(27 de mayo de 2024) “Por la cual se impone una sanción y se imparte una orden administrativa” Radicación 22-121197 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad ASODATOS S.A.S., identificada con Nit. 830.501.198 – 0, por lo que decidió iniciar investigación administrativa con fundamento en lo expuesto en la parte considerativa de la Resolución número 49188 del 04 de agosto de 2021, así: “Teniendo en cuenta que la mencionada comunicación fue enviada por medio de correo electrónico este Despacho procedió a verificar que existiera una autorización previa otorgada por el titular para recibir notificaciones por medio de correo electrónico.
Al revisar los documentos aportados a esta Dirección, se observa que en ninguno de los documentos allegados obra prueba de la autorización otorgada por el titular para la remisión de notificaciones al correo referenciado. Por lo anterior, se evidencia que la sociedad investigada no allegó prueba mediante la cual valide la existencia de la autorización para el envío de comunicación previa a través de correo electrónico.
Debe recordarse en este caso que la autorización para recibir la comunicación previa al reporte a la que se refiere el artículo 12 de la Ley 1266 de 2008 debe ser expresa y no genérica, que por tratarse de una garantía material del Hábeas Data financiero, debe ser una autorización específica en la que el titular comprenda a la perfección su implicación1”.
SEGUNDO: Que, en ejercicio de las funciones asignadas a esta Superintendencia, se recolectaron en la etapa preliminar de esta investigación los elementos materiales de prueba que se enlistan a continuación: 2.1. Queja del Titular de fecha 30 de diciembre de 2020 2.2. Oficio con radicado número 21-19125-03 del 14 de mayo de 2021 dirigido a CIFIN S.A.S. 2.3.
Oficio con radicado número 21-19125-04 del 14 de mayo de 2021 dirigido a EXPERIAN COLOMBIA S.A. 2.4. Oficio con radicado 21-19125-05 del 14 de mayo de 2021, dirigido a la sociedad ASODATOS S.A.S. 2.5. Comunicación con radicado 21-19125-06 del 26 de mayo de 2021, enviado por la sociedad CIFIN S.A.S. 2.6. Comunicación con radicado 21-19125-07 del 27 de mayo de 2021 de la sociedad EXPERIAN COLOMBIA S.A. 2.7.
Comunicación con radicado 21-19125-09 del 01 de junio 2020, de la sociedad ASODATOS S.A.S 1 Resolución 17321 del 31 de marzo del 2022, pág. 1 “Por la cual se impone una sanción y se imparte una orden administrativa” A la anterior comunicación se anexaron los siguientes documentos: (i) Modelo de autorización para la consulta, reporte y procesamiento de datos financieros persona natural, (ii) auto interlocutorio N°. 718 expedido por el Juzgado Octavo Civil Municipal, (iii) correo enviado desde el mail ‘xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, (iv) carta dirigida al titular por ASODATOS S.A.S., (vi) Certificado de Existencia y Representación Legal de ASODATOS S.A.S., (vii) Reclamación interpuesta por el Titular el 30 de diciembre de 2020 y (viii) oficio enviado por ASODATOS S.A.S. al Titular TERCERO: Que, con base en los hechos anotados y de las pruebas trasladadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 31 de marzo de 2022 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 17321 por medio de la cual se formularon dos cargos en contra de la sociedad ASODATOS S.A.S, por la presunta contravención de lo dispuesto en: i. El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. ii.
El numeral 8 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 16 numeral 4 de la misma Ley La mencionada resolución le fue notificada a la investigada el día 4 de abril de 2022 de manera electrónica de conformidad con la certificación de fecha 22 de abril de 2022 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-121197-7.
CUARTO: Que la investigada, por intermedio de su apoderada general, aportó escrito de descargos en fecha 12 de abril del 2022 con radicado 22-121197-6 al interior del cual alega: 4.1. Inicialmente, se refiere a los hechos que motivaron la apertura de la investigación por parte de este Despacho, alegando la falta de pago de las obligaciones contraídas por el denunciante, lo que forzaron a la investigada a iniciar un proceso ejecutivo. 4.2.
Frente al primer cargo, alega no estar de acuerdo con el mismo puesto que sí envió la notificación garantizándole al deudor su derecho a pagar la obligación y que está demostrado que la notificación se entregó al correo electrónico que manejaba el titular para la fecha según reporte que este hizo a uno de sus funcionarios. Al respecto, menciona que, el correo que fue enviado a la dirección de correo manifestada por el Titular tenía como anexo el estado de cuenta de la obligación, el cual incluye la notificación de habeas data.
Señala además que, cumpliendo con la política institucional de la entidad, se envían las comunicaciones a las direcciones físicas registradas, sin embargo, para este caso menciona que no puede aportar copia de la guía de envío, ya que el proveedor (Redetrans) está en liquidación judicial. Menciona que, acatando las instrucciones de esta entidad, eliminó los reportes realizados en la historia de crédito del deudor y que, en consecuencia, este ya no se encuentra reportado desde el mes de agosto del 2021. 4.3.
