(29 de mayo de 2025) “Por la cual se resuelve un recurso”. VERSIÓN ÚNICA Radicación 22-208367 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que mediante Resolución N.º 56589 del 26 de septiembre de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió lo siguiente: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden a 5.800 Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a SESENTA Y TRES MILLONES QUINIENTOS QUINCE MIL OCHOCIENTOS PESOS M/CTE ($63.515.800), por la vulneración a lo dispuesto en literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
(…)
ARTÍCULO 2. ORDENAR a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, el cumplimiento de lo siguiente: La sociedad UNI2 MICROCREDITO S.A.S deberá implementar un Manual de Políticas de Seguridad, en el cual deberá establecerse los mecanismos necesarios para que las gestiones de cobranza se realicen respetando el principio de seguridad. La sociedad UNI2 MICROCREDITO S.A.S deberá modificar su Reglamento Interno de Trabajo para asegurar que sus empleados no cometan actos en contra de terceros para hostigarlos. La sociedad UNI2 MICROCREDITO S.A.S deberá realizar una capacitación al personal que labore para la sociedad UNI2 MICROCREDITO S.A.S. y que realice las labores de cobro.
Para el efecto, la UNI2 MICROCREDITO S.A.S deberá acreditar ante esta entidad dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación suscrita por el Representante Legal de la de cumplimiento de las órdenes impartidas por esta entidad y aportar el material probatorio pertinente que demuestre la implementación de estas órdenes Parágrafo Primero. La sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia “Por la cual se resuelve un recurso”. dentro del término de noventa (90) días siguientes a la ejecutoria del presente acto administrativo.
Para ello, deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida suscrita por el representante legal de la sociedad y el material probatorio pertinente que demuestre la implementación de estas órdenes, sin perjuicio de que la mismas puedan ser verificadas con posterioridad por parte de la Parágrafo Segundo. El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, acreedora de las sanciones previstas en la ley.
(…)”1 SEGUNDO: Que, conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicado 22-208367-36 del 8 de octubre de 2024, la Resolución N.º 56589 del 26 de septiembre de 2024 se le notificó a la sociedad UNI2 MICROCREDITO S.A.S por medio de aviso N.º. 23228 del 7 de octubre de 2024.
TERCERO: Que, por intermedio de su apoderado, la sociedad UNI2 MICROCREDITO S.A.S, dentro del término oportuno concedido para el efecto, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N.° 56589 del 26 de septiembre de 2024, a través de correo electrónico del 22 de octubre de 2024 bajo radicado 22-208367-37.
En su escrito, el apoderado señala encontrarse dentro de la oportunidad procesal para presentar el recurso y manifiesta lo siguiente: 3.1. En primer lugar, presenta sus pretensiones, solicitando la revocatoria de la Resolución N.º 56589 del 26 de septiembre de 2024 y de forma subsidiaria (i) disminuir el monto de la multa y (ii) que se conceda la apelación. 3.2.
Señala que se incurrió en un supuesto defecto fáctico, en la medida en que los elementos probatorios no fueron debidamente valorados, y que hubo una incorrecta dosificación de la sanción2. Para soportar su argumento, señala que, según jurisprudencia de rango constitucional, el defecto factico se materializa en la medida en que la decisión carece de los elementos probatorios para soportarla3. 3.2.1.
Frente a las medidas administrativas de seguridad, el apoderado de la recurrente considera que sí se cuentan con medidas de este tipo, ya que, además de la documentación con la que cuenta, considera que no se valoraron las capacitaciones a sus trabajadores. Para ello, reitera el contenido del artículo 58 del Código Sustantivo del Trabajo, en lo relativo a las obligaciones del trabajador, y así como las disposiciones que están presentes en su Reglamento interno de Trabajo y en los Contratos de Trabajo sobre el uso confidencial de la información4.
