(25 de abril de 2025) “Por la cual se impone una sanción administrativa” Radicación: 22-219469 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad MICROBANK COLOMBIA SAS., (en adelante “la investigada”), identificada con Nit. 901.519.913-7, mediante el traslado realizado por la Superfinanciera con radicado 22-219469- -00000 y 22-219469- -00001, respecto de una queja radicada por la señora XXX XXXXXXXXXXXXXXXXXX, por lo cual, este Despacho decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la titular: 1.1 1.2 1.3 1.4 1.5 Informa que presentó una denuncia ante la Fiscalía por lavado de activos, falsedad en documento público y suplantación de su documento de identidad con el que se hicieron “actividades crediticias y financieras”. 1 Señala que varias entidades realizaron consultas de su historia de crédito ante el Operador Experian Colombia S.A sin su autorización “entre ellos MICROBANK COLOMBIA SAS.” 2 Por lo cual, desea saber el procedimiento que se llevó a cabo para realizar la consulta y por qué no se hizo uso de mayores verificaciones de identidad como verificación biométrica, quedando al descubierto los datos de la titular y su información financiera ante terceros sin su real consentimiento.3 Aporta oficio de restitución de derechos de la Fiscalía del 5 de mayo de 2022. 4 Así mismo, aporta una captura de pantalla de las consultas hechas a su historial crediticio ante Datacrédito.5 SEGUNDO: Que este Despacho inicio una averiguación preliminar con base en los hechos denunciados por la titular, por lo cual realizó una solicitud de explicaciones a MICROBANK COLOMBIA SAS. mediante oficio 22-219469-4 del 29 de agosto de 2022.
TERCERO: Que mediante oficio 22-219469- -5 del 29 de agosto de 2022 se hizo una solicitud de explicaciones a ORIFLAME DE COLOMBIA S.A. 1 Expediente digital, consecutivo 0, página 4 2 Expediente digital, consecutivo 0, página 4 3 Expediente digital, consecutivo 0, página 4 4 Expediente digital, consecutivo 0, página 4 5 Expediente digital, consecutivo 0, página 4 “Por la cual se impone una sanción administrativa”
CUARTO: Que mediante oficio 22-219469- -6 del 29 de agosto de 2022 se hizo una solicitud de explicaciones a TUPPERWARE COLOMBIA S.A.S.
QUINTO: Que mediante oficio 22-219469- -7 del 29 de agosto de 2022 se hizo una solicitud de explicaciones a la sociedad CUERO VÉLEZ S.A SEXTO: Que mediante oficio del 29 de agosto de 2022 con radicado 22219469- -8 se hizo un requerimiento a CIFIN S.A.S.
SÉPTIMO: Que mediante oficio del 29 de agosto de 2022 con radicado 22219469- -9 se hizo un requerimiento a EXPERIAN COLOMBIA SA.
OCTAVO: Que mediante oficio con radicado 22-219469- -10 del 29 de agosto de 2022 se le informó a la titular acerca del inicio de una averiguación preliminar.
NOVENO: Que mediante comunicación del 5 de septiembre de 2022 con radicado 22-219469- -00017- la sociedad CUERO VÉLEZ S.A respondió el requerimiento de este Despacho, informando lo siguiente: “Respuesta: El día 6 de abril de 2022 se recibe solicitud de estudio de crédito por parte de la señora XXXXXXXXXXXXXXXXXXXXXXXXX a través de nuestra página web, por tal motivo en esta fecha se realiza consulta ante las centrales de riesgo.”
DÉCIMO: Que mediante comunicación del 12 de septiembre de 2022 con radicado 22-219469- -00018 el Operador CIFIN S.A.S dio respuesta al requerimiento de este Despacho, informando lo siguiente: “1. Le indicamos que, la entidad MICROBANK COLOMBIA S.A.S., identificada con Nit. 901.519.913-7, no se encuentra afiliada a CIFIN S.A.S., en adelante TransUnion®, razón por la cual no se evidencian consultas en la historia de crédito de la titular en mención, relacionadas a la citada entidad, ante TransUnion®. 2.
