Sanción 21208 de 2024 — SIC

REPUBLICA DE CO LO M BIA (29 de abril de 2024) “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Radicado 21-212498 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 78087 del 30 de noviembre de 2021, por medio de la cual se formuló cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

SEGUNDO: Que, la Resolución No. 78087 del 30 de noviembre de 2021 le fue notificada a la investigada mediante aviso No. 30630 del 13 de diciembre de 2021, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-212498-18 del 15 de diciembre de 2021, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

TERCERO: Que, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. aportó escrito de descargos, junto con anexos, con radicados 21-212498-19 y 21-212498-20 del 30 de diciembre de 2021. En su escrito, la sociedad investigada argumenta, entre otras cosas, lo siguiente: “(…) Frente al cargo imputado en la Resolución 78087 del 30 de noviembre de 2021, la SIC inició investigación administrativa dentro del caso que nos ocupa, por conductas presuntamente violatorias del Régimen General de Protección de Datos Personales.

Al respecto es importante efectuar las siguientes precisiones: 1. Tal y como se manifestó en la respuesta al requerimiento, debemos reiterar que a nombre del señor XXXX XXXXXX XXXXXXX XXXXXXXX registra la siguiente obligación con la compañía: Línea celular XXXXXXXXXX referenciada a la obligación X.XXXXXX, la cual se activó el día 28 de febrero de 2015, y que en la actualidad se encuentra desactivada por solicitud de portabilidad.

Es importante manifestar que la compañía cuenta con el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, en el que consta que el titular otorgó de manera expresa y libre el consentimiento para consultar, reportar y actualizar ante cualquier banco de datos las informaciones y referencias relativas a él, según se observa en la parte superior de la firma del suscriptor que señala lo siguiente: “Autorizo conforme lo establecido en las Leyes 1266 de 2008 y 1581 de 2012 a COMCEL o a cualquier tercero autorizado por esta compañía, para que de manera madura, libre, expresa e irrevocable obtenga de cualquier fuente y reporte y actualice a cualquier banco de “Por la cual se impone una sanción y se imparten unas órdenes administrativas” datos las informaciones y referencias relativas a mi persona, nombres, apellidos y documento de identificación a mi comportamiento y crédito comercial, hábitos de pago, manejo de mis cuenta(s) corriente(s) bancaria(s) y en general el cumplimiento de mis obligaciones pecuniarias ( )” Adicionalmente en la cláusula vigésima del Contrato de Prestación de Servicios se establece lo siguiente: “AUTORIZACIÓN DE INFORMACIONES Y REFERENCIAS: Con la suscripción del Contrato de prestación de servicios GPRS en los términos de las Leyes 1266 de 2008 y 1581 de 2012 EL USUARIO autoriza a COMCEL de manera libre y expresa para que consulte de cualquier fuente y/o reporte y/o actualice a cualquier operador de información los datos sobre su persona, nombres, apellidos y documento de identificación su comportamiento y crédito comercial, hábitos de pago, manejo de mis cuenta(s) corriente(s) bancaria(s) y en general el cumplimiento de sus obligaciones pecuniarias.

A estos efectos la autorización otorgada resulta irrevocable mientras existan contractuales entre las partes. De mismo modo el USUARIO otorga a COMCEL expresa autorización para llevar a cabo el tratamiento de sus datos personales en los términos detallados en la política de tratamiento disponible para consulta en www.claro.com.co” ( )

PARAGRAFO 2. COMCEL informa al USUARIO que sus datos personales serán suministrados en virtud de la suscripción del contrato de prestación de servicios de GPRS serán objeto de tratamiento únicamente para los siguientes propósitos: para consulta y reporte de información ante operadores de bancos de datos de contenido crediticio y financiero, para fines comerciales y publicitarios relacionados con opciones y productos ofrecidos al público.

Esta información será conservada por COMCEL con la debida diligencia. EL USUARIO puede en cualquier momento ejercer los derechos previstos en el artículo 8 de la Ley 1581 de 2012 ( )” (negrillas y subrayado fuera del texto) 2. Respecto a la consulta efectuada el día 25 de mayo de 2021, atentamente manifestamos que, en el historial crediticio, el mismo día registra un ofrecimiento comercial de portabilidad; el asesor comercial le explicó la oferta comercial la cual consistía en un plan de 30 GB de navegación, con mensajes y redes ilimitados, la plataforma de CLARO VIDEO y el servicio de familia y amigos por un valor de $ 35,900 IVA incluido y adicionalmente un 50% de descuento en las facturas del 3o y 6o mes.

Por lo anterior, es importante señalar que la consulta ante las centrales de riesgos se efectuó con una finalidad legítima, la cual fue comunicada al Titular en el momento del otorgamiento de la autorización para el tratamiento de sus datos personales; manifestamos que la compañía cuenta con el consentimiento otorgado por el Titular para consultar la información con fines comerciales y publicitarios relacionados con opciones y productos ofrecidos al público, tal y como se demuestra en la siguiente autorización: ( )

Esta información será conservada por COMCEL con la debida diligencia. EL USUARIO puede en cualquier momento ejercer los derechos previstos en el artículo 8 de la Ley 1581 de 2012 ( )” (negrillas y subrayado fuera del texto) Por lo tanto, la compañía cumple con lo señalado por la Corte Constitucional en la sentencia C- 1011 de 2008 en la que manifestó lo siguiente: “( ) ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, manifestar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario ( )” negrilla y subrayado fuera de texto.

Así las cosas, es claro que no se comparte el cargo formulado, toda vez que la compañía SI cuenta con la autorización otorgada previamente del Titular XXXX XXXXXX XXXXXXX XXXXXXXX para consultar la información ante las centrales de riesgos con fines comerciales relacionados con opciones y productos ofrecidos al público, la cual obra en el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX.