Sobre este particular, señala que “sí existen medidas administrativas y humanas, puesto que existe un régimen de controles y vigilancia sobre la actividad de los empleados. Tanto es así que como bien se indicó en la Resolución y se ha reiterado a lo largo de la presente investigación administrativa, el RIT y el CT contienen un régimen claro y exhaustivo en cuanto a las obligaciones de los trabajadores frente al manejo de información confidencial, en una serie de disposiciones que establecen deberes de reserva y Radicado 22-208367-29, folio 25 Radicado 22-208367-37, pág. 4, folio 2 Radicado 22-208367-37, pág. 4, folio 3 Radicado 22-208367-37, pág. 4, folios 4 al 10 “Por la cual se resuelve un recurso”. sanciones estrictas ante su violación, como lo evidencian los artículos anteriormente citados del RIT, así como las cláusulas contractuales detalladas en el CT”5.
Sin embargo, a pesar de la afirmación anterior, señala que una correcta valoración de las pruebas, especialmente de los artículos 25, 30.2, 30.26, 33, 35 y 49 del Reglamento Interno de Trabajo y de las cláusulas 7 y 11.1.1, 11.1.211.1.4 y 11.1.5 del Contrato de Trabajo, controvierte la conclusión de la Dirección en la medida que se establecen e identifican plenamente “(i) que los datos personales son información que goza de reserva y confidencialidad, que (ii) las obligaciones por activa de hacer para preservar la confidencialidad de la información y datos personales;
(iii) ) la prohibición y obligación por pasiva de abstenerse de usar, relevar o divulgar información confidencial y (iv) las consecuencias por incumplir obligaciones de reserva de los datos”6. 3.2.2. Frente a la aplicación del estándar ISO 27001.2013, señala que esta Dirección incurrió en un error al establecer una tarifa legal que contraria el principio de libertad probatoria.
Señala que, a su juicio, el estándar ISO se puede demostrar con cualquier otro medio de prueba y que no se puede partir del hecho de que el estándar en cuestión solo se puede demostrar con el certificado expedido por una entidad certificadora de sistemas de gestión. Frente a este punto, señala que “La certificación que expide la oficial de seguridad de la información de la sociedad SISTEMAS GYG S.A. es conducente para demostrar que su plataforma cuenta con certificación ISO/IEC 27001:2013, pues es la persona facultada, con conocimiento y deber legal de controlar los asuntos de seguridad de información de la sociedad”7 3.2.3.
Frente al uso de otras medidas de seguridad, tales como el Hosting de la Plataforma UNI2 y la inclusión de Política de Copia de Seguridad, como medidas administrativas, señala que no hubo pronunciamiento alguno sobre ellas. Frente a estas, considera que de haberlas tenido en cuenta se controvertiría la conclusión del Despacho sobre la falta de medidas administrativas de seguridad de la información, para valorar la forma como en efecto UNI2 cumple con su deber de actuar y tratar los datos bajo el principio de responsabilidad demostrada.
Sobre estas concluye que, la ausencia de otros eventos diferentes al puesto de presente por el titular demuestra que si cuenta con medidas de seguridad. Por ello, solicita que estas medidas sean analizadas. 3.3. Frente a la aplicación de los criterios de graduación de la sanción, señala que no se tuvo en cuenta la magnitud del daño y que se excluyeron criterios de atenuación de esta.
Por ello, trae a colación el principio de proporcionalidad de la sanción a partir de diversos pronunciamientos jurisprudenciales, para indicar que debe haber una relación razonable y proporcional entre los hechos objeto de reproche y la sanción impuesta por la comisión de estos, so pena de que la decisión carezca de fundamentación y conlleve una arbitrariedad a través del uso de la función ius puniendi del Estado.
Sobre este asunto, alega que la Resolución no se ajusta a derecho en lo que respecta a la aplicación de los criterios especiales establecidos en la Ley 1581 del 2012 en tanto no se valoraron de manera adecuada la dimensión de los Radicado 22-208367-37, pág. 4, folio 11 Ibidem Radicado 22-208367-37, pág. 4, folio 12 “Por la cual se resuelve un recurso”. hechos que fundamentaron la sanción con el monto económico de la multa, lo que constituye una vulneración al principio de proporcionalidad.