Sobre el cargo segundo, alega no estar conforme, pues a pesar de que hubo una reclamación del deudor, el estado de esta no se actualizó puesto que no hubo abonos por parte del deudor y señala que el cliente está bloqueado, por lo que no puede realizar actualizaciones. 4.4. Señala que imponer una sanción sería actuar en detrimento de la empresa y de su situación económica, por lo que, alegando la aplicación del principio de equidad en derecho, solicita se aplique el fenómeno de hecho superado. 4.5.
Finalmente, aporta las pruebas que pretende hacer valer en el proceso y solicita se le exonere de toda responsabilidad.
QUINTO: Que mediante Resolución N°. 60396 del 29 de septiembre de 2023, este Despacho determinó incorporar las pruebas que se relacionan a continuación: 5.1. Denuncia del Titular de fecha 30 de diciembre de 20202. 2 Radicado 22-121197-0 del 29 de marzo de 2022, folios 1 a 11 “Por la cual se impone una sanción y se imparte una orden administrativa” 5.2.
Requerimiento del 14 de mayo de 2021 a la sociedad CIFIN S.A.S a fin de que diera respuesta a las preguntas del Despacho3. 5.3 Requerimiento del 14 de mayo de 2021, enviado a la sociedad ASODATOS S.A.S.” a fin de que diera respuesta a las preguntas del Despacho 4. 5.4 Comunicación del 26 de mayo de 2021, enviado por la sociedad CIFIN S.A.S” en la cual da respuesta a las preguntas del Despacho5. 5.5 Comunicación del 27 de mayo de 2021, mediante la cual la sociedad EXPERIAN COLOMBIA S.A. da respuesta a las preguntas del Despacho 6. 5.6 Comunicación del 01 de junio 2020, mediante el cual ASODATOS S.A.S en la cual da respuesta a las preguntas del Despacho7, junto con los siguientes anexos: 5.6.1 Cheque girado a favor de Propilco S.A. por parte del denunciante8; 5.6.2 Modelo de autorización para la consulta, reporte y procesamiento de datos financieros persona natural9; 5.6.3.
Auto interlocutorio no. 718 del 1 de abril del 2014 expedido por el Juzgado Octavo Civil Municipal10; 5.6.4. Correo enviado desde el mail ‘xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx’ de fecha 26 de diciembre de 201311, 5.6.5. Cartas dirigidas al titular por ASODATOS S.A.S.12, ambas del 26 de diciembre del 2013 5.6.6. Consulta del historial de crédito ante centrales de riesgo13 5.6.7.
Certificado de Existencia y Representación Legal de ASODATOS S.A.S.14, 5.6.8. Reclamación interpuesta por el Titular el 30 de diciembre de 202015 y 5.6.9. Oficio de fecha 15 de diciembre de 2021 enviado por ASODATOS S.A.S. al Titular16 5.6.10. Resolución N°. 49188 del 4 de agosto de 202117 5.7 Escrito de descargos mediante radicado 22-121197-6 de fecha 12 de abril del 202218 5.7.1 Pantallazo de Easyfix19. 5.7.2 Pantallazo de centrales de riesgo20 5.7.3 Documentos con dos pantallazos de Datacrédito21. 5.7.4 Estados financieros requeridos de los últimos tres años, junto con el Balance General y el Estado de Pérdidas y Ganancias de los últimos TRES (3) años22. 3 Radicado 22-121197-0 del 29 de marzo de 2022, folios 12 a 13 4 Radicado 22-121197-0 del 29 de marzo de 2022, folios 14 a 15 5 Radicado 22-121197-0 del 29 de marzo de 2022, folios 16 a 29 6 Radicado 22-121197-0 del 29 de marzo de 2022, folios 30 a 37 7 Radicado 22-121197-0 del 29 de marzo de 2022, folios 38 a 39 8 Radicado 22-121197-0 del 29 de marzo de 2022, folio 40 9 Radicado 22-121197-0 del 29 de marzo de 2022, folio 41 10 Radicado 22-121197-0 del 29 de marzo de 2022, folio 42 11 Radicado 22-121197-0 del 29 de marzo de 2022, folio 43 12 Radicado 22-121197-0 del 29 de marzo de 2022, folios 44 a 45 13 Radicado 22-121197-0 del 29 de marzo de 2022, folios 46 a 47 14 Radicado 22-121197-0 del 29 de marzo de 2022, folios 48 a 54 15 Radicado 22-121197-0 del 29 de marzo de 2022, folios 55 a 57 16 Radicado 22-121197-0 del 29 de marzo de 2022, folio 58 17 Radicado 22-121197-0 del 29 de marzo de 2022, folios 59 al 71 18 Radicado 22-121197-6-4 de fecha 12 de abril del 2022, folios 1 al 6 19 Radicado 22-121197-6-4 de fecha 12 de abril del 2022, folio 7 20 Radicado 22-121197-6-4 de fecha 12 de abril del 2022, folio 8 21 Radicado 22-121197-6-4 de fecha 12 de abril del 2022, folio 9 22 Radicado 22-121197-6-4 de fecha 12 de abril del 2022, folios 10 al 56 “Por la cual se impone una sanción y se imparte una orden administrativa” 5.8 Correo dirigido por el apoderado del denunciante a este indicándole del inicio de la investigación con radicado 22-121197-8 de fecha 5 de mayo del 202223.