Ahora bien, en relación con lo manifestado por esa entidad en la hoja 10 en la que indicó: “( ) si bien la sociedad acreditó contar con una autorización para el Tratamiento por parte del Titular de sus datos personales mediante la suscripción del contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX esta no acredito (sic) contar con la autorización para la finalidad correspondiente a prospección comercial de un servicio de “Por la cual se impone una sanción y se imparten unas órdenes administrativas” portabilidad ( ),” reiteramos que la compañía SI cuenta con la autorización del titular con el fin de consultar la información ante los operadores de bancos para el ofrecimiento comercial de opciones y productos; otra cosa es que de manera excesiva la SIC solicite que la compañía indique de manera taxativa cuales son los productos u opciones ofrecidos al público por parte de la compañía. La Ley 1581 de 2012 en el artículo 4 señala en el literal b) el principio de finalidad el cual consiste en que el tratamiento debe obedecer a una finalidad legitima de acuerdo con la Constitución y con la Ley, la cual debe ser informada al Titular, por lo tanto la compañía cumplió y le informó de manera previa al Titular la finalidad para efectuar la consulta ante los operadores de información, en este caso como el mismo titular lo señala en la queja ante esa entidad “( ) El día 25 de mayo de la presente vigencia a las 11:27 am un funcionario de claro me llama a ofrecer portabilidad de mi línea celular( )” es decir, y reiteramos que la consulta se encuentra autorizada por el titular y fue efectuada con el fin comercial de ofrecerle productos u opciones para igualar o mejorar el plan de servicios que tenía en ese momento.

Con base en lo anterior, es importante reiterar a esa entidad que el único interés de la consulta fue el ofrecimiento comercial consistente en un plan de 30 GB de navegación; lo anterior con base en que la compañía diseña ofertas comerciales para igualar o mejorar los planes de servicios de los competidores, a efectos de brindarles a los consumidores una opción mejor, lo cual resulta acorde con el desarrollo del objeto social de la compañía. De acuerdo con lo anterior, reiteramos que la empresa contaba con la autorización del Titular XXXX XXXXXX XXXXXX XXXXXXXX para la consulta ante los operadores de información, otorgada mediante el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, a través del cual el titular emitió de manera expresa y libre el consentimiento para consulta ante las centrales de riesgos con fines comerciales; así mismo, consideramos oportuno manifestar que el señor Xxxxxxx Xxxxxxxx no solicitó la revocatoria de la autorización ni la supresión de sus datos personales.

De acuerdo con lo expuesto, es importante reiterar frente al cargo imputado lo siguiente: (i) Que efectivamente se efectuó una llamada al señor XXXXXXX XXXXXXX, para hacerle un ofrecimiento comercial en un plan de 30 GB de navegación. El asesor comercial le informó a la persona contactada cuál era el interés de la llamada, que no fue otro que el ofrecimiento comercial efectuado.

(ii) El interés de la llamada fue el ofrecimiento comercial basado en que la compañía diseña ofertas comerciales para igualar o mejorar los planes de servicios de los competidores, a efectos de brindarle a los consumidores una opción mejor que la actual, lo cual resulta acorde con el desarrollo del objeto social de la compañía. (iii) La compañía cuenta con la autorización otorgada previamente por el Titular XXXX XXXXXX XXXXXXX XXXXXXXX para consultar la información ante las centrales de riesgos con fines comerciales, relacionados con opciones y productos ofrecidos al público la cual consta en el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX; así mismo debemos manifestar que el señor Xxxxxxx Xxxxxxx no ha solicitado la revocatoria de la autorización, ni la supresión de sus datos personales.

De acuerdo con todo lo antes expuesto, atentamente nos permitimos manifestar que COMCEL cumplió con lo ordenado en el numeral 1 artículo 9 de la ley 1266 de 2008 y artículo 15 de la misma ley, toda vez que como quedó plenamente demostrado la consulta efectuada el día 25 de mayo de 2021 en el historial crediticio del titular se encuentra autorizado en el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX suscrito por el titular, y COMCEL efectuó la consulta bajo un (sic) finalidad legitima de conformidad con lo establecido en el artículo 15 de la Ley 1266 de 2008.

(…)”.1 CUARTO: Que, mediante la Resolución No. 31356 del 23 de mayo de 2022, se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión. 1 Radicado No. 21-212498-19 del 31 de diciembre de 2021. “Por la cual se impone una sanción y se imparten unas órdenes administrativas”

QUINTO: Que, la Resolución No. 31356 del 23 de mayo de 2022 le fue comunicada a la sociedad investigada el 24 de mayo de 2022, de conformidad con la certificación del 3 de junio de 2022, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-21249824.

SEXTO: Que, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. presentó escrito de alegatos de conclusión por medio de comunicación con radicado 21-212498-25 del 09 de junio de 2022, en el que reiteró lo manifestado en el escrito de descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en lo que se refiere a la actividad de administración de datos personales que regula la ley en comento.

OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 2008, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) De otra parte, uno de los principios esenciales comprendidos dentro del ámbito del artículo 29 de la Constitución Política es el principio de tipicidad, que se manifiesta en la “exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”.

A partir de ello, la jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que “las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica”.

(…)”2. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de la información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio. ii) El incumplimiento de lo señalado dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 18 de la Ley 1266 de 2008.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma. 2 Corte Constitucional.

Sentencia C-1011 de 2008. Octubre 16 de 2008. Expediente PE-029. M.P. Jaime Córdoba Triviño. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante y los argumentos expuestos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2.

Valoración probatoria y conclusiones 8.2.1. Del deber de guardar reserva sobre la información que le sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares y utilizar la información únicamente para los fines para los que le fue entregada El artículo 9 de la Ley 1266 de 2008 establece los deberes de los usuarios de la información, preceptuando en su numeral 1 lo siguiente: “(…) Artículo 9.

Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.

(…)”. El ámbito de aplicación de la Ley 1266 de 2008 se circunscribe a las bases de datos que contienen información personal de naturaleza comercial, financiera, crediticia y de servicios, que es tratada con la finalidad de calcular el riesgo crediticio de los titulares de los datos3. Esta clase de información ha sido clasificada por la Corte Constitucional como semiprivada, puesto que su conocimiento y circulación son de interés para un grupo de personas o la sociedad en general; por ejemplo, para empresas que, aunque no pertenezcan al sector financiero, requieren acceder a estos datos para tomar la decisión de establecer o mantener una relación contractual con determinada persona o evaluar los riesgos derivados de un vínculo contractual vigente 4.

En relación con este tipo de datos, la Corte Constitucional estableció lo siguiente: “(…) La información semiprivada es aquel dato personal o impersonal que, al no pertenecer a la categoría de información pública, sí requiere de algún grado de limitación para su acceso, incorporación a bases de datos y divulgación. Por ende, se trata de información que sólo puede accederse por orden de autoridad judicial o administrativa y para los fines propios de sus funciones, o a través del cumplimiento de los principios de administración de datos personales.