Le indicamos que, en el último año, la entidad ORIFLAME DE COLOMBIA S.A., identificada con Nit. 830.023.671-2, no consultó la historia de crédito de la titular en mención, ante TransUnion®. 3. Le indicamos que, en el último año, la entidad TUPPWERWARE COLOMBIA S.A.S., identificada con Nit. 900.406.525-3, no consultó la historia de crédito de la titular en mención, ante TransUnion®. 4.
Le indicamos que, en el último año, la entidad CUERO VELEZ S.A.S., identificada con Nit. 800.191.700-8, no consultó la historia de crédito de la titular en mención, ante TransUnion®.”
DÉCIMO PRIMERO: Que mediante comunicación del 13 de septiembre de 2022 con radicado 22-219469- -00019- la sociedad ORIFLAME DE COLOMBIA S.A dio respuesta a la solicitud de explicaciones de este Despacho, informando lo siguiente: “(…) No. Oriflame de Colombia S.A no ha consultado el historial crediticio de la señora XXXXXXXXXXXXXXXXXXXXXX en el periodo comprendido entre el 01 de enero de 2022 y la fecha de recibo del requerimiento de información, esto es, hasta el 29 de junio de 2022.”
DÉCIMO SEGUNDO: Que mediante comunicación del 19 de septiembre de 2022 con radicado 22-219469- -00020 el Operador EXPERIAN COLOMBIA SA. dio respuesta al requerimiento de este Despacho, informando lo siguiente: “Por la cual se impone una sanción administrativa” “Sobre el particular, nos permitimos informar que, la mencionada sociedad MICROBANK COLOMBIA S.A.S identificada con NIT 901.519.913-7 consulto el historial crediticio del titular en una (1) oportunidad, el día 28 de abril de 2022, bajo la huella de consulta MICROBANK COLOMBIA.
(…) Seguido a esto, nos permitimos informar que, la mencionada sociedad ORIFLAME DE COLOMBIA S.A, con NIT 830.023.671-2, TUPPWERWARE COLOMBIA S.A.S con NIT 900.406.525-3, y CUERO VELEZ S.A.S con NIT 800.191.700-8, NO consultaron el historial crediticio del titular dentro del término solicitado por el despacho.”
DÉCIMO TERCERO: Que mediante comunicación del 30 de septiembre de 2022 con radicado 22-219469- -00021- la sociedad TUPPERWARE COLOMBIA S.A.S. dio respuesta a la solicitud de explicaciones de este Despacho, informando lo siguiente: “a) Informamos que en nuestra (sic) base de datos no tenemos registro de una persona con numero de Cedula Ciudadana XXXXXX con el nombre de XXXXXXXXXXXXXXXXXXXXXXXX.
Sin embargo cabe acalarar (sic) que nuestra base de datos arroja el nombre de XXXXX XXXXXXXXXXXX con numero de Cedula Ciudadana XXXXXXXX. Confirmar si precisan información de la persona mencionada con numero de XXXXXXXXX.”
DÉCIMO CUARTO: Que mediante oficio del 12 de diciembre de 2022 con radicado 22-219469- -22- se hizo un segundo requerimiento a MICROBANK COLOMBIA S.A.S.
DÉCIMO QUINTO: Que mediante comunicación del 21 de diciembre de 2022 con radicado 22-219469- -00023 el representante legal de MICROBANK COLOMBIA S.A.S. solicitó prórroga para contestar los requerimientos.
DÉCIMO SEXTO: Que mediante comunicación del 13 de enero de 2023 con radicado 22-219469- -00024 el representante legal de MICROBANK COLOMBIA S.A.S contestó los requerimientos, informando lo siguiente: “No se encontró solicitudes de crédito de la señora dentro del periodo comprendido y las consultas se realizan si hay solicitud de crédito.”