Por ello, en virtud de los criterios señalados en el artículo 24 de la mencionada norma, señala que: Frente a la dimensión del daño, indica que la resolución no hace una distinción ni queda claro si el criterio hace referencia al alcance del presunto daño que se endilga a UNI2 ni se realiza una adecuación a la magnitud de la conducta, pues se limita únicamente a señalar que hubo un presunto incumplimiento de la norma.
Sobre el asunto, continúa alegando que la Resolución no contiene motivación alguna en relación con la magnitud del daño, criterio que por mandato legal y jurisprudencial se debe valorar. El daño o su potencialidad se puede evidenciar en que la magnitud es menor por cuanto la omisión no fue absoluta como lo hace ver la Resolución, pues como se señaló en el numeral 3.1, UNI2 cuenta con medidas administrativas, técnicas y humanas.
Adicionalmente, señala que no se valoró el alcance de la presunta infracción en relación con la naturaleza de las personas que conocieron la información del titular y el alcance frente a la totalidad de la actividad de la Compañía. Sobre este criterio, menciona que “el hecho que se investiga representa el 0.00026% de los créditos colocados por UNI2, corresponde al 0.0063% de la totalidad de clientes que han entrado en mora, y el 0.0078% de la totalidad de los clientes activos al 31 de mayo de 2022”.
Por último, alega que aplicando un criterio de “grado de diligencia” agrega que existen dos antecedentes 8 en los casos decididos por esta entidad, en los que hubo exposición de los datos de los Titulares, por lo que considera que existe una desproporción en la sanción impuesta. Así las cosas, recuerda los datos expuestos en el proceso de cobro coactivo y que se trató de un hecho aislado para concluir que la magnitud del daño es mínima de manera general en comparación con el total de créditos de UNI2.
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo CPACA) de la siguiente manera: “Artículo 74. Recursos contra los actos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1.
El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…) Resolución 56651 del 1 de septiembre de 2021 y Resolución 51177 del 1 de agosto de 2022 “Por la cual se resuelve un recurso”. Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…) Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse inconformidad. con expresión concreta de los motivos de 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)”9 QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 5.1 El recurso fue interpuesto por la sociedad UNI2 MICROCREDITO S.A.S dentro del término previsto en el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a que la Resolución N.º 56589 del 26 de septiembre de 2024 se le notificó por medio de aviso N.º. 23228 del 7 de octubre de 2024, conforme a la certificación expedida por la Secretaría General de esta Superintendencia, y posteriormente, su apoderado interpuso recurso de reposición a través de correo electrónico del 22 de octubre de 2024 bajo radicado 22-208367-37. 5.2 En dicho escrito, se señalan con precisión las razones de inconformidad en contra de la Resolución N.º 56589 del 26 de septiembre de 2024 “Por la cual se impone una sanción”, las cuales se resumieron en el NUMERAL TERCERO de este escrito. 5.3 Si bien la investigada tenía la facultad de aportar o solicitar pruebas con la impugnación, esta no lo hizo.
No obstante, este requisito previsto por la Ley es facultativo, y no aportarlo, no impide que dicho recurso no sea estudiado de fondo. 5.4 Finalmente, en el recurso se señalan con claridad los datos de identificación de la recurrente y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión. Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos.
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve un recurso”. personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
SÉPTIMO: Que, con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por el recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los siguientes aspectos, a saber: i) Frente a las medidas administrativas de seguridad; (ii) Frente a los criterios de graduación de la sanción y (iii) Frente a las pretensiones. 7.1.
Frente a las medidas administrativas de seguridad El apoderado de la recurrente alega que sí cuenta con medidas de este tipo al reiterar el contenido del artículo 58 del Código Sustantivo del Trabajo, en lo relativo a las obligaciones del trabajador, y así como las disposiciones que están presentes en su Reglamento interno de Trabajo y en los Contratos de Trabajo sobre el uso confidencial de la información10.