(Negrilla fuera del texto original) (…)”. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países de los titulares, gozan del principio de circulación restringida, lo cual indica que, si se permitiera un acceso libre, esto derivaría, en principio, en la violación a su derecho de habeas data; es por esto que el artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad.

Así mismo, debe tenerse presente que las entidades que administran bases de datos deben igualmente garantizar que los datos de las personas únicamente sean suministrados a su legítimo titular, razón por la cual se les han impuesto una serie de deberes encaminados a dicho fin, esto es, la restricción de la libre circulación del dato personal con la implementación de las medidas técnicas necesarias Ídem.

La Corte Constitucional argumentó en la sentencia C-1011 de 2008 que el tratamiento de datos de carácter comercial, crediticio y financiero se justifica por un motivo de interés público que consiste en “(…) la protección de los recursos de intermediación y, por ende, del sistema financiero en su conjunto”. Empero, esta justificación no es trasladable a aquellos casos en que la persona que trata los datos no capta recursos de los ciudadanos y no pertenecen al sistema financiero, por ejemplo, empresas de telefonía móvil.

En estos supuestos, habrá que concluir que los datos son semiprivados porque también interesan a un grupo de personas. Ídem. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” para garantizar la seguridad de la información evitando su adulteración, pérdida, consulta o uso no autorizado. Conforme a lo anterior es claro que al realizar una interpretación sistemática de las disposiciones contenidas en la Ley 1266 de 2008 y la jurisprudencia de la Corte Constitucional, la finalidad de acceso a la información por parte de los usuarios se vincula con la naturaleza del dato y el objetivo del banco de datos, que no es otro que el de suministrar la información que le permita a los usuarios calcular y realizar un análisis amplio de los factores necesarios para la determinación del riesgo crediticio, aun cuando dicha consulta se utilice para establecer y mantener una relación contractual, de conformidad con lo señalado en la Sentencia C-1011 de 2008, así: “(…) Bajo ese marco, encuentra la Corte que la norma examinada se orienta a enunciar las expresiones legítimas del principio de finalidad en la fase de acceso de los usuarios a la información personal.

En ese orden de ideas, las finalidades previstas en los incisos primero y segundo del artículo 15 se enmarcan dentro de un objetivo constitucionalmente legítimo, en cuanto se inscriben en el interés fundamental que subyace en la actividad de administración de datos personales de brindar a las entidades financieras un elemento de análisis, que de manera concurrente con otros, les permita medir el crédito y el nivel de riesgo de sus actuales y futuros clientes”.

(Negrilla fuera de texto original) “Estas alternativas de acceso al dato personal de contenido comercial y crediticio por parte de los usuarios deberán, en primer lugar, ejecutarse con sujeción a los principios de administración de datos personales y, en particular, al principio de circulación restringida. Por ende, el acceso por parte de los usuarios deberá sujetarse a los límites que se derivan de la naturaleza de los datos y las disposiciones constitucionales y legales aplicables, en especial el principio de temporalidad de la información y la finalidad del banco de datos.

Este último aspecto cobra una especial importancia para la interpretación de las posibilidades de acceso analizado, en la medida en que implica que las finalidades de acceso a la información para los usuarios deberán estar vinculadas con los objetivos del archivo o banco de datos. Esta finalidad, como se ha indicado en el presente fallo, es la de contar con herramientas para el cálculo del riesgo creditico.”.

(Negrilla fuera del texto original) Aunado a lo anterior, se tiene que el artículo 15 de la Ley 1266 de 2008 señala las finalidades por las cuales los usuarios pueden acceder a la información de la siguiente manera: “Artículo 15. Acceso a La Información Por Parte De Los Usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Negrilla fuera del texto original) No obstante, la Corte expresó el límite que tienen los usuarios para acceder a la información contemplada en la Ley 1266 de 2008, indicando que “(…) para el caso de los usuarios, la posibilidad de acceder al dato estará restringida tanto por la finalidad de acopio de la información autorizada por el titular del dato, como por el cumplimiento del principio de confidencialidad previsto en el artículo 4 de la norma estatutaria”.

(Negrilla fuera del texto original) En ese orden de ideas, queda claro que el acceso a los datos financieros de un titular por parte de los usuarios se limita únicamente a i) establecer y mantener una relación contractual, siempre y cuando, el titular de los datos lo hubiere solicitado, o ii) evaluar los riesgos de una relación contractual vigente, pues de no ser así, se requerirá contar con el consentimiento previo, expreso e informado del sujeto concernido.

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” Asimismo, la Ley 1266 de 2008, en su artículo 9, señala los deberes de los usuarios de la información. En el numeral 1 del mencionado artículo se establece que los usuarios deben guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada.

Adicionalmente, cuando los datos no gozan de la calidad de ser públicos, toda persona que intervenga en el proceso de administración debe guardar reserva en el manejo de estos, pudiendo solo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la mencionada Ley. Frente al cargo objeto de estudio, esta Dirección encontró preliminarmente que la conducta de la investigada transgredía el deber de utilizar la información únicamente para los fines que le fue entregada o contando con la autorización previa por parte del Titular.

Al respecto, el Titular, en su escrito de denuncia, señaló que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. realizó una consulta en su historial crediticio sin contar con su autorización o en el marco de una finalidad legítima. En virtud de los hechos denunciados y con el propósito de reunir los elementos de juicio suficientes, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió al Operador de información Cifin S.A.S., mediante oficio radicado bajo el número 21-212498-5 del 15 de julio de 2021, para que informara, entre otras cosas, “(…) si la sociedad COMUNICACIÓN CELULAR S.A. – COMCEL S.A. identificada con NIT. 800.153.993-7, realizó consulta(s) en la historia de crédito del Titular XXXX XXXXXX XXXXXXX XXXXXXXX identificado con cédula de ciudadanía No. XXXXXXXXXXX en el periodo comprendido desde el 1 de enero de 2021 hasta el 30 de junio de 2021.” En respuesta al requerimiento en cita, el Operador de Información Cifin S.A.S. informó, mediante comunicación con radicado número 21-212498-8 del 26 de julio de 2021, que “(…) en el periodo comprendido entre el 01 de enero de 2021, hasta el 30 de junio de 2021, la entidad COMCEL – COMUNICACIÓN CELULAR S.A., identificada con Nit. 800.153.993-7, realizó una única consulta en la historia de crédito del reclamante en mención, el día 25 de mayo de 2021, ante TransUnion”.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección, mediante Resolución No. 78087 del 30 de noviembre de 2021, dio apertura a la investigación administrativa que nos ocupa y formuló cargo único a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., al considerar que: “(…) En el caso particular, de acuerdo con lo informado por el Operador de información CIFIN S.A.S. en su respuesta del 27 (sic) de julio de 2021 radicada bajo el No. 21-212498-8, frente al requerimiento de información del del (sic) 15 de julio de 2021, en la que manifestó: (…) 2.