Adicionalmente, se decretó la práctica de la siguiente prueba: Requerir a la sociedad Redetrans identificada con Nit 830038007 – 7, para que informe a este Despacho la cantidad de comunicaciones con sus respectivas fechas, su frecuencia, tipo y dirección de remisión dirigidas al señor XXXXXX XXXXXXX identificado con cédula CC XX.XXX.XXX SEXTO: Que el día 3 de noviembre del 2023 mediante radicado 22-121197-12 se realizó la práctica de la prueba antes mencionada requiriendo la información a la sociedad Redetrans identificada con Nit N°. 830.038.007 – 7.
SÉPTIMO: La mencionada Resolución N°. 60396 del 29 de septiembre de 2023 le fue comunicada a la sociedad ASODATOS S.A.S el día 29 de septiembre de 2023 de conformidad con la certificación de fecha del 9 de noviembre de 2023 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-121197-14.
OCTAVO: Que el 30 de noviembre del 2023, una vez agotada la etapa probatoria, se corrió traslado a la sociedad ASODATOS S.A.S para que esta, si lo considerase pertinente, aportara alegatos de conclusión.
NOVENO: Que mediante radicado 22-121197-16 de fecha 12 de diciembre del 2023, la investigada reitera lo dicho en descargos y alega que, frente a la falta de respuesta por parte de la entidad Redetrans, se de aplicación al principio de buena fe.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 200824, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;
(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.
(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 8 de la Ley 1266 de 2008 establece los deberes que le asisten a las fuentes de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. 23 Radicado 22-121197-8-0 de fecha 6 de septiembre del 2022 24 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.
M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparte una orden administrativa” (ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en: a) El numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015. b) El numeral 8 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 16 numeral 4 de la misma Ley En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto del deber de comunicar al titular previamente a efectuar el reporte El numeral 10 del artículo 8 de la Ley 1266 de 2008 establece lo siguiente: “ARTÍCULO 8°.
DEBERES DE LAS FUENTES DE LA INFORMACIÓN. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 10. Los demás que se deriven de la Constitución o de la presente ley.” En concordancia con lo anterior, el inciso 2 del artículo 12 de la Ley 1266 de 2008 establece un deber especial para las fuentes de información en los siguientes términos: “ARTÍCULO
12. REQUISITOS ESPECIALES PARA FUENTES (…) El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y está aún no haya sido resuelta”.
(Negrilla fuera del texto original) Al respecto de dicho deber especial, la Corte Constitucional en la sentencia C-1011 de 200825 señaló lo siguiente: “(…) El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.
(…) La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información 25 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008).
“Por la cual se impone una sanción y se imparte una orden administrativa” manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador. (…)”. (Negrilla fuera del texto original) Frente a este deber, este Despacho evidenció, por medio de la Resolución N°. 17321 del 31 de marzo de 2022, que no se encuentra en el expediente prueba de que la comunicación previa se haya realizado conforme a lo establecido por la Ley 1266 del 2008, en la medida en que “no se encuentra prueba alguna de que el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx al cual fue enviada la comunicación previa haya sido aportado por el Titular como dirección de notificación. De igual manera, en el expediente no se encuentra prueba en la que conste que la reclamante y la investigada hubieran pactado el envío de la comunicación previa por medios alternativos”.
En cuanto a lo anterior, la sociedad ASODATOS S.A.S alega no estar de acuerdo con la formulación del mismo puesto que manifiesta que sí envió la notificación al Titular garantizándole su derecho a pagar la obligación y que está demostrado que la notificación se entregó al correo electrónico que manejaba el titular para la fecha según reporte que este hizo a uno de sus funcionarios.
Al respecto, menciona que, el correo que fue enviado a la dirección de correo manifestada por el Titular tenía como anexo el estado de cuenta de la obligación, el cual incluye la notificación de habeas data. Señala además que, cumpliendo con la política institucional de la entidad, se envían las comunicaciones a las direcciones físicas registradas, sin embrago para este caso menciona que no puede aportar copia de la guía de envío, ya que el proveedor (Redetrans) está en liquidación judicial.
Menciona que, acatando las instrucciones de esta entidad, eliminó los reportes realizados al deudor y que, en consecuencia, ya no se encuentra reportado. Ahora bien, en cuanto al acervo probatorio, se encuentra lo siguiente: El Grupo de Trabajo de Hábeas Data de esta Dirección requirió, mediante solicitud de explicaciones número 21-19125-5 del 14 de mayo de 2021, a la sociedad ASODATOS S.A.S. para que la misma adjuntara la “Copia de la comunicación previa remitida al reclamante antes del reporte de información negativa, junto con la guía que demuestre el envío de la misma en el término establecido por el inciso 3 del artículo 12 de la Ley 1266 de 2008, en caso de que el reporte se hubiese efectuado con posterioridad al 1 de julio de 2009.” En respuesta a dicha solicitud, mediante comunicación con radicado número 21-19125-8 del 01 de junio 2021, la sociedad ASODATOS S.A.S manifestó que “(…) se adjunta estado de cuenta y copia de la notificación de Habeas Data de fecha 26 de Diciembre de 2013 y constancia del envío realizado al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxcorreo reportado por el reclamante en centrales de riesgo.
(…) (Negrilla fuera del texto original) ” Igualmente, este Despacho requirió a los operadores de información (CIFIN S.A.S. y EXPERIAN COLOMBIA S.A.) mediante comunicados con número de consecutivo 21-19125-3 y 21-19125-4 del 14 de mayo de 2021, solicitándoles, que informaran la fecha en la cual se realizó el primer reporte negativo en la historia de crédito del titular.
Por su parte, el operador de información CIFIN S.A.S. informó mediante radicado 21-19125-6 del 26 de mayo de 2021 que el reporte originario de la obligación N°. 664062 fue realizado por ASODATOS S.A.S, en su calidad de acreedor originario, el 17 de enero del 2014. “Por la cual se impone una sanción y se imparte una orden administrativa” Dicha información fue corroborada por el operador de información EXPERIAN COLOMBIA S.A mediante comunicación con radicado 21-19125-7 dirigida a este Despacho el día 26 de mayo del 2021 Ante lo anterior y para clarificar si la investigada cumple con el deber de ley endilgado, es pertinente traer a colación el artículo 2.2.2.28.2. del Decreto Único Reglamentario 1074 de 2015, que compila el Decreto 2952 del 2010, el cual, a su vez, reglamentó el artículo 12 de la Ley 1266 del 2008 que señala: “En desarrollo de lo dispuesto en el inciso segundo del artículo 12 de la Ley 1266 de 2008, el reporte de información negativa sobre incumplimiento obligaciones sólo procederá previa comunicación al titular de la información, la cual podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes, siempre y cuando se incluya manera clara y legible.
Las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención, los cuales podrán consistir, entre otros, en cualquier tipo de mensaje de datos, siempre que se ajusten a lo previsto en Ley 527 de 1999 y sus decretos reglamentarios y que la comunicación pueda ser objeto de consulta posteriormente.” (Negrilla fuera del texto original).
Así, es pertinente traer a colación la comunicación enviada al Titular por parte de la sociedad ASODATOS S.A.S, para establecer si la misma cumple con las exigencias de la Ley 1266 de 2008, en la medida en que es un deber especial de las fuentes de información realizar la comunicación previa, conforme a los criterios dispuestos en el artículo 12 de la Ley 1266 de 2008; es decir a los siguientes: (i) Remitir comunicación previa al Titular de la obligación en la cual este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad;
(ii) El reporte de la información se puede realizar una vez hayan transcurrido veinte (20) días calendario siguientes a la remisión de la comunicación en la cual el Titular haya podido demostrar el pago, efectuarlo o controvertir aspectos de la obligación y (iii) Dicha comunicación previa al reporte debe ser enviada la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información. Sobre este punto, vale la pena aclarar que el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015 dispuso que las fuentes de información podrán pactar con los titulares, otros mecanismos mediante los cuales se dé cumplimiento al envío de la comunicación en mención. En esta medida, se tiene que ASODATOS S.A.S aportó mediante comunicación 21-19125-8 del 01 de junio de 2021 la copia de un correo electrónico enviado a la dirección electrónica “‘xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx”, presuntamente perteneciente al quejoso el día 26 de diciembre de 2013, así: A partir de esta comunicación y habiendo contrastado la misma contra los requisitos legales, este Despacho encuentra lo siguiente: “Por la cual se impone una sanción y se imparte una orden administrativa” (i) El correo enviado señala que el cheque N°.XXXXX-X de la entidad financiera Davivienda estaba en mora con altura de 18 días y que para evitar mayores costos se solicita la cancelación de este.
Esta situación supone la aplicación del primer criterio, dándole la oportunidad al Titular de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos como el monto de la obligación o cuota y la fecha de exigibilidad; (ii) En cuanto al segundo criterio, el correo fue enviado el 26 de diciembre de 2013 a las 13:57 pm, lo cual cumple con los 20 días calendario previos que señala la Ley como requisito para reportar la información, por cuanto el reporte fue efectuado el 17 de enero del 2014, teniendo en cuenta que el plazo legal señalado vencía el 15 de enero del 2014.
(iii) Finalmente, en cuanto al tercer criterio, se encuentra que el correo fue enviado a la dirección electrónica “xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx”, el cual, de acuerdo con el acervo probatorio no consta que haya sido comunicado por el Titular de la Información a la Fuente de información. Es pertinente anotar que este correo electrónico fue usado por la Fuente de información, a partir de la información que el Titular reportó ante los operadores de información, lo cual no cumple con el criterio legal, puesto que la ley señala que la información utilizada para notificar la comunicación previa debe constar “en los archivos de la fuente de la información”, no de terceros.
En esta medida, en virtud del artículo 2.2.2.28.2. del Decreto Único Reglamentario 1074 de 2015, que compila el Decreto 2952 del 2010, la investigada debía aportar el acuerdo con el titular para que al correo aportado por este ante los operadores de información le fuera notificada cualquier comunicación de la sociedad, antes del reporte de la primera mora en el mes de diciembre de 2013.
Por lo tanto, la comunicación enviada no cumple con el requisito de haber sido enviada a la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información, ya que no hay evidencia de que el titular haya consentido o pactado el envío de dicha comunicación al correo electrónico que fue usado por la sociedad ASODATOS S.A.S. Ahora bien, teniendo en cuenta la prueba solicitada por la sociedad ASODATOS S.A.S, la cual fue decretada por medio de Resolución N°. 60396 del 29 de septiembre de 2023 y practicada según comunicación de fecha 3 de noviembre del 2023 mediante radicado 22-121197-12, requiriendo a la sociedad REDETRANS para que la misma aportara copias de las comunicaciones dirigidas al señor XXXXXX XXXXXXX, se tiene que la sociedad en cuestión no aportó la prueba solicitada.
En este punto, la investigada pretendía utilizar el argumento de la buena fe para demostrar que, en este caso, no pudo aportar la prueba de la comunicación previa, dado que un tercero estaba en posesión de ella y que, a su juicio, había actuado con apego a la Ley Estatutaria 1266 del 2008 y sus decretos reglamentarios. Sobre este punto, la Corte Constitucional26 ha señalado que la buena fe es un principio del derecho que guía las gestiones que los particulares adelanten ante las autoridades públicas.
En la sentencia T-084 del 25 de febrero del 2015, la Corte menciona que el principio de buena fe se debe entender como la convicción de estar obrando de conformidad a la Constitución y la ley. En este sentido, la actuación de la investigada debe ceñirse de manera estricta al cumplimiento del deber legal de comunicar al titular previamente a efectuar el reporte, conforme a las reglas del artículo 12 de la Ley 1266 del 2008 y contar con las pruebas que así lo demuestren.
En este sentido, la presunción de buena fe que pretendía hacer valer la investigada en este caso concreto para desdibujar su responsabilidad no puede ser aceptada por este Despacho en la medida en que la investigada debía contar con todos los medios probatorios necesarios para demostrar el cumplimiento de la ley y no escudarse en el hecho de que la copia de la comunicación previa estaba en manos de un tercero. Así las cosas, es claro que la sociedad está obligada a tener los documentos pertinentes, útiles y necesarios para el compliance legal para que los mismos sean objeto de consulta posterior.
Por ello, ante situaciones como la presente en esta actuación administrativa, se ve la necesidad de que la fuente de información, en este caso la sociedad ASODATOS S.A.S, conserve la documentación para demostrar su debida diligencia en materia legal ante esta autoridad. 26 Cfr. Corte Constitucional, sentencia T-084 del 25 de febrero del 2015, M.P.: MARÍA VICTORIA CALLE CORREA “Por la cual se impone una sanción y se imparte una orden administrativa” Como colofón de lo anterior, la actuación de la investigada no puede ser asumirse como una actuación de buena fe en la medida en que no puede la investigada pretender que un tercero cumpla con un deber que se predica de esta, en la medida en que está actuando como fuente de información. De esta manera, es claro que la comunicación previa no se surtió de acuerdo con los requisitos legales, ya que dentro de las pruebas obrantes en el expediente no existe prueba donde el Titular haya aceptado la recepción de notificaciones a dicho correo electrónico.
En virtud de lo anterior, se impondrá la sanción pertinente. 11.2.2 Respecto del deber de informar al operador que determinada información se encuentra en discusión por parte de su Titular La Ley 1266 de 2008 en el numeral octavo del artículo octavo, en concordancia con lo establecido en el artículo 16 numeral 4 de la misma Ley, dispone que las fuentes de información deberán informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite.
Igualmente, se señala que, si el reclamo es presentado ante la fuente, esta procederá a resolver directamente el reclamo, pero deberá informar al operador sobre la recepción del reclamo dentro de los dos (2) días hábiles siguientes a su recibo, de forma que se pueda dar cumplimiento a la obligación de incluir la leyenda que informe sobre el “reclamo en trámite” ante sedes judiciales o administrativas.