DÉCIMO SÉPTIMO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada, el 18 de octubre de 2024, se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 62513 por medio de la cual se formuló un (1) cargo a la sociedad MICROBANK COLOMBIA S.A.S., identificada con Nit. 901.519.913-7.
La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.
DÉCIMO OCTAVO: Que la Resolución N.º 62513 del 18 de 2024 se notificó mediante Aviso Web N.° 26946 a la sociedad MICROBANK COLOMBIA S.A.S el 14 de noviembre de 2024, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 22-219469- -33 del 19 de noviembre de 2024.
DÉCIMO NOVENO: Que, vencido el término otorgado para presentar descargos, la investigada guardó silencio. “Por la cual se impone una sanción administrativa”
VIGÉSIMO: Que, a través de la Resolución N.° 4544 del 13 de febrero de 2025, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 22-219469, consecutivos 0 al 39, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
En síntesis, se incorporaron las siguientes pruebas: 20.1. Denuncia de la titular remitida por la Superintendencia Financiera de Colombia de fecha de 2 de junio de 2022; 6 20.1.1. Oficio de remisión de la denuncia presentada por la Titular;7 20.1.2. Correo electrónico contentivo de la denuncia;8 20.2. Requerimiento de información realizado a la sociedad MICROBANK COLOMBIA S.A.S., de fecha de 29 de agosto de 2022 con radicado 22219469- -4; 9 20.3.
Requerimiento de información realizado a la sociedad ORIFLAME DE COLOMBIA S.A., de fecha de 29 de agosto de 2022; con radicado 22219469- -5. 10 20.4. Requerimiento de información realizado a la sociedad TUPPERWARE COLOMBIA S.A.S., de fecha de 29 de agosto de 2022; con radicado 22219469- -6;11 20.5. Requerimiento de información realizado a la sociedad CUERO VÉLEZ S.A., de fecha de 29 de agosto de 2022; con radicado 22-219469- -7.12 20.6.
Requerimiento de información realizado al Operador de información CIFIN S.A.S., de fecha de 29 de agosto de 2022, con radicado 22219469- -8;13 20.7. Requerimiento de información realizado al Operador de información EXPERIAN DE COLOMBIA S.A., de fecha de 29 de agosto de 2022; con radicado 22-219469- -9;14 20.8. Comunicación remitida a la Titular el 29 de agosto de 2022; obrante en el expediente digital, radicado 22-219469- -10. 15 20.9.Respuesta otorgada por la sociedad CUERO VÉLEZ S.A. al requerimiento de información realizado por este Despacho, de fecha de 5 de septiembre de 2022; con radicado 22-219469- -0001716 20.9.1.
Certificado de existencia y representación legal de la sociedad CUERO VÉLEZ S.A.17; 6 Expediente digital, consecutivo 0 y 1 7 Expediente digital, consecutivos 0 y 1, páginas 2 y 3 8 Expediente digital, consecutivos 0 y 1, página 4 9 Expediente digital, consecutivo 4 10 Expediente digital, consecutivo 5 11 Expediente digital, consecutivo 6 12 Expediente digital, consecutivo 7 13 Expediente digital, consecutivo 8 14 Expediente digital, consecutivo 9 15 Expediente digital, consecutivo 10 16 Expediente digital, consecutivo 17 17 Expediente digital, consecutivo 17, página 3 “Por la cual se impone una sanción administrativa” 20.9.2.
Escrito de contestación; obrante en el expediente digital;18 20.10. Respuesta otorgada por el Operador de información CIFIN S.A.S. al requerimiento de información realizado por este Despacho, de fecha de 13 de septiembre de 2022; con radicado 22-219469- -00018.19 20.11. Respuesta otorgada por la sociedad ORIFLAME DE COLOMBIA S.A. al requerimiento de información realizado por este Despacho, de fecha de 13 de septiembre de 2022; con radicado 22-219469- -00019. 20 20.11.1.
