Sanción 1016 de 2024 — SIC

(26 de enero de 2024) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicado 21-59860 EL DIRECTOR DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 4 del artículo 17 del Decreto 4886 de 2011 modificado por el artículo 7 del Decreto 092 de 2022

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 18074 del 12 de abril de 2023, por medio de la cual se formularon cargos a la sociedad referenciada, por la presunta infracción a lo dispuesto en:  El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.

La mencionada resolución le fue notificada a la investigada mediante aviso No. 6815 del 24 de abril de 2023, de conformidad con la certificación de fecha 02 de mayo de 2023, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-59860-55 del 02 de mayo de 2023, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

SEGUNDO: Que, la sociedad BAGUER S.A.S. aportó escrito de descargos con radicado 21-5986056 del 09 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: “(…) En el mes de octubre de 2017, se aprueba el crédito al señor XXXXXXXXXXXXXXXXXXX XXXXXXX con cédula de ciudadanía No. XXXXXXXXX y con el número de celular XXXXXXXX (en adelante “el Cliente”), quien suscribió los respectivos documentos, entre ellos la autorización para el tratamiento de sus datos personales y autorizaciones para el cobro pre jurídico y reporte en centrales de riesgo, entre otros.

El 23 de enero de 2019, el cliente se comunica desde el número XXXXXXXX solicitando un acuerdo de pago e informando la intención de actualización de sus datos por motivo decambio de línea de celular, (se adjunta la llamada como anexo 1) A partir de esa fecha, BAGUER procede con la actualización de datos, queda registrado ese número como el principal del cliente.

El 5 de febrero de 2019, se contacta al cliente al número XXXXXXXXX, para realizar un nuevo acuerdo de pago por motivo del incumplimiento en el pago de sus obligaciones. Con este “Por la cual se impone una sanción y se imparten órdenes administrativas” propósito, la operadora le pregunta si maneja WhatsApp con esa línea para comunicarse por esa vía, a lo que el cliente le responde afirmativamente.

El 28 de febrero de 2019 ante el incumplimiento por parte del cliente del acuerdo de pago, se contacta nuevamente al cliente. En varias oportunidades a partir de marzo del 2019, se realizan las gestiones de cobro a la misma línea de buena fe, dejando mensajes en el buzón de voz sin obtener respuesta El 11 febrero de 2021 a raíz de no obtener respuesta vía telefónica, se escribe al WhatsAppdel número indicado por el Cliente, enviando toda la información de cartera, y recibiendo como respuesta que el número ya no pertenece al señor XXXXXXXXXXXXXXXXXXXX.

Envirtud de lo anterior, se procede a bloquear este número celular con el fin de no realizar máscontactos a través del mismo, y se le informa esta situación al nuevo portador del celular taly como se evidencia en los pantallazos tomados directamente de la conversación que se adjunta como Anexo 2. El 11 de febrero de 2021 el señor XXXXXXXXXXXXXXXXXXXXXX, en su calidad de titularde la línea de celular XXXXXXXX, presentó denuncia ante la Superintendencia de Industria y Comercio manifestando que se le remitieron mensajes vía WhatsApp con información personal de terceras personas para realizar cobro de una deuda, manifestando que se permite así un acceso no autorizado a datos personales.

(…) Que como lo hemos afirmado durante el desarrollo de estas diligencias, no existe vinculo comercial y de ninguna otra clase con el señor XXXXXXXXXXXXXXXXXXXXXXXXX (denunciante), por lo tanto, la empresa BAGUER S.A.S no tiene en su base de datos registros del mismo. El número de celular del señor XXXXXXXXXXXXXXXXXXXXXXXX, fue suministrado como propio por nuestro Cliente, el señor XXXXXXXXXXXXXXXXXXX XXXXXXX, el cual, al parecer por un cambio en la línea o cualquier otro hechodesconocido por BAGUER S.A.S, ya no es el titular de la línea celular.

El señor XXXXXXXXXXXXXXXXXXXXXXXXXX, no actualizó debidamente sus datos ante BAGUER S.A.S, razón por la cual, la empresa no tuvo conocimiento de dicho cambio y de buena fe, actuó con base en los datos suministrados, hasta que el señor XXXXXXXXXX XXXXXXXXXXXX manifiesta su propiedad y titularidad sobre dicha líneatelefónica. Una vez conocido por parte de BAGUER que ese número de celular ya no pertenecía al señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, cesa el contacto a la línea telefónica y se elimina dicho número de los datos de contacto de nuestro cliente.

La eliminación del número telefónico indicado por el señor XXXXXXXXXXXXXXXXXXX XXXXXXX como propio, se realizó en el mes de febrero de 2021, fecha en la cual, el destinatario de los mensajes del número celular (XXXXXXXXXXXXXXXXXXXXXX) indicó ser el titular de dicha línea y solicitó proceder con la eliminación del registro del número en el sistema de BAGUER, ante lo cual, la empresa procede a bloquear dicho número (XXXXXXXX) el cual estaba asignado al cliente XXXXXXXXXXXXXXXXXXXXXXXXXXX tal y como se observa en las conversaciones adjuntas como anexo 1.