Confirmamos que, en el periodo comprendido entre el 01 de enero de 2021, hasta el 30 de junio de 2021, la entidad COMCEL - COMUNICACIÓN CELULAR S.A., identificada con Nit. 800.153.993-7, realizó una única consulta en la historia de crédito del reclamante en mención, el día 25 de mayo de 2021, ante TransUnion®. […]” (Subrayado fuera del texto original).

En consecuencia, se tiene que la sociedad COMUNICACION CELULAR S.A. - COMCEL S.A. identificada con NIT. 900.936.230-1 (sic) habría consultado la historia de crédito del Titular, el día 25 de mayo de 2021. De otra parte, mediante Oficio (sic) del 15 de julio de 2021 radicado bajo el No. 21-212498-6 el Grupo de Trabajo de Investigaciones Administrativas requirió a la sociedad COMUNICACION CELULAR S.A. - COMCEL S.A., para que, entre otros, acreditara que contaba con la autorización del Titular XXXX XXXXXX XXXXXXX XXXXXXX, para consultar su historia de crédito ante los operadores de información y que en caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remitiera copia de la autorización otorgada por el Titular.

Sobre el particular, la sociedad COMUNICACION CELULAR S.A. - COMCEL S.A. presentó respuesta frente al requerimiento de información del 15 de julio de 2021 a través de “Por la cual se impone una sanción y se imparten unas órdenes administrativas” apoderada especial, en comunicación del 2 (sic) de agosto (sic) de 2021 radicada bajo el No. 21-212498-10, manifestando lo siguiente: “2. […] La compañía cuenta con la autorización otorgada de manera previa, expresa e informada del titular XXXXXXXXXX XXXXXXX XXXXXXXX para la recolección y tratamiento de sus datos personales.

Anexamos Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, en el que consta que el usuario autorizó el tratamiento de los datos personales y que fue informado sobre las finalidades de la recolección de la información y los derechos que le asisten en virtud de la autorización otorgada, a saber: (…) Si bien la sociedad acreditó contar con una autorización para el Tratamiento por parte del Titular de sus datos personales mediante la suscripción del Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, esta no acreditó contar con la autorización para la finalidad correspondiente a prospección comercial de un servicio de portabilidad y como fue indicado por el Titular en su escrito de denuncia “[…]les (sic) comento que debo consultarlo antes de tomar decisiones y apenas cuelgo, me llega un correo de alertas (sic) donde me informan que han consultado mi información crediticia (tengo una suscripción a Cifin (sic)), en ningún momento autorice (sic) dicha consulta verbal o físicamente[…].” Asimismo (sic), en la medida en que la referida consulta no corresponde a una autorizada expresamente por el Titular, esta debe de obedecer a una finalidad legítima, ante lo cual la sociedad COMUNICACION CELULAR S.A. - COMCEL S.A. pretendió justificar la misma “como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza”.

No obstante, esta situación se traduce, de manera presunta, en un incumplimiento por parte de la sociedad COMUNICACION CELULAR S.A. - COMCEL S.A. en calidad de Usuario de la Información, al deber de acceder a la información contenida en bancos de datos de información financiera, crediticia, de servicios, conforme a las finalidades autorizadas por el Titular de los datos, o aquellas derivadas de obligaciones legales o contractuales, como las de: (i) establecer y mantener una relación contractual vigente, (ii) o para la evaluación de los riesgos derivados de una relación contractual vigente con el Titular, (iii) autorizadas expresamente por el Titular, esto, según lo contemplado en la Ley 1266 de 2008 artículo 9 numeral 1, en concordancia con lo establecido en el artículo 15 de la misma Ley.

(…)”. Por otra parte, la sociedad COMUNICACIÓN CELULAR S.A. – COMCEL S.A., presentó escrito de descargos, junto con anexos, bajo los radicados 21-212498-19 y 21-212498-20 del 30 de diciembre de 2021. En su escrito de descargos, la sociedad investigada manifiesta, entre otras cosas, lo siguiente: “(…) Frente al cargo imputado en la Resolución 78087 del 30 de noviembre de 2021, la SIC inició investigación administrativa dentro del caso que nos ocupa, por conductas presuntamente violatorias del Régimen General de Protección de Datos Personales.

Es importante manifestar que la compañía cuenta con el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, en el que consta que el titular otorgó de manera expresa y libre el consentimiento para consultar, reportar y actualizar ante cualquier banco de datos las informaciones y referencias relativas a él, según se observa en la parte superior de la firma del suscriptor que señala lo siguiente: “Autorizo conforme lo establecido en las Leyes 1266 de 2008 y 1581 de 2012 a COMCEL o a cualquier tercero autorizado por esta compañía, para que de manera madura, libre, expresa e irrevocable obtenga de cualquier fuente y reporte y actualice a cualquier banco de datos las informaciones y referencias relativas a mi persona, nombres, apellidos y documento de identificación a mi comportamiento y crédito comercial, hábitos de pago, “Por la cual se impone una sanción y se imparten unas órdenes administrativas” manejo de mis cuenta(s) corriente(s) bancaria(s) y en general el cumplimiento de mis obligaciones pecuniarias ( )” Adicionalmente en la cláusula vigésima del Contrato de Prestación de Servicios se establece lo siguiente: “AUTORIZACIÓN DE INFORMACIONES Y REFERENCIAS: Con la suscripción del Contrato de prestación de servicios GPRS en los términos de las Leyes 1266 de 2008 y 1581 de 2012 EL USUARIO autoriza a COMCEL de manera libre y expresa para que consulte de cualquier fuente y/o reporte y/o actualice a cualquier operador de información los datos sobre su persona, nombres, apellidos y documento de identificación su comportamiento y crédito comercial, hábitos de pago, manejo de mis cuenta(s) corriente(s) bancaria(s) y en general el cumplimiento de sus obligaciones pecuniarias.