Escrito de contestación; obrante en el expediente digital;21 20.11.2.Certificado de existencia y representación legal de la sociedad ORIFLAME DE COLOMBIA S.A.22 20.12. Respuesta otorgada por el Operador de información EXPERIAN DE COLOMBIA S.A. al requerimiento de información realizado por este Despacho, de fecha de 20 de septiembre de 2022; con radicado 22219469- -00020.23 20.13.Respuesta otorgada por la sociedad TUPPERWARE COLOMBIA S.A.S. al requerimiento de información realizado por este Despacho, de fecha de 30 de septiembre de 2022; con radicado 22-219469- -00021;24 20.14.Requerimiento de información realizado a la sociedad MICROBANK COLOMBIA S.A.S., de fecha de 12 de diciembre de 2022; con radicado 22-219469- -2225 20.15.Solicitud de prórroga presentada por la sociedad MICROBANK COLOMBIA S.A.S., de fecha de 23 de diciembre de 2022; con radicado 22-219469- -00023.26 20.16.Respuesta otorgada por la sociedad MICROBANK COLOMBIA S.A.S. al requerimiento de información realizado por este Despacho, de fecha de 16 de enero de 2023; con radicado 22-219469- -00024; 27 20.16.1.
Escrito de contestación al requerimiento por parte del representante legal de la investigada; 28 20.16.2. Certificado de existencia y representación legal de la sociedad MICROBANK COLOMBIA S.A.S.29 VIGÉSIMO PRIMERO: Que la Resolución N.° 4544 del 13 de febrero de 2025 se comunicó a la sociedad MICROBANK COLOMBIA S.A.S el 5 de marzo de 2025, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 22-219469- -39 del 7 de marzo de 2025.
VIGÉSIMO SEGUNDO: Que, vencido el término otorgado para presentar alegatos de conclusión, la investigada guardó silencio. 18 Expediente digital, consecutivo 17, página 4 19 Expediente digital, consecutivo 18 20 Expediente digital, consecutivo 19 21 Expediente digital, consecutivo 19, página 7 22 Expediente digital, consecutivo 19, página 8 23 Expediente digital, consecutivo 20 24 Expediente digital, consecutivo 21 25 Expediente digital, consecutivo 22 26 Expediente digital, consecutivo 23 27 Expediente digital, consecutivo 24 28 Expediente digital, consecutivo 24, página 2 29 Expediente digital, consecutivo 24, página 3 “Por la cual se impone una sanción administrativa”
VIGÉSIMO TERCERO: Industria y Comercio Competencia de la Superintendencia de El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.
VIGÉSIMO CUARTO: Análisis del caso 24.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;
(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.
(…)”30. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 9 de la Ley 1266 de 2008 señala los deberes que le asisten a las Usuarios de información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio.
(ii) El incumplimiento del señalado deber dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado: en el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, 30Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. F.J:3.6.2. “Por la cual se impone una sanción administrativa” para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como el conjunto de pruebas allegadas al expediente. 24.2 Valoración probatoria y conclusiones 24.2.1 Deber del Usuario de utilizar la información únicamente para los fines que fue entregada y/o solicitar autorización para realizar consultas en las bases de datos de los Operadores de Información Deber establecido en el numeral 1 del artículo 9 en concordancia con el artículo 15 de la Ley 1266 de 2008, que establece: “Artículo 9.
Deberes de los Usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley (…).
Artículo 15. Acceso a la información por parte de los Usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información (…)”.
De otra parte, la Corte Constitucional en Sentencia C-1011 de 2008 mediante la cual analizó la constitucionalidad del proyecto de ley de protección de datos crediticios y financieros, estableció lo siguiente: “(…) Así, el acceso por parte de los usuarios está limitado a que la utilización del dato personal esté relacionada con el propósito de la recolección de la información, que no es otro que el cálculo del riesgo crediticio, basado en el análisis del modo en que el sujeto concernido cumple con sus obligaciones financieras y comerciales.