Sobre este particular, alega que: “sí existen medidas administrativas y humanas, puesto que existe un régimen de controles y vigilancia sobre la actividad de los empleados. Tanto es así que como bien se indicó en la Resolución y se ha reiterado a lo largo de la presente investigación administrativa, el RIT y el CT contienen un régimen claro y exhaustivo en cuanto a las obligaciones de los trabajadores frente al manejo de información confidencial, en una serie de disposiciones que establecen deberes de reserva y sanciones estrictas ante su violación, como lo evidencian los artículos anteriormente citados del RIT, así como las cláusulas contractuales detalladas en el CT”11.
Sin embargo, a pesar de la afirmación anterior, señala que una correcta valoración de las pruebas, especialmente de los artículos 25, 30.2, 30.26, 33, 35 y 49 del Reglamento Interno de Trabajo y de las cláusulas 7 y 11.1.1, 11.1.211.1.4 y 11.1.5 del Contrato de Trabajo, controvierte la conclusión de la Dirección en la medida que se establecen e identifican plenamente que: “(i) que los datos personales son información que goza de reserva y confidencialidad, que (ii) las obligaciones por activa de hacer para preservar la confidencialidad de la información y datos personales;
(iii) ) la prohibición y obligación por pasiva de abstenerse de usar, relevar o divulgar información confidencial y (iv) las consecuencias por incumplir obligaciones de reserva de los datos”12. En este punto, vale la pena retomar el hecho de que el apoderado de la recurrente considera que sí se cuentan con medidas de seguridad, ya que, además de la documentación con la que cuenta, considera que no se valoraron las capacitaciones a sus trabajadores y que todas las pruebas aportadas no fueron valoradas.
Frente a este aspecto, este Despacho debe recordarle a la investigada que tanto los argumentos esgrimidos en todos los escritos allegados por dicha sociedad, como las pruebas aportadas al proceso administrativo sancionatorio que se adelantó ante esta entidad, fueron tenidos en cuenta para efectos de garantizar el derecho al debido proceso, al analizar de manera cuidadosa y en su conjunto, de acuerdo con las reglas de la sana crítica, cada una de las pruebas aportadas libremente por la investigada.
Por ello, no se puede aceptar la afirmación relativa a una “correcta” valoración probatoria, en la medida en que el sistema probatorio colombiano, de acuerdo con lo mencionado en la sentencia de constitucionalidad C 202 del 2005, se basa en los siguientes elementos: Radicado 22-208367-37, pág. 4, folios 4 al 10 Radicado 22-208367-37, pág. 4, folio 11 Ibidem “Por la cual se resuelve un recurso”.
“en materia de apreciación de las pruebas, es decir, de la actividad intelectual del juzgador para determinar su valor de convicción sobre la certeza, o ausencia de ésta, de las afirmaciones de las partes en el proceso, existen tres (3) sistemas, que son: i) El sistema de íntima convicción o de conciencia o de libre convicción, en el cual se exige únicamente una certeza moral en el juzgador y no se requiere una motivación de su decisión, es decir, no se requiere la expresión de las razones de ésta.
Es el sistema que se aplica en la institución de los llamados jurados de conciencia o jueces de hecho en los procesos penales en algunos ordenamientos jurídicos. ii) El sistema de la tarifa legal o prueba tasada, en el cual la ley establece específicamente el valor de las pruebas y el juzgador simplemente aplica lo dispuesto en ella, en ejercicio de una función que puede considerarse mecánica, de suerte que aquel casi no necesita razonar para ese efecto porque el legislador ya lo ha hecho por él. Este sistema requiere una motivación, que lógicamente consiste en la demostración de que el valor asignado por el juzgador a las pruebas guarda total conformidad con la voluntad del legislador. iii) El sistema de la sana crítica o persuasión racional, en el cual el juzgador debe establecer por sí mismo el valor de las pruebas con base en las reglas de la lógica, la ciencia y la experiencia. Este sistema requiere igualmente una motivación, consistente en la expresión de las razones que el juzgador ha tenido para determinar el valor de las pruebas, con fundamento en las citadas reglas”.