Esta información será conservada por COMCEL con la debida diligencia. EL USUARIO puede en cualquier momento ejercer los derechos previstos en el artículo 8 de la Ley 1581 de 2012 ( )” (negrillas y subrayado fuera del texto) Por lo tanto, la compañía cumple con lo señalado por la Corte Constitucional en la sentencia C- 1011 de 2008 en la que manifestó lo siguiente: “( ) ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, manifestar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario ( )” negrilla y subrayado fuera de texto.

Ahora bien, en relación con lo manifestado por esa entidad en la hoja 10 en la que indicó: “( ) si bien la sociedad acreditó contar con una autorización para el Tratamiento por parte del Titular de sus datos personales mediante la suscripción del contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXX esta no acredito (sic) contar con la autorización para la finalidad correspondiente a prospección comercial de un servicio de portabilidad ( ),” reiteramos que la compañía SI cuenta con la autorización del titular con el fin de consultar la información ante los operadores de bancos para el ofrecimiento comercial “Por la cual se impone una sanción y se imparten unas órdenes administrativas” de opciones y productos; otra cosa es que de manera excesiva la SIC solicite que la compañía indique de manera taxativa cuales son los productos u opciones ofrecidos al público por parte de la compañía. La Ley 1581 de 2012 en el artículo 4 señala en el literal b) el principio de finalidad el cual consiste en que el tratamiento debe obedecer a una finalidad legitima de acuerdo con la Constitución y con la Ley, la cual debe ser informada al Titular, por lo tanto la compañía cumplió y le informó de manera previa al Titular la finalidad para efectuar la consulta ante los operadores de información, en este caso como el mismo titular lo señala en la queja ante esa entidad “( ) El día 25 de mayo de la presente vigencia a las 11:27 am un funcionario de claro me llama a ofrecer portabilidad de mi línea celular( )” es decir, y reiteramos que la consulta se encuentra autorizada por el titular y fue efectuada con el fin comercial de ofrecerle productos u opciones para igualar o mejorar el plan de servicios que tenía en ese momento.

Con base en lo anterior, es importante reiterar a esa entidad que el único interés de la consulta fue el ofrecimiento comercial consistente en un plan de 30 GB de navegación; lo anterior con base en que la compañía diseña ofertas comerciales para igualar o mejorar los planes de servicios de los competidores, a efectos de brindarles a los consumidores una opción mejor, lo cual resulta acorde con el desarrollo del objeto social de la compañía. De acuerdo con lo anterior, reiteramos que la empresa contaba con la autorización del Titular XXXX XXXXXX XXXXXXX XXXXXXXX para la consulta ante los operadores de información, otorgada mediante el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX, a través del cual el titular emitió de manera expresa y libre el consentimiento para consulta ante las centrales de riesgos con fines comerciales; así mismo, consideramos oportuno manifestar que el señor Xxxxxxx Xxxxxxxx no solicitó la revocatoria de la autorización ni la supresión de sus datos personales.

(ii) El interés de la llamada fue el ofrecimiento comercial basado en que la compañía diseña ofertas comerciales para igualar o mejorar los planes de servicios de los competidores, a efectos de brindarle a los consumidores una opción mejor que la actual, lo cual resulta acorde con el desarrollo del objeto social de la compañía. (iii) La compañía cuenta con la autorización otorgada previamente por el Titular XXXX XXXXXX XXXXXXX XXXXXXXX para consultar la información ante las centrales de riesgos con fines comerciales, relacionados con opciones y productos ofrecidos al público la cual consta en el Contrato de Prestación de Servicios de Telefonía Móvil Celular No. C XXXXXXX; así mismo debemos manifestar que el señor Xxxxxxx Xxxxxx no ha solicitado la revocatoria de la autorización, ni la supresión de sus datos personales.

(…)”.5 Así las cosas, este Despacho considera pertinente aclarar que, a la luz de lo previsto en el literal d)6 del artículo 3 de la Ley Estatutaria 1266 de 2008, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. tiene la calidad de usuario de la información en virtud de que la misma accedió al historial crediticio del señor XXXX XXXXXX XXXXXXXX XXXXXXXX el día 25 de mayo de 2021.

En consecuencia, la sociedad investigada está obligada a cumplir una serie de requisitos legales para acceder a la información de acuerdo con lo establecido por la Ley Estatutaria 1266 del 2008. Radicado No. 21-212498-19 del 31 de diciembre de 2021. Artículo 3°. Definiciones. d) Usuario. El usuario es la persona natural o jurídica que, en los términos y circunstancias previstos en la presente ley, puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Respecto a lo anterior, el artículo 15 de Ley Estatutaria 1266 de 2008 prevé las situaciones en las cuales los Usuarios de la información pueden acceder a la misma.

La Corte Constitucional cuando estudió la norma en mención, mediante sentencia C-1011 del 16 de octubre de 2008, precisó lo siguiente: “Al respecto, se parte de considerar que la finalidad de la administración de datos personales de contenido comercial y financiero es determinar el nivel de riesgo crediticio del sujeto concernido. En otras palabras, la actividad que realizan las centrales de riesgo es suministrar a los participantes del mercado económico información acerca de las posibilidades que una persona natural o jurídica incumpla en el pago de una obligación futura.

Así, la determinación del riesgo es una actividad previa al perfeccionamiento de contratos comerciales o de crédito entre el usuario de la información y el sujeto concernido. Esta comprobación es importante a la hora de determinar la legitimidad constitucional de la restricción al principio de libertad que propone un grupo de intervinientes.

Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer información de un cliente potencial específico, a fin de celebrar contratos también definidos. A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que a motivado que la entidad o empresa correspondiente realice una investigación sobre su historial de cumplimiento.

Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes interesadas en el perfeccionamiento del contrato futuro. En este marco, la presunta eliminación del consentimiento del titular para la incorporación del dato financiero y crediticio a la base de datos, permitiría que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios.