Al respecto, este Despacho evidenció, de manera preliminar por medio de la Resolución N°. 17321 del 31 de marzo de 2022, que el Titular mediante radicado 20-19125-0 del 18 de enero de 2021 adjuntó un reclamo hecho a la sociedad ASODATOS S.A.S. el día 30 de diciembre de 2020 para que se rectifique la información reportada ante los Operadores de Información. Ante tal situación, se encontró igualmente que “la investigada no incluyó la leyenda ‘reclamo en trámite’”.
Frente a ello, la investigada alega no estar conforme, pues a pesar de que hubo una reclamación del deudor, la misma no se actualizó puesto que no hubo abonos por parte de este y señala que el cliente está bloqueado, por lo que no puede realizar actualizaciones sobre los reportes. Ahora bien, de acuerdo con el acervo probatorio, este Despacho encuentra lo siguiente: En la actuación ante el Grupo de Trabajo de Habeas Data de esta Dirección, se evidenció que por medio de los radicados 21-19125-4 y 21-19125-5 del 15 de mayo de 2021 este Despacho les solicitó a los operadores de información que los mismos indicaran “Si la fuente de información ha solicitado la inscripción de la leyenda "reclamo en trámite" y/o "reclamo en discusión judicial" indicando la permanencia de dicha leyenda”.
Ante dicho requerimiento, las sociedades CIFIN S.A.S. y EXPERIAN COLOMBIA S.A. respondieron mediante oficios con radicado 21-19125-6 del 26 de mayo de 2021 y 21-19125-7 del 27 de mayo del 2021 mediante los cuales informaron que la sociedad investigada no realizó la inscripción de la leyenda “reclamo en trámite”. Así las cosas, ante la evidencia documental de que la sociedad ASODATOS S.A.S no le comunicó a los Operadores de Información el hecho de que el Titular ejerció su derecho de rectificación sobre la información reportada en relación con la obligación contenida en el titulo valor denominado cheque N°. 66406-2, es pertinente explicar la importancia de dicha leyenda y la necesidad de su inclusión en las historias de crédito de los Titulares hasta que la petición de los quejosos sea resuelta.
Siguiendo los lineamientos de la Corte Constitucional en sentencia C 1011 del 2008, este Alto Tribunal establece que “(…) En lo relativo al segundo aspecto, la Sala considera oportuno estipular que la posibilidad que confiere al titular el numeral 2.2. del artículo 6º, consistente en solicitar a la fuente la actualización o rectificación, no es incompatible con que el dato personal pueda divulgarse mientras se surten dichos procedimientos.
Esto a condición que (sic), en los términos del numeral 2 del acápite II del artículo 16 de la normatividad estatutaria, una vez recibida la petición o reclamo, el operador incluya en el registro individual una leyenda que diga “reclamo “Por la cual se impone una sanción y se imparte una orden administrativa” en trámite” y la naturaleza del mismo.
En los términos de la misma disposición, esa indicación (i) deberá mantenerse hasta que el reclamo sea resuelto; y (ii) deberá incorporarse en la información que se suministra a los usuarios. Debe resaltarse que la circulación del dato personal objeto de reclamación es compatible con el derecho al hábeas data, en especial con el principio de veracidad y, a su vez, no constituye una afectación desproporcionada o irrazonable de las prerrogativas constitucionales del sujeto concernido.
La divulgación del dato bajo la advertencia de que existe un proceso de reclamación en trámite, es un instrumento que logra el equilibrio entre el derecho a la información que tienen los usuarios y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información. Así, se mantendrá el dato incorporado en los archivos y registros, lo que permitirá que los usuarios conozcan el comportamiento crediticio del deudor.
Empero, a éste también se le otorga la prerrogativa que, en caso de no estar de acuerdo con el reporte sobre incumplimiento, pueda reclamar a ese respecto, acción que también será comunicada a los usuarios, a fin que valoren adecuadamente el dato personal, el cual tendrá en una incidencia menor en la determinación del riesgo crediticio, habida cuenta que su validez ha sido cuestionada.
Finalmente, en caso que el reclamo resulte fundado, el dato deberá eliminarse, a fin de cumplir con el principio de veracidad que se predica de la información personal. (…)27” Además, en lo relativo al deber objeto de análisis, el mismo Tribunal señaló que: “En cuanto al trámite, el reclamo debe ser incluido en el registro individual correspondiente con la expresión “reclamo en trámite” que se mantendrá hasta que el mismo sea resuelto, y entre tanto, formará parte de la información que se suministre a los usuarios.
Se contempla un término máximo de quince días hábiles para atender la petición o reclamo, prorrogable hasta por ocho más, cuando no fuere posible atender la solicitud en el plazo inicial, previa información motivada de tal hecho al interesado. Estos términos se aplican, así mismo, a los eventos en que el operador deba dar traslado del reclamo a una fuente de información independiente, a fin de que le suministre información con base en la cual aquél (el operador) atenderá el reclamo.