Al respecto conviene recordar que este Despacho se basa en el sistema de la sana critica, lo cual le permite, de acuerdo con la motivación necesaria, establecer por sí mismo el valor de las pruebas con base en las reglas de la lógica, la ciencia y la experiencia. En este caso concreto, se debe recordar a la recurrente que la presente investigación se inició en virtud de una denuncia en la cual se materializó un incumplimiento al deber de Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, toda vez que compartió información del titular si contar con una autorización previa expresa e informada del mismo, situación que fue debidamente probada en el expediente y que no fue controvertida por la sociedad investigada.
Así las cosas, la sociedad investigada, basó su defensa en indicar que lo sucedido es un hecho aislado y que adoptó medidas de seguridad para evitar la materialización de incidentes de seguridad o situaciones en las cuales los datos de los titulares fueran divulgados sin la respectiva autorización. Sin embargo, dentro de la presente investigación, este Despacho evaluó cada una de las pruebas aportadas y consideró que las mismas no son suficientes para eximir la responsabilidad de las conductas que violaron el derecho de habeas data del titular, y el incumplimiento al deber impuesto por la ley a los responsables de tratamiento de la información. De otra parte, al analizar nuevamente las pruebas que se alegan en el recurso, esta Dirección encuentra, que ningún de estas está dirigida a demostrar la no ocurrencia de la conducta violatoria de la ley, toda vez que, no se puede probar que la sociedad investigada conservó la información del quejos bajo las condiciones de seguridad necesarias para evitar su divulgación, ya que, la conducta de la sociedad UNI2 MICROCREDITO S.A.S. no fue accidental, pues no solo contactó a una persona, sino que expuso la información personal del titular con cerca de cuatro personas y en más de una oportunidad.
De esta manera, es claro que, con las medidas de seguridad, que alega la recurrente como (i) las disposiciones en el reglamento de trabajo y (ii) las cláusulas de confidencialidad, no se logra demostrar el cumplimiento del deber “Por la cual se resuelve un recurso”. cuestionado en relación con la conducta desplegada, pues el control que debía ejercer la organización no fue demostrado dentro de la presente investigación, ya que solo se aseguró, que se realizaron capacitaciones a los empleados, de las cuales solo se aportó, como única prueba, una presentación sin fecha, sobre la aplicación de la Ley 1581 del 201213, sin la respectiva evidencia de su realización. Ahora bien, frente a las pruebas mediante las cuales se pretenden (i) certificar la posible aplicación de la norma ISO 27001.2013;
(ii) el uso del hosting de la plataforma UNI2 y; (iii) la implementación de copia de seguridad de la información soportada en el servidor de Amazon Web Services (AWS), es necesario indicar que, si bien son medidas de seguridad, estas no eximen de responsabilidad a la investigada, pues no son conducentes, pertinentes ni útiles para demostrar la no ocurrencia de la conducta, ni tampoco pueden demostrar que de su aplicación se pueda evitar que un empleado contacte a una o varias personas para compartir la información personal de un titular.
De esta manera, los argumentos de la recurrente no son aceptados por el Despacho. 7.2. Frente a los criterios de graduación de la sanción Frente a la aplicación de los criterios de graduación de la sanción, el apoderado de la sociedad UNI2 MICROCREDITO S.A.S señala que no se tuvo en cuenta la magnitud del daño y que se excluyeron criterios de atenuación de esta.
Por ello, trae a colación el principio de proporcionalidad de la sanción a partir de diversos pronunciamientos jurisprudenciales, para indicar que debe haber una relación razonable y proporcional entre los hechos objeto de reproche y la sanción impuesta por la comisión de estos hechos, so pena de que la decisión carezca de fundamentación y conlleve una arbitrariedad a través del uso de la función ius puniendi del Estado.