Este escenario, a juicio de la Corte, constituye una expresión de abuso en el ejercicio del poder informático de los operadores y usuarios de la información. Ello es así puesto que si la justificación constitucional de la recolección de datos personales de carácter crediticio es que el direccionamiento de los recursos del crédito a quienes honran debidamente sus obligaciones crediticias es un factor relevante para el sostenimiento de la estabilidad financiera, un uso indiscriminado del dato, que no consulta esa necesidad de distribución adecuada de los recursos de crédito, sino otras finalidades desconocidas para el titular, desvirtúa esos objetivos y se torna contrario a la Constitución.” (Destacado fuera del texto original) Teniendo en cuenta lo expuesto, se concluye lo siguiente de la lectura integral y armónica del artículo 15 de la Ley Estatutaria 1266 de 2008 y del extracto jurisprudencial en cita: En primer lugar, según la Corte Constitucional es necesario que el Titular del dato consienta que el Usuario pueda acceder a sus datos personales con miras a establecer o mantener una relación contractual.

El usuario no puede unilateralmente atribuirse dicha facultad. Lo anterior, conforme a lo dispuesto en los numerales 1.3. y 3.2. del artículo 6 de la Ley Estatutaria 1266 de 2008, cuyo texto ordena lo siguiente: “Artículo 6. Derechos de los Titulares de la Información. Los titulares tendrán los siguientes derechos: Frente a los operadores de los bancos de datos: 1.3 Solicitar prueba de la certificación de la existencia de la autorización expedida por la fuente o por el usuario.

(…) 3. Frente a los usuarios: 3.2 Solicitar prueba de la autorización, cuando ella sea requerida conforme lo previsto en la presente ley. (…)”. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En segundo lugar, para la Corte Constitucional se constituye como una conducta abusiva “que los usuarios pudieran acceder a la información personal de todas las personas, incluso aquellas que no han mostrado interés en celebrar operaciones comerciales o de crédito con dichos usuarios” 7.

Finalmente, una vez se esté habilitado para acceder a esa información, la misma solo se podrá utilizar para los fines indicados en el artículo 15 de la Ley 1266 de 2008. Si la finalidad de acceso no se encuentra dentro de las permitidas en la norma en cita, entonces el usuario deberá solicitar autorización para poder emplear los datos para otros propósitos diferentes a los establecidos en la regulación en comento.

En dicho sentido, señala la Corte Constitucional que “debe resaltarse que, si bien la norma permite que el consentimiento se preste en ‘forma general’, ello debe interpretarse de forma compatible con el principio de libertad, razón por la que tal modalidad de autorización deberá, en todo caso, manifestar la finalidad expresa respecto de la cual se autoriza el acceso a los datos personales por parte del usuario.

Así, dicha generalidad se predicará de las distintas finalidades autorizadas, sin que signifique la legitimidad de una cláusula abierta, que no identifique claramente los propósitos para el citado acceso por los usuarios. En efecto, si bien la norma hace referencia a “cualquier otra finalidad”, en todo caso exige que “se haya obtenido autorización por parte del titular de la información”8.

Visto lo anterior, es menester precisar el alcance del deber establecido en el numeral primero del artículo 9 de la Ley Estatutaria 1266 de 2008, el cual señala lo siguiente: “Artículo 9. Deberes de los Usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1.

Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.” De la lectura del texto normativo en cita, se tiene que el numeral enuncia un deber consistente tanto en la obligación de “guardar reserva de la información suministrada por los operadores de los bancos de datos” como de “utilizar la información para los fines para los que le fue entregada”.

A continuación, este Despacho se referirá a estos, así: Al hablar de la obligación de reserva nos encontramos frente a una situación en la que se quiere mantener secreto sobre cierta información, la cual no es de naturaleza pública ni de acceso abierto e ilimitado; específicamente, se pretende evitar que la información sea conocida por cualquier persona.

Por eso, se imponen restricciones a su circulación y acceso, de manera que, esta solo pueda ser conocida por un grupo limitado de personas y mediante un acceso legal. Así las cosas, la obligación de reserva se vulnera de dos maneras: i) Cuando se accede lícitamente a la información, pero se difunde a terceros no autorizados; y ii) Cuando se conozca y acceda ilegalmente a la misma.

Nótese entonces que, el Usuario de la información NO puede utilizar los datos para cualquier propósito, sino únicamente para las finalidades legítimas o autorizadas por el Titular. A partir de lo expuesto en líneas precedentes, llama la atención de esta Dirección que: - Aun cuando la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. cuenta con un formato denominado “SOLICITUD DE SERVICIO DE DATOS COMCEL S.A. PERSONA NATURAL”, junto con anexos que incluyen, entre otros, el clausulado del CONTRATO DE PRESTACIÓN DE SERVICIO DE GPRS (GENERAL PACKET RADIO SERVICE), suscrito por el Titular el día 27 de febrero de 2015; lo cierto es que para la fecha en que la mencionada sociedad realizó la consulta al historial de crédito del señor XXXX XXXXXX XXXXXXX XXXXXXXX, 25 de mayo de 2021, dicha relación negocial no se encontraba vigente.

Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5. Artículo 5º - Circulación de la información Ibidem. Considerando 3.4.6. Acceso a la información por parte de los usuarios (artículo 15). “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Aunado a lo anterior, es preciso resaltar que la cláusula vigésima del mencionado contrato de prestación de servicios, la cual contiene la “autorización de informaciones”, no es clara para los titulares de los datos, puesto que en esta se mezclan de manera indistinta preceptos contenidos en la Ley 1266 de 2008 y la Ley 1581 de 2012; situación que no resulta menor y debe ser objeto de revisión por parte de la sociedad investigada. - Es menester recordarle a la sociedad investigada que, tal y como lo señaló el Alto Tribunal Constitucional, mediante sentencia C-1011 del 16 de octubre de 2008, “si bien la norma permite que el consentimiento se preste “en forma general·, ello debe interpretarse de forma compatible con el principio de libertad”. 9 Principio que le permite al Titular elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.

Así las cosas, este Despacho no se aparta de que, tal y como lo señala la investigada, el Titular no haya solicitado la revocatoria de la autorización otorgada, así como tampoco la supresión de sus datos personales. No obstante lo anterior, resulta abiertamente contrario a los pilares que cimientan el derecho al habeas data el hecho de que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. pretenda mantener de forma indefinida una autorización para la consulta de información ante los bancos de datos.