Cuando la solicitud se formula directamente ante la fuente podrá ser resuelta por ésta, dando aviso de ello al operador a fin de actualizar el registro individual con la existencia del “reclamo en trámite”.” (Negrilla fuera del texto original). En vista de ello, se hace necesario que la fuente cumpla con el espíritu de la ley de incluir dicha leyenda cuando cualquier Titular haya solicitado la rectificación de la información reportada ante los Operadores de crédito en la medida en que se busca la garantía del derecho fundamental de habeas data.
El hecho de que la sociedad ASODATOS S.A.S. no incluya o se niegue a incluir dicha leyenda en las historias de crédito de los Titulares alegando el no pago de abonos por parte del deudor y el consiguiente bloqueo de su información en su sistema de información no solamente significa, de un lado, el incumplimiento de los deberes a los que está obligada por ser fuente de información, sino que implica que el Titular no tenga la certeza de su derecho constitucional y fundamental fue respetado por la sociedad en cuestión. En esta medida, la sociedad ASODATOS S.A.S a través de su negativa y actuación procesal de no haber incorporado la leyenda y haberle informado a los Operadores de crédito sobre tal situación, pone de manifiesto la vulneración de la Ley Estatutaria 1266 del 2008, sino también los derechos del Titular, el señor Ronald Popayán. Como colofón de lo anterior, se debe poner de presente que el hecho de la sociedad ASODATOS S.A.S. no haya comunicado a los Operadores de Información que existe un reclamo del Titular sobre una obligación crediticia determinada y por ello le impida a los actores del sistema financiero conocer tal situación fáctica, implica que la sociedad en cuestión no le permite a los Titulares lograr el equilibrio entre el derecho a la información que tienen los usuarios del sistema crediticio y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información. 27 Corte Constitucional, Magistrado Ponente Jaime Córdoba Triviño, dieciséis (16) de octubre de dos mil ocho (2008), considerandos 3.2.
Derechos de los titulares de la información (Artículo 6º) y 3.5. Peticiones, consultas y reclamos (Artículo 16) “Por la cual se impone una sanción y se imparte una orden administrativa” Por ello, el hecho de mantener un dato o información no actualizada, que en este caso se refiere a la leyenda en cuestión, supone que no se les permita a los actores del sistema financiero tener certeza sobre el comportamiento crediticio del Titular.
Así las cosas, no se pueden aceptar los argumentos expuestos por la sociedad ASODATOS S.A.S., ya que la misma no se puede escudar en el hecho de que el Titular no realizó abonos a la supuesta obligación contraída obligación contenida en el titulo valor denominado cheque N°. XXXXX-X, en la medida en que la Ley 1266 es clara al señalar que máximo dos (2) días hábiles posteriores a la presentación del reclamo por parte del Titular, la misma debe informar a los Operadores de crédito sobre el reclamo en trámite, situación que no se encuentra acreditada en el plenario..
En virtud de lo anterior, se impartirá una orden administrativa.
DÉCIMO SEGUNDO: CONCLUSIONES La sociedad ASODATOS S.A.S. NO está legitimada para efectuar el reporte ante los operadores de información, en a medida en que la comunicación previa no se surtió de acuerdo con los requisitos legales, ya que el correo electrónico utilizado por la Fuente de información fue reportado por el Titular ante los operadores de información, no ante la Fuente de información. Por ello, la investigada debía aportar el acuerdo con el titular para que al correo aportado por este ante los operadores de información le fuera notificada cualquier comunicación de la sociedad, antes del reporte de la primera mora en el mes de diciembre de 2013 Adicionalmente, la presunción de buena fe que pretendía hacer valer la investigada en este caso concreto para desdibujar su responsabilidad no se aplica, puesto que la investigada debía contar con todos los medios probatorios necesarios para demostrar el cumplimiento de la ley y no pretender que un tercero cumpla su obligación legal.
La entidad ASODATOS S.A.S. no ha solicitado la inscripción de la leyenda “Reclamo en Trámite Fuente” y/o “Información en Discusión Judicial” de la obligación, puesto que ante la evidencia documental se evidenció que la sociedad ASODATOS S.A.S no le comunicó a los Operadores de Información el hecho de que el Titular ejerció su derecho de rectificación sobre la información reportada en relación con la obligación contenida en el titulo valor denominado cheque N°.
XXXXX-X. La actuación de la investigada al no aportar la leyenda de ‘reclamo en trámite’, implica que la sociedad en cuestión no le permite a los Titulares lograr el equilibrio entre el derecho a la información que tienen los usuarios del sistema crediticio y la eficacia de las competencias constitucionales de actualización y rectificación que se predican del titular de la información, lo cual, a la postre, pone de manifiesto la vulneración de la Ley Estatutaria 1266 del 2008, sino también los derechos de los Titulares.