Sobre este asunto, alega que la Resolución no se ajusta a derecho en lo que respecta a la aplicación de los criterios especiales establecidos en la Ley 1581 del 2012 en tanto no se valoró de manera adecuada la dimensión de los hechos que fundamentaron la sanción con el monto económico de la multa, lo que constituye una vulneración al principio de proporcionalidad.
De esta manera, en virtud de los criterios señalados en el artículo 24 de la mencionada norma, señala que: Frente a la dimensión del daño, indica que la resolución no hace una distinción ni queda claro si el criterio hace referencia al alcance que se endilga a UNI2 ni se realiza una adecuación a la magnitud de la conducta, pues se limita únicamente a señalar que hubo un presunto incumplimiento de la norma.
Sobre el asunto, continua alegando que la Resolución no contiene motivación alguna en relación con la magnitud del daño, criterio que por mandato legal y jurisprudencial se debe valorar. Alega que el daño o su potencialidad se puede evidenciar en que la magnitud es menor por cuanto la omisión no fue absoluta, ya que considera contar con medidas administrativas, técnicas y humanas.
Adicionalmente, señala que no se valoró el alcance de la presunta infracción en relación con la naturaleza de las personas que conocieron la información del titular y el alcance frente a la totalidad de la actividad de la Compañía. Sobre este criterio, menciona que “el hecho que se investiga representa el 0.00026% de los créditos colocados por UNI2, corresponde al 0.0063% de la Radicado 22-208367-23, pág. 13 “Por la cual se resuelve un recurso”. totalidad de clientes que han entrado en mora, y el 0.0078% de la totalidad de los clientes activos al 31 de mayo de 2022”.
Por último, agrega que existen dos antecedentes14 en los casos decididos por esta entidad, en los que hubo exposición de los datos de los Titulares, por lo que considera que existe una desproporción en la sanción impuesta En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. El primer argumento de la recurrente se enmarca en la proporcionalidad de la sanción impuesta, por lo que esta Dirección le aclara a la investigada que al momento de proferir la Resolución N.º. 56589 del 26 de septiembre de 2024 tomó en cuenta los criterios dispuestos en el artículo 24 de la Ley 1581 de 2012, los cuales son: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Sobre la aplicación de estos criterios de graduación consagrados en la Ley 1581 de 2012, este Despacho se sirve recordarle a la recurrente que, de conformidad con la Corte Constitucional en sentencia C 748 del 2011, se determinó que los criterios contenidos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 son criterios agravantes de la sanción y que el literal f) se entiende como causal de disminución de la sanción, en otras palabras, como un atenuante; tal y como se desprende del siguiente apartado jurisprudencial: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución. (…)” 15 (Negrillas fuera del texto original) Así las cosas, se ha entendido que únicamente ante la concurrencia de tales criterios agravantes junto con el análisis del daño o peligro a los intereses jurídicos tutelados en la norma, se hará más gravosa la sanción a imponer; mas no, como pretende hacer ver la recurrente, ante la ausencia de estos, se proceda a reducir el valor de la sanción. Resolución 56651 del 1 de septiembre de 2021 y Resolución 51177 del 1 de agosto de 2022 Cfr. Corte Constitucional, sentencia C 748 del 2011, M.P.: Jorge Ignacio Pretelt Chaljub.
Considerando 2.23.3 “Por la cual se resuelve un recurso”. Por lo tanto, no es de recibo el argumento de que los criterios de agravación no fueron tenidos en cuenta al momento de la graduación de la sanción, ya que la adopción de la decisión se realizó con base en los criterios aplicables a la investigación, y que en todo caso el criterio único de atenuación fue aplicado debido al reconocimiento expreso de la infracción, como fue explicado en la resolución recurrida.
Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia N.º. 25000-23-24-000-2002-005240116 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.
Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la entidad investigada vulneró las reglas contenidas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley, violentando con ello el derecho fundamental de habeas data del titular, en virtud de los hechos que motivaron la apertura del caso.
De otra parte, sobre la dimensión del daño, es decir el literal a) del artículo 24 de la Ley 1581 del 2012, este Despacho entra a pronunciarse en el siguiente sentido: En primer lugar, el monto de la multa impuesta a la investigada/recurrente, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de esta actuación administrativa.