En línea con lo señalado en el párrafo antecedente, de ninguna manera puede perderse de vista que, pese a que el señor XXXX XXXXXX XXXXXXX XXXXXXXX no consintió la propuesta comercial realizada por el asesor de la compañía, este procedió con la consulta a su historia de crédito. Práctica que de ninguna forma puede ser normalizada por quienes ostentan la calidad de usuarios de la información, ni mucho menos avalada por parte de esta Superintendencia. Realizadas estas precisiones y a partir de los argumentos de hecho y de derecho expuestos por la sociedad investigada, en conjunto con las piezas probatorias que obran en el expediente de la referencia, esta Dirección encuentra suficientemente acreditado que: 1.

El señor XXXX XXXXXX XXXXXXX XXXXXXXX puso en conocimiento de esta Superintendencia que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. realizó una consulta a su historia de crédito el día 25 de mayo de 2021, sin haber solicitado servicio alguno y sin haber otorgado su consentimiento para tal fin. 2. El operador CIFIN S.A.S. informó que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. efectuó una consulta a la historia de crédito del Titular el día 25 de mayo de 2021. 3.

La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. afirmó que dicha consulta fue realizada en el marco de un ofrecimiento comercial, para el cual la compañía contaba con la autorización otorgada por parte del Titular. Argumentos frente a los cuales resulta necesario señalar que: - La norma es clara en indicar que se podrán realizar consultas, cuando el fin sea establecer y mantener una relación contractual como un hecho cierto, más no como una situación hipotética; pues de lo contrario, se estaría legitimando cualquier consulta amparada en la presunta configuración de una relación comercial. - No se encontró prueba de una efectiva relación contractual y/o comercial sostenida entre el Titular y la sociedad investigada para mayo de 2021. - No obra prueba dentro del expediente que acredite que el señor XXXX XXXXXX XXXXXXX XXXXXXXX consintió la propuesta comercial realizada por el asesor de la compañía y, con ello, la consulta a su historia de crédito efectuada el 25 de mayo de 2021.

De hecho, encuentra esta Dirección que con la acción adelantada por parte del asesor se desconoció la declaración de la voluntad efectuada por el Titular de los Datos; situación que encarna una clara fractura a los cimientos que soportan el derecho al habeas data. 9 Cfr. Corte Constitucional, sentencia C 1011 del 16 de octubre del 2008, M.P.: Jaime Córdoba Triviño. Considerando 3.1.5.

Artículo 15 – Acceso a la información por parte de los usuarios “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Sumado a lo anterior, no resulta menor que la sociedad investigada pretenda legitimar la consulta realizada a la historia de crédito del Titular a partir de un formato de autorización, cuyas falencias fueron expuestas en el presente acápite.

Así las cosas, se encuentra suficientemente acreditado que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. incumplió con su deber de guardar reserva sobre la información que le sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares y utilizar la información únicamente para los fines para los que le fue entregada; razón por la cual, se impondrá una sanción pecuniaria.

En virtud de lo expuesto, de conformidad con lo establecido en el 1 del artículo 17 de la Ley 1266 de 2008, mediante el cual se le asigna, entre otras funciones, esta Superintendencia la facultad de “(…)Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación(…)”, esta Instancia procederá a impartir las siguientes instrucciones: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá: - Desarrollar, implementar y monitorear un procedimiento que le permita conservar copia de los documentos y/o soportes que acrediten la intención de los titulares de establecer un vínculo contractual y/o comercial con ella o por intermedio de ella.

De lo anteriormente ordenado la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá remitir a este Despacho las acciones adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

NOVENO: Imposición y graduación de la sanción 9.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 10. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 11, 4 12 y 6 13 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 14.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos 10Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) 12 “Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) 13 “Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) 14 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). “Por la cual se impone una sanción y se imparten unas órdenes administrativas” que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”15 (Negrita fuera del texto original) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 16.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a 15 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

En cumplimiento del inciso segundo del citado artículo, el MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO expidió la Resolución No. 3268 del 18 de diciembre de 2023, estableciendo el valor de la UVB para el año 2024, en un monto de DIEZ MIL NOVECIENTOS CINCUENTA Y UN PESOS ($10.951). De esta manera el monto de la sanción será calculado en los términos de la norma antes mencionada.

De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional17 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008, con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos 17 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad; por esta razón, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21.

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 1822 de la misma ley. Así mismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción y se imparten unas órdenes administrativas” c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 9.1.1.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1266 de 2008 De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

Respecto a las sanciones que se imponen por la infración al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”23. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria, así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, con base en el literal a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que el cargo único comprobado en contra de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1266 de 2008 y sus disposiciones reglamentarias.

En el presente caso quedó demostrado que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. actuó negligentemente al consultar la historia de crédito del Titular sin que mediara su intención de adquirir los servicios comerciales ofrecidos por la compañía, conducta con la que transgredió el deber dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en Corte Constitucional.

Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003). Expediente D-4059. M.P. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” concordancia con lo establecido en el artículo 15 de la precitada norma. Razón por la cual, se impondrá una sanción pecuniaria de TRESCIENTOS NOVENTA Y CINCO (395) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUARENTA Y CINCO MIL OCHOCIENTAS VEINTE (45.820) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS UN MILLONES SETECIENTOS SETENTA Y CUATRO MIL OCHOCIENTOS VEINTE PESOS M/CTE ($501.774.820). 9.1.2.

Literal c) de la reincidencia en la comisión de la infracción Será tenido en cuenta el criterio en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada en MÚLTIPLES ocasiones por la misma conducta violatoria de la ley, es decir, que se ha generado reincidencia en el incumplimiento del deber de guardar reserva sobre la información que le sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares y utilizar la información únicamente para los fines para los que le fue entregada, según los preceptos contenidos en la Ley Estatutaria 1266 de 2008.

A continuación, se destacan las siguientes sanciones: Radicado 12-220358 Por medio de la Resolución No. 14314 del 22 de marzo de 2013, este Despacho impuso una sanción equivalente a veinte (20) salarios mínimos legales mensuales vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., por el incumplimiento al deber contemplado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en tanto se evidenció que la sociedad, en calidad de usuario de la información, no acreditó la finalidad de la consulta realizada a la historia de crédito del titular.