DÉCIMO TERCERO: ORDEN ADMINISTRATIVA En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, en virtud del principio de responsabilidad demostrada establecido en el artículo 19 A de la Ley 1266 de 2008 y teniendo en cuenta la relevancia del deber incumplido por la sociedad, se encuentra demostrado que la misma no tiene implementadas las medidas efectivas y apropiadas para garantizar el (los) deber(es) de informar al operador que determinada información se encuentra en discusión por parte de su Titular; de acuerdo a lo establecido en la Ley.
Al respecto es importante resaltar lo establecido en el numeral 3 del artículo 19 B, que señala lo siguiente: “Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 Y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 3.
La adopción de procesos para la: atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento. La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley.
“Por la cual se impone una sanción y se imparte una orden administrativa” Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (Negrilla y resaltado fuera del texto).
En virtud de lo expuesto, según los numerales 1 y 6 del artículo 17 de la Ley 1266 de 2008 que le otorgan, respectivamente, a la Superintendencia la facultad de: “Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación”.
En vista de lo anterior, este Despacho procederá a impartir la siguiente instrucción: La sociedad ASODATOS S.A.S deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial.
De lo anteriormente ordenado la sociedad ASODATOS S.A.S deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo”
DÉCIMO CUARTO: IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 14.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 1828. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 229, 430 y 631 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo32.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”33 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos 28Ley 1266 de 2008, artículo 18: “Sanciones.
La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 29 Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 30 Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 31 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) 32 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 33 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción y se imparte una orden administrativa” idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional34.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:
ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso. 34 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparte una orden administrativa”
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional35 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”36 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 37. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un 35 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 36 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 37 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparte una orden administrativa” ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”38.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia39. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2340 de la misma.
Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 19. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.
Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).
Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. 38 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 39 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 40 Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de.carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. (Inciso 2, Modificado por el Art. 14 de la Ley 2157 de 2021) Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción y se imparte una orden administrativa” Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: administración de datos prohibidos. se aplica a los supuestos de Criterios de graduación de las sanciones (Art. 19).
En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”;
(v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar..” (…)41 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó probado, frente al cargo primero sobre por el incumplimiento del deber contenido en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015, que la sociedad ASODATOS S.A.S. reportó la información negativa en la historia de crédito del Titular sin efectuar la comunicación previa conforme a los criterios legales.
Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 41Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. “Por la cual se impone una sanción y se imparte una orden administrativa” 2023 – correspondientes a TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE ($3.810.948)42, por la vulneración a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 14.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo reconocimiento o aceptación expresa sobre la comisión de la infracción.
DÉCIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0, con el correo electrónico de notificación judicial juridica@asodatos.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-121197. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0 de TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – correspondientes a TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE ($3.810.948), por la vulneración de las disposiciones establecidas en el numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la ley en cita y del artículo 2.2.2.28.2. del Decreto 1074 de 2015.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: ORDENAR a la sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0, cumplir con la siguiente instrucción: 42 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparte una orden administrativa” La sociedad ASODATOS S.A.S deberá acreditar la implementación de un procedimiento para informar a los operadores de Información que los reclamos interpuestos por los titulares en relación con los reportes efectuados ante estos están en discusión judicial.
Parágrafo Primero: La sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0, deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión, una certificación suscrita por el representante legal de la sociedad, junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.
Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0, acreedora de las sanciones previstas en la ley.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ASODATOS S.A.S., identificado con NIT. 830.501.198-0 a través de su representante legal y/o apoderada general, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación ARTÍCULO 4: COMUNICAR el contenido de la presente resolución al señor XXXXXX XXXXXX XXXX, identificado con cédula de ciudadanía número XX.XXX.XXX.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 27 de mayo de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.05.27 10:19:40 -05'00' CAROLINA GARCÍA MOLINA Elaboró: Santiago Ruiz Revisó: Adriana Castelblanco Aprobó: Carolina García NOTIFICACIÓN Entidad: Asodatos S.A.S. Identificación: Nit.
No. 830.501.198-0 Representante Legal: Mónica Martínez López Identificación: C.C. N°. 60.405.243 Dirección: Calle 33 N°. 6 B – 24 P 9 Ciudad: Bogotá D.C. Correo de Notificación judicial: juridica@asodatos.com Apoderada: Deysi Johanna Rico Rodríguez Identificación: C.C. N°. 53.155.707 Tarjeta Profesional: 160.971 Dirección: Calle 33 N°. 6 B – 24 P 9 Ciudad: Bogotá D.C. Correo de Notificación judicial: juridica@asodatos.com “Por la cual se impone una sanción y se imparte una orden administrativa” COMUNICACIÓN: Nombre: XXXXXX XXXXXX XXXX Identificación: C.C. No. XX.XXX.XXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: Cali, Valle del Cauca Correo Electrónico: XXXXXXXXXXXXXXXXXXXXXXXX