De tal suerte que, la sociedad UNI2 MICROCREDITO S.A.S al haber permitido que uno de sus empleados haya circulado datos financieros de un Titular a terceros no autorizados, conllevo a que el Titular presentara queja ante esta Superintendencia. Así las cosas, con base en las facultades legales otorgadas a este Despacho, se adelantó la investigación administrativa del caso para que se le protegiera al Titular su derecho fundamental al habeas data y, por consiguiente, luego de una exhaustiva valoración probatoria, se profiriera la sanción que ahora es objeto de estudio.
Sobre este caso particular, es necesario resaltar lo siguiente: En primer lugar, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad por la vulneración normativa. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Consejo de Estado, sentencia 25000-23-24-000-2002-00524-01. Consejero de Ponente: Rafael E. Ostau de Lafont Pianeta “Por la cual se resuelve un recurso”. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Así, las actuaciones que adelanta esta entidad versan sobre la responsabilidad administrativa de la cual pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental17 a la protección de datos18. En segundo lugar, no puede considerar que la vulneración de ley fue menor o mayor, en la medida en que se encontró vulnerado en el cargo objeto de estudio; es decir del deber contenido en literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley, violentando con ello el derecho fundamental de habeas data del titular.
En tercer lugar, la ley ordena a esta entidad que gradué las sanciones teniéndose en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012 y de acuerdo con las conductas y hechos probados dentro de la investigación, situación que no puede equipararse a otros casos particulares19, pues la situación de los sujetos, derechos y deberes vulnerados, difieren, y estas circunstancias especiales, son las que dan lugar a determinar el monto de la sanción que se pretende imponer, cuando sea el caso.
Finalmente, la sanción se ajusta a la realidad, toda vez que la Ley 1581 del 2012 determinó que el rango para imponer la multa de carácter pecuniario es de un mínimo de 1 salario mínimo legal mensual vigente y un máximo de dos mil (2.000) salarios mínimos mensuales legales vigentes. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 hasta 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.
Así las cosas, la multa impuesta a la sociedad UNI2 MICROCREDITO S.A.S fue de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES, lo cual porcentualmente corresponde al 2.74% del rango previsto por la Ley 1581 de 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. Por estas razones, los argumentos planteados no son de recibo para este Despacho.
OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho CONFIRMARÁ la Resolución N.º 56589 del 26 de septiembre de 2024. El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
Resoluciones N°. 56651 del 1 de septiembre de 2021 y Resolución N°. 51177 del 1 de agosto de 2022 “Por la cual se resuelve un recurso”.
NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, con el correo electrónico de notificación judicial notificaciones@uni2.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-208367. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible En mérito de lo expuesto, RESUELVE ARTÍCULO 1: CONFIRMAR integralmente la Resolución N.° 56589 del 26 de septiembre de 2024, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales. ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, a través de su apoderado y representante legal, entregándoles copia de esta, advirtiéndole que contra la presente decisión no procede recurso alguno.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede Principal: Carrera 13 # 27 – 00 piso 3, edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 de mayo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.05.29 14:03:09 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: SR Revisó: AC Aprobó: CG “Por la cual se resuelve un recurso”. NOTIFICACIÓN: Investigada: UNI2 MICROCREDITO S.A.S. Identificación: NIT. 900.725.066-2 Representante Legal: FELIPE MARIÑO RIVERA Identificación: C.C. 1.020.717.036 Correo electrónico: notificaciones@uni2.com.co Dirección: AV 9AN 15AN 09 P2 Ciudad: Cali, Valle del Cauca Apoderado: VÍCTOR ANDRÉS AYALDE LEMOS Identificación: C.C. N°. 1.130.609.358 Tarjeta Profesional N°. 209.953 Correo electrónico: victor.ayalde@advocat.com Dirección: Carrera 7 # 73 – 55, Of. 1202 Ciudad: Bogotá D.C.