En consecuencia, otras modalidades de acceso, que no estén vinculadas con la finalidad del banco de datos, serán contrarias al principio de circulación restringida y, por lo tanto, configurarán un incumplimiento de la norma estatutaria, susceptible de sanción en los términos del artículo 18 del Proyecto de Ley. (…)”. En el caso en concreto, de forma preliminar, al verificar la información allegada al expediente, este Despacho encontró que se efectuó una consulta en la historia de crédito de la Titular el día 28 de abril de 2022 con huella de consulta “MICROBANK COLOMBIA” tal como se encuentra soportado por la imagen remitida por la Titular dentro de su queja 31 y por la respuesta allegada 31 Expediente digital, consecutivo 0, página 4 “Por la cual se impone una sanción administrativa” a este Despacho por el Operador de Información EXPERIAN COLOMBIA S.A.32 Adicionalmente, mediante oficios con números de radicados 22-219469-4 del 29 de agosto de 2022 y 22-219469-22 del 12 de diciembre de 2022, este Despacho requirió a la investigada para que, entre otras cosas, informara o acreditara si contaba con la autorización para consultar la historia de crédito de la Titular y acreditara las finalidades de la consulta realizada.
Como respuesta a dicho requerimiento, mediante radicado No. 22-219469-24 del 16 de enero de 2023, la investigada manifestó, entre otras cosas, lo siguiente: i) ii) iii) Que no encontró solicitudes de crédito por parte de la Titular y las consultas se hacen si hay solicitud de crédito. Que todo usuario de la aplicación previamente otorga autorización para consultar su historia de crédito.
Que dentro de las finalidades de la consulta se encuentran: “2) Solicitar y consultar a los operadores de información, los datos del cliente (incluyendo datos financieros y comerciales) con el fin de: a. Obtener información referente a las relaciones comerciales establecidas con cualquier entidad financiera o comercial y b. Confirmar datos para iniciar o mantener una relación contractual, frente a lo cual el cliente entiende que la permanencia de la información del dato positivo o negativo, según sea el caso, será la que la legislación señale.”33 De igual forma, no se pudo determinar la existencia de la autorización y tampoco se acreditó una finalidad legítima para que la investigada efectuara la consulta en la historia de crédito de la Titular.
Conforme a lo anterior, esta Dirección estableció de manera presuntiva que la sociedad MICROBANK COLOMBIA SAS, no dio cumplimiento al deber de acceder a la información financiera del titular con una finalidad legítima como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, o para la evaluación de los riesgos derivados de una relación contractual vigente, ni acreditó contar con la autorización del Titular para consultar su historia de crédito.
Por otra parte, la investigada no presentó escrito de descargos ni alegatos de conclusión, pese a que se le garantizó el derecho al debido proceso a MICROBANK COLOMBIA SAS. en el curso de la investigación. Ahora bien, de acuerdo con el acervo probatorio este Despacho encontró los siguiente: El titular aporta una imagen tomada de su historia crédito, con la huella de consulta de la investigada el día 28 de abril de 2022 34. 32 Expediente digital, consecutivo 20, página 3 33 Expediente digital, consecutivo 24, página 2, folio 1 34 Expediente digital, consecutivo 0, página 4 “Por la cual se impone una sanción administrativa” Con fundamento en lo anterior, mediante oficio con radicado No. 22219469-9 del 29 de agosto de 2022, este Despacho requirió al Operador de Información EXPERIAN COLOMBIA S.A para que, entre otras cosas, informara si la sociedad MICROBANK COLOMBIA S.A.S realizó una consulta en la historia de crédito de la Titular. Como consecuencia del requerimiento enunciado, mediante comunicación con radicado No. 22-219469-20 del 20 de septiembre de 2022, el Operador de Información manifestó que “(…) la mencionada sociedad MICROBANK COLOMBIA S.A.S identificada con NIT 901.519.913-7 consulto el historial crediticio del titular en una (1) oportunidad, el día 28 de abril de 2022, bajo la huella de consulta MICROBANK COLOMBIA”. Mediante oficios con números de radicados 22-219469-4 del 29 de agosto de 2022 y 22-219469-22 del 12 de diciembre de 2022, este Despacho requirió a la investigada para que, entre otras cosas, informara o acreditara si contaba con la autorización para consultar la historia de crédito de la Titular y acreditara las finalidades de la consulta realizada. Como respuesta a dichos requerimientos, mediante radicado No. 22219469-24 del 12 de enero de 2023, la investigada manifestó, entre otras cosas, lo siguiente: i) ii) iii) Que no encontró solicitudes de crédito por parte de la Titular por lo que no se efectuaron consultas en su historia de crédito.