Explicado lo anterior, BAGUER S.A.S en su base de datos registra únicamente la información del Cliente, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, quien adquirióobligaciones con la empresa, y quien suscribió las autorizaciones de tratamiento de datos y cobro correspondientes, notificando como número celular el XXXXXXXXX, razón por la cual, BAGUER S.A.S procedió a contactarlo a dicho número, hasta el momento en que es informado que esa línea no pertenece hoy en día al Cliente, momento en el cual se procede con la eliminación del número como lo hemos manifestado anteriormente.

BAGUER S.A.S, en ningún momento incumplió los deberes y principios contenidos en elliteral d) del artículo 17 de la Ley 1581 de 2012, y los literales f), g) y h) del artículo 4 de la misma Ley, y siempre actuó de buena fe de conformidad con la información y datos suministrados por el Cliente. En este sentido, no se ha infringido el deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

BAGUER S.A.S no compartió datos personales de sus clientes sin autorización previa y expresa de los mismos. BAGUER S.A.S se contactó al celular XXXXXXXX de buena fe y con la firme convicción que correspondía a su cliente XXXXXXXXXXXXXXXXXXXXXXXXXXX, como éste había indicado, más no, al señor XXXX “Por la cual se impone una sanción y se imparten órdenes administrativas” XXXXXXXXXXXXXXXXXXX a quien desconoce totalmente pues no posee con esta persona ninguna relación comercial ni deningún tipo.

En el caso que nos ocupa, BAGUER S.A.S dio cabal cumplimiento a la normatividad vigente que regula el tratamiento de datos personales, no compartió con terceros datospersonales de sus clientes sin autorización previa y expresa de los mismos. En la actualidad el contacto que se pretendía con el señor XXXXXXXXXXXXXXXXXXXXXXXXXX, se dio en virtud del proceso de cobro prejurídico que se viene adelantando, el cual consiste en acciones persuasivas para procurar el pago de las obligaciones en mora y advertir las implicaciones legales del no pago, a través de contacto con el Clientedeudor (como el contacto telefónico, envío de mensajes por e-mail, o por mensajes de texto, entre otras).

Lo anterior, tal como lo autorizó el Cliente y consta en la respectiva autorización que se adjunta a las presentes diligencia como Anexo 3, lo cual se podría llevar a cabo por el parte del acreedor directamente (BAGUER S.A.S) o por intermedio de otra persona jurídica. Cabe reiterar que BAGUER en cumplimiento de sus deberes legales, garantiza en todo momento a los titulares, el derecho a actualizar la información y datos proporcionados, derecho que no fue ejercido por el señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, razónpor la cual la empresa de buena fe, se contactó al número de teléfono por el proporcionado.

(…)”1.

TERCERO: Que, mediante Resolución No. 29897 del 31 de mayo de 2023 se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión. Las pruebas incorporadas son las siguientes: 3.1. Comunicación con radicado 21-059860-0, con la cual el Titular de la información presentó la denuncia, junto con sus anexos. 3.2.

Requerimiento de información con radicado 21-59860-4, dirigido a la sociedad TU AVAL S.A.S., junto con sus anexos. 3.3. Requerimiento de información con radicado 21-59860-5, dirigido a la sociedad Hablame Colombia S.A. E.S.P., junto con sus anexos. 3.4. Requerimiento de información con radicado 21-59860-6, dirigido a la sociedad Colombia Móvil S.A. E.S.P., junto con sus anexos. 3.5.

Requerimiento de información con radicado 21-59860-7, dirigido a la sociedad Colombia Telecomunicaciones S.A. E.S.P., junto con sus anexos. 3.6. Requerimiento de información con radicado 21-59860-8, dirigido a la sociedad Virgin Mobile Colombia S.A.S., junto con sus anexos. 3.7. Requerimiento de información con radicado 21-59860-9, dirigido a la sociedad Alamcenes Éxito Inversiones S.A.S., y sus anexos. 3.8.

Requerimiento de información con radicado 21-59860-10, dirigido a la sociedad Comunicación Celular S.A. COMCEL S.A., y sus anexos 3.9. Requerimiento de información con radicado 21-59860-11, dirigido a la sociedad Avantel S.A.S., y sus anexos. 3.10. Requerimiento de información con radicado 21-59860-12, dirigido a la sociedad Suma Móvil S.A.S., junto con sus anexos.

Radicado No. 21-492523-8 del 14 de enero de 2022. “Por la cual se impone una sanción y se imparten órdenes administrativas” 3.11. Requerimiento de información con radicado 21-59860-13, dirigido a la sociedad Eztalk Mobile S.A.S., y su anexo. 3.12. Requerimiento de información con radicado 21-59860-14, dirigido a la sociedad Logística Flash Colombia S.A.S., y sus anexos. 3.13.

Requerimiento de información con radicado 21-59860-15, dirigido a la sociedad Comunