual se impone una sanción”. concluye de manera razonable que el acceso realizado los días 19 de julio de 2021 y el día 11 de noviembre de 2021 por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS a la historia de crédito de la Titular fue un acceso ilegítimo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1838. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 239, 440 y 641 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo42.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)” 43 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” 38Ley 1266 de 2008, artículo 18: Sanciones.

La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 40 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 41 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 42 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 43 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción”. El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional44.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y 44 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción”. contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional45 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”46 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 46 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción”. daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros47. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”48.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia49. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1850 de la misma.

Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción;

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 48 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 49 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 50 Ley 1266 de 2008, artículo 18: Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción”. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).

Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: a los supuestos de administración de datos prohibidos. se aplica Criterios de graduación de las sanciones (Art. 19).

En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;

(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. “Por la cual se impone una sanción”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.

(…)51 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

En el caso sub-examine, con base en el literal a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que el cargo comprobado en contra de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S afectó de forma real y concreta los derechos fundamentales de la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX. A partir del análisis del material probatorio, quedó demostrada la vulneración del numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley al demostrarse que la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS NO acredita contar con una finalidad legítima para acceder a la información crediticia de la Titular, por lo cual debía contar con el soporte de la autorización de la Titular, la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, a efectos de poder estar legitimada para acceder a su historial crediticio.

Sin embargo, en la medida en que, de acuerdo con el acervo probatorio, la sociedad en cuestión no demuestra contar con la autorización de la Titular, se concluye de manera razonable que el acceso realizado los días 19 de julio de 2021 y el día 11 de noviembre de 2021 por parte de la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS a la historia de crédito de la Titular fue un acceso ilegítimo.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE ($2.540.632)52, por la vulneración a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 11.1.2 La reincidencia en la comisión de la infracción 51Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2.

Sanciones y criterios para su graduación (Artículos 18 y 19). 52 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción”. Será tenido en cuenta el criterio contenido en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por el incumplimiento al deber consagrado numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley, esto es, que se ha generado reincidencia en el incumplimiento del deber de los usuarios de utilizar la información únicamente para los fines para los que le fue entregada.

Por esta razón este Despacho aumentará la sanción, por lo cual que el monto impuesto será de CUATRO (4) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a CUATROCIENTAS SESENTA Y CUATRO (464) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CINCO MILLONES OCHENTA Y UN MIL DOSCIENTOS SESENTA Y CUATRO PESOS M/CTE ($5.081.264) En efecto, enseguida se destacan las siguientes sanciones: • Radicado 19-167017 En el que mediante la Resolución N°. 15303 del 28 de marzo de 2022 se sancionó a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS. por la violación del numeral 1 del artículo 9 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no allegó al proceso la autorización previa y expresa otorgada por el Titular que le permitiera a la compañía consultar su historia de crédito ante el Operador de información EXPERIAN COLOMBIA S.A. el día 16 de abril de 2019.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 15303 del 28 de marzo de 2022 sancionó por dos cargos a la citada sociedad en SETENTA Y SEIS MILLONES OCHO MIL PESOS M/CTE ($76.008.000) equivalente a DOS MIL UVT (2.000) unidades de valor tributario vigentes, encontrándose dentro de estos cargos el deber previsto en el numeral 1 del artículo 9 de la Ley 1266 de 2008. • Radicado 19-229247 En el que mediante la Resolución N°. 41286 del 29 de junio de 2022 se sancionó a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO SAS. por la violación del numeral 1 del artículo 9 de la Ley 1266 de 2008, al haberse demostrado que la sociedad realizó una consulta al historial del titular ante el operador de información EXPERIAN COLOMBIA S.A. sin una finalidad legítima el día 05 de septiembre de 2019.

Frente a la vulneración del deber mencionado, este Despacho en la Resolución N°. 41286 del 29 de junio de 2022 se sancionó por dos cargos a la citada sociedad en TREINTA Y OCHO MILLONES CUATRO MIL PESOS M/CTE ($38.004.000) equivalentes a 1000 Unidades de Valor Tributario – UVT vigentes, encontrándose dentro de estos cargos el deber previsto en el numeral 1 del artículo 9 de la Ley 1266 de 2008. 11.1.3 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada reconoce en la fase preliminar de esta investigación que “si ha consultado la historia de crédito de la reclamante en perfilamiento comercial para una solicitud otorgamiento de crédito el 19 de julio de 2021 y el 11 de noviembre de 2021”, este Despacho tendrá en cuenta la aceptación como único criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducida, por lo que el monto impuesto definitivo será de TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – “Por la cual se impone una sanción”. equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE ($3.810.948) 11.1.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S con Número de Identificación 900.341.622-9, con el correo electrónico de notificación judicial impuestos@asficredito.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-456485. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S con Número de Identificación 900.341.622-9 de TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE ($3.810.948) por la vulneración del deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S con Número de Identificación 900.341.622-9 a través de su representante legal “Por la cual se impone una sanción”. y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR el contenido de la presente resolución a la señora XXXXXX XXXXXX XXXXXXX XXXXXXXXXX, identificado con cédula de ciudadanía número xx.xxx.xxx.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 18 de octubre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.10.18 14:18:20 -05'00' CAROLINA GARCÍA MOLINA Elaboró: SR Revisó: AC Aprobó: CG NOTIFICACIÓN: Investigada: ASESORÍAS FINANCIERAS DE CRÉDITO S.A.S Identificación: NIT. 900.341.622-9 Representante legal: ADRIANA JIMENA LIZCANO FERRER Identificación: C.C. No. 63.486.370 Correo electrónico: impuestos@asficredito.com Dirección: Cr 10 Nº 65 - 98 Ciudad: Bogotá D.C. – Colombia COMUNICACIÓN: Señora: XXXXXX XXXXXX XXXXXXX XXXXXXXXXX Identificación: C.C. N° xx.xxx.xxx Correo electrónico: XXXXXX XXXXXX XXXXXXX XX

Resolución sancionatoria N° 62514 de 2024

CONSIDERANDO

RESUELVE