La autorización para las consultas se recolecta en el momento en el que el cliente solicita un crédito. iii) Dentro de las finalidades de la consulta se encuentran: “(…) 2) Solicitar y consultar a los operadores de información, los datos del cliente (incluyendo datos financieros y comerciales) con el fin de: a. Obtener información referente a las relaciones comerciales establecidas con cualquier entidad financiera o comercial y b. Confirmar datos para iniciar o mantener una relación contractual, frente a lo cual el cliente entiende que la permanencia de la información del dato positivo o negativo, según sea el caso, será la que la legislación señale.
(…)”. No obstante, aparte de las anteriores afirmaciones, la sociedad no demostró mediante ningún medio probatorio, que existiera alguna finalidad para la consulta del historial crediticio de la titular ante los operadores de información o en su defecto la autorización previa expresa e informada que lo facultara a realizar la consulta. En virtud de los expuesto, se concluye que la investigada realizó la consulta de la historia de crédito de la titular el 28 de abril de 2022, sin acreditar que lo hubiera hecho por una finalidad legítima como la solicitud de un crédito o “Por la cual se impone una sanción administrativa” para establecer o mantener una relación contractual, así como tampoco aportó una autorización otorgada por la titular para la consulta ante el Operador EXPERIAN COLOMBIA S.A. de la información. Por lo tanto, se encuentra que MICROBANK COLOMBIA SAS. incumplió el deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada.
En consecuencia, procede una sanción.
VIGÉSIMO QUINTO: Que el artículo 12 de la Ley 2157 de 2021 35 el cual adicionó el artículo 19A a la Ley 1266 de 2008, señala que los Usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con la Ley 1266 de 2008.
De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el referido artículo. Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1.
Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.
La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el 35 ARTÍCULO 12.
Adiciónese a la Ley 1266 de 2008 el artículo 19A. El cual quedará así:
ARTÍCULO 19A. Responsabilidad demostrada. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley. “Por la cual se impone una sanción administrativa” mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora bien, según el artículo 22 de la ley 222 de 19951 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.
Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”1 (subrayamos) (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”1.
En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad MICROBANK COLOMBIA SAS. para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y necesidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
VIGÉSIMO SEXTO: Imposición y graduación de la sanción 26.1 Facultad sancionatoria “Por la cual se impone una sanción administrativa” La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 36. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 237, 438 y 639 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo40.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”41 (negrita añadida) De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional42 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del 36Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” 37 Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 38 Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 39 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) 40 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 41 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. 42 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.
(…) (negrita añadida) “Por la cual se impone una sanción administrativa” artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros43.
La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”44.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia45. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 1846 de la misma ley.
Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: 43 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 44 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 45 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 46Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Por la cual se impone una sanción administrativa” a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 26.1.1 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”47 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. 47Corte Constitucional.
Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. “Por la cual se impone una sanción administrativa” En el caso sub examine quedó demostrado que, la investigada realizó la consulta de la historia de crédito el 28 de abril de 2022 de la señora XX XXXXXXXXXXXXXXXXXXXXX, sin acreditar que lo hubiera hecho con una finalidad legítima establecida en la Ley o contando con la autorización de la titular, puesto que no demostró que ella tuviera una intención de adquirir un crédito o suscribir un contrato, ni aportó una autorización específica para la consulta ante el Operador EXPERIAN COLOMBIA S.A. Por lo tanto, se concluye que MICROBANK COLOMBIA S.A.S incumplió el deber establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada.
De manera que, resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008. En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo;
(ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros; (iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente48. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente a imponer la sanción prevista en el inciso tercero del artículo 18 de la Ley 1266 de 2008, por lo tanto, se impondrá́ suspensión de las actividades del banco de datos, por el término de seis (6) meses, por cuanto se demostró que la sociedad MICROBANK COLOMBIA S.A.S., en calidad de usuario de información financiera, está llevando a cabo la consulta de la historia de crédito de los titulares, sin contar con la autorización para ello y sin acreditar que lo lleva a cabo en virtud de una finalidad legítima como lo es establecer y mantener una relación contractual, así como para la evaluación de los riesgos derivados de una relación contractual vigente, pues de acuerdo con la información aportada por el Operador EXPERIAN COLOMBIA S.A se registra la huella de consulta por parte de la sociedad investigada, como sucedió en este caso.
De igual manera, si bien la sociedad investigada no presentó ni descargos ni alegatos de conclusión e informó en respuesta a un requerimiento de este Entidad que la operación de la sociedad ya no se encuentra activa, este Despacho considera imperioso que la investigada suspenda todas las actividades de administración de bancos de datos, con el objetivo de que cese la vulneración el derecho de habeas data de los titulares, e implemente las medidas necesarias para corregir estas violaciones, toda vez que hasta el momento la sociedad no se encuentra liquidada.
Por lo anterior, este Despacho impondrá la suspensión de las actividades del banco de datos debido a la violación grave de las condiciones y requisitos previstos en la Ley, término con el cual contará la investigada para acreditar ante esta Autoridad haber adoptado las siguientes medidas: 1. Implementar un procedimiento para garantizar que las consultas que se lleven a cabo ante los Operadores de la información de la historia de crédito de los titulares se realicen para establecer y mantener una relación contractual o para la evaluación de los riesgos derivados de una relación contractual vigente, lo cual debe estar soportado por pruebas que demuestren la intención del titular de vincularse contractualmente con la sociedad investigada. 48Corte Constitucional, Sentencia T-167 de 2015.
M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. “Por la cual se impone una sanción administrativa” 2. Implementar y documentar un formato de autorización previa otorgada por el titular y suscrita por el mismo, para llevar a cabo la consulta de su historia de crédito por parte de la sociedad investigada. 3. Incluir dicha autorización mencionada en la aplicación o en la herramienta tecnológica dispuesta para comunicarse con el titular que se interese por los servicios ofrecidos por la sociedad investigada, la cual debe quedar guardada para su consulta posterior.
De este modo, la sociedad MICROBANK COLOMBIA S.A.S deberá abstenerse de realizar la administración de las actividades del banco de datos dentro de los seis (6) meses posteriores a la ejecutoria del presente acto administrativo, término con el cual contará para proceder con el cumplimiento de las acciones ordenadas por esta Dirección. 26.1.2 Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (iv) no se encuentra que la entidad sancionada haya sido sancionada anteriormente por el incumplimiento del mismo deber estudiado en este acto administrativo. Por otro lado, el criterio de atenuación de la sanción señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de la infracción.
VIGÉSIMO SÉPTIMO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada. ii. Con dicha conducta, la Usuaria vulneró el derecho de habeas data de la titular al consultar su historia de crédito el 28 de abril de 2025 ante el Operador EXPERIAN COLOMBIA S.A. sin demostrar que la titular hubiera solicitado un crédito, suscrito un contrato o contara con la autorización para realizar dicha consulta.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sanción de suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, por la violación del numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada, según lo expuesto en la presente resolución a la sociedad MICROBANK COLOMBIA SAS.