Radicado 14-029367 Por medio de la Resolución No. 93278 del 30 de noviembre de 2015, este Despacho impuso una sanción equivalente a mil (1.000) salarios mínimos legales mensuales vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, al encontrar que la sociedad realizó una consulta a la historia de crédito del titular con una finalidad diferente a las establecidas en el artículo 15 de la Ley 1266 de 2008 y sin contar con la autorización previa y expresa del titular.

Radicado 14-044473 Por medio de la Resolución No. 24113 del 29 de abril de 2016, este Despacho impuso una sanción equivalente a cien (100) salarios mínimos legales mensuales vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la precitada norma, en tanto se evidenció que la sociedad consultó la historia de crédito del titular sin una finalidad legítima.

Radicado 16-267575 Por medio de la Resolución No. 87619 del 30 de noviembre de 2018, este Despacho impuso una sanción equivalente a ochenta (80) salarios mínimos legales mensuales vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma, en la medida en que la sociedad consultó la historia de crédito del titular con una finalidad diferente a las establecidas en el artículo 15 de la Ley 1266 de 2008.

Radicado 18-125029 Por medio de la Resolución No. 23968 del 27 de junio de 2019, este Despacho impuso una sanción equivalente a doscientos sesenta (260) salarios mínimos legales mensuales vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la precitada norma, al encontrar que la sociedad realizó una consulta a la historia de crédito del titular con una finalidad diferente a las establecidas en el artículo 15 de la Ley 1266 de 2008 y sin contar con la autorización previa y expresa del titular.

Radicado 19-257065 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Por medio de la Resolución No. 74340 del 24 de octubre de 2022, este Despacho impuso una sanción equivalente a nueve mil quinientas nueve (9.509) unidades de valor tributario vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 y el literal b) del artículo 4 de la precitada norma, en tanto se evidenció que la mencionada sociedad o acreditó que la consulta a la historia de crédito del titular estuviera cobijada por una de las finalidades descritas en el artículo 15 de la Ley 1266 de 2008.

Radicado 20-332939 Por medio de la Resolución No. 20114 del 20 de abril de 2023, este Despacho impuso una sanción equivalente a mil (1.000) unidades de valor tributario vigentes a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por el incumplimiento del deber contenido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15, en la medida en que la sociedad en mención realizó una consulta ilegitima a la historia de crédito del titular de la información. Por lo anterior, este Despacho procederá a aumentar la sanción de la siguiente manera: Cargo único, en un valor equivalente a TRESCIENTOS NOVENTA Y CINCO (395) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUARENTA Y CINCO MIL OCHOCIENTAS VEINTE (45.820) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS UN MILLONES SETECIENTOS SETENTA Y CUATRO MIL OCHOCIENTOS VEINTE PESOS M/CTE ($501.774.820).

En consecuencia, y teniendo en cuenta la reincidencia en la comisión de la infracción por parte de la sociedad investigada, la cual fue analizada en el numeral 9.1.2 del presente acto administrativo. Esta Dirección impondrá a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., dentro del margen que le otorga el literal a) del artículo 18 de la Ley 1266 de 2008 entre 1 y 2000 SMLMV, una multa de SETECIENTOS NOVENTA (790) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NOVENTA Y UN MIL SEISCIENTAS CUARENTA (91.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a MIL TRES MILLONES QUINIENTOS CUARENTA Y NUEVE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($1.003.549.640) por la transgresión al deber dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma. 9.1.3.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que: (i) dentro del investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iii) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad. El criterio de atenuación señalado en el literal f) del artículo 19 de la Ley 1266 de 2008 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción investigada por esta Superintendencia.

DÉCIMO: CONCLUSIÓN En el presente caso quedó demostrado que, pese a que el señor XXXX XXXXXX XXXXXXX XXXXXXXX no consintió la propuesta comercial realizada por el asesor de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., este procedió con la consulta a su historia de crédito. Práctica que de ninguna forma puede ser normalizada por quienes ostentan la calidad de usuarios de la información, ni mucho menos avalada por parte de esta Superintendencia.

DÉCIMO PRIMERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con NIT. 800.153.993-7, con el correo electrónico de notificación judicial notificacionesclaro@claro.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-212498.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, de SETECIENTOS NOVENTA (790) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NOVENTA Y UN MIL SEISCIENTAS CUARENTA (91.640) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a MIL TRES MILLONES QUINIENTOS CUARENTA Y NUEVE MIL SEISCIENTOS CUARENTA PESOS M/CTE ($1.003.549.640) por la transgresión al deber dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo establecido en el artículo 15 de la precitada norma.

Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, cumplir con las siguientes instrucciones: - Desarrollar, implementar y monitorear un procedimiento que le permita conservar copia de los documentos y/o soportes que acrediten la intención de los titulares de establecer un vínculo contractual y/o comercial con ella o por intermedio de ella.

Parágrafo primero. La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, deberá cumplir lo ordenado en esta resolución dentro de los tres (3) meses siguientes a la ejecutoria del presente acto administrativo. Parágrafo segundo. La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

Parágrafo tercero. El incumplimiento de lo ordenado en el presente acto administrativo hará a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con NIT. 800.153.993-7, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 4. COMUNICAR al señor XXXX XXXXXX XXXXXXX XXXXXXXX, identificado con la cédula de ciudadanía XXXXXXXXXXX, el contenido de la presente decisión. “Por la cual se impone una sanción y se imparten unas órdenes administrativas”

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co • Sede Alterna: Carrera 7 No. 31A - 36 pisos 3 y 3A en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 29 de abril de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.04.29 15:23:48 -05'00' CAROLINA GARCÍA MOLINA Proyectó: María Guañarita Revisó: Mónica Flórez Aprobó: Carolina García NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: COMUNICACIÓN CELULAR S.A. COMCEL S.A. NIT. 800.153.993-7 Rodrigo de Gusmao Ribeiro C.E. 302784 Carrera 68A No. 24 B - 10 Bogotá D.C. COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXX XXXXXX XXXXXXX XXXXXXXX XXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXX xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Resolución sancionatoria N° 21208 de 2024

CONSIDERANDO

RESUELVE