VIGÉSIMO OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad MICROBANK COLOMBIA SAS identificada con NIT. 901.519.913-7, con el correo electrónico de notificación judicial microbank1@gmail.com quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
“Por la cual se impone una sanción administrativa” Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-219469. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción a la sociedad MICROBANK COLOMBIA SAS. identificada con Nit. 901.519.913-7, de Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, por la violación a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el artículo 15 de la norma precitada, según lo expuesto en la presente resolución. Así mismo debe acreditar el cumplimiento de las siguientes instrucciones: 1.
Implementar un procedimiento para garantizar que las consultas que se lleven a cabo ante los Operadores de la información de la historia de crédito de los titulares se realicen para establecer y mantener una relación contractual o para la evaluación de los riesgos derivados de una relación contractual vigente, lo cual debe estar soportado por pruebas que demuestren la intención del titular de vincularse contractualmente con la sociedad investigada. 2.
Implementar y documentar un formato de autorización previa otorgada por el titular y suscrita por el mismo, para llevar a cabo la consulta de su historia de crédito por parte de la sociedad investigada. 3. Incluir dicha autorización mencionada en la aplicación o en la herramienta tecnológica dispuesta para comunicarse con el titular que se interese por los servicios ofrecidos por la sociedad investigada, la cual debe quedar guardada para su consulta posterior.
Parágrafo primero: La sociedad MICROBANK COLOMBIA SAS., identificada con NIT. 901.519.913-7 deberá adoptar las medidas señaladas en el artículo anterior, dentro de los seis (6) meses posteriores a la ejecutoria del presente acto administrativo. Parágrafo segundo: La sociedad MICROBANK COLOMBIA SAS identificada con NIT 901.519.913-7 deberá acreditar el cumplimiento de lo ordenado en la presente decisión, aportando copia de todos los documentos, y procedimientos, dentro de los cinco (5) días siguientes al vencimiento del plazo otorgado para su implementación. Parágrafo tercero: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad MICROBANK COLOMBIA SAS identificada con NIT. 901.519.913-7, acreedora de las sanciones previstas en la Ley.
ARTÍCULO 2: EXHORTAR a la sociedad FH FONDO DE GARANTÍAS S.A.S, identificado con Nit. 901594328-7, en calidad de representante legal de la “Por la cual se impone una sanción administrativa” sociedad MICROBANK COLOMBIA SAS, identificada con Nit. 901.519.9137, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el Tratamiento de Datos Personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos Personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de finalidad, acceso y circulación restringida, confidencialidad y necesidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a sociedad MICROBANK COLOMBIA SAS., identificada con Nit. 901.519.913-7, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante la Directora de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4: COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXX XXXXX, identificada con cédula de ciudadanía N.º XXXXXXXXX el contenido de la presente decisión.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 de abril de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.04.25 15:36:55 -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Entidad: MICROBANK COLOMBIA S.A.S. Identificación: 901.519.913-7 Dirección: Calle 32 A Bis N° 13-32 Of 310 Torre 2 Ciudad: Bogotá D.C Correo electrónico: microbank1@gmail.com;
Representante Legal: FH FONDO DE GARANTÍAS S.A.S Identificación: Nit 901594328-7 Dirección: CR 14 23 15 ED CÁMARA DE COMERCIO OFICINA 901 Ciudad: Armenia, Quindío Correo electrónico: fernando-hurtado2000@hotmail.com 49 COMUNICACIÓN: Señora: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX Identificación: XXXXXXXXXX Correo electrónico: XXXXXXXXXXXXX 49 Esta es la dirección de correo electrónico de notificación judicial señalada en el certificado de existencia y representación legal de la sociedad que está ejerciendo como Representante Legal de la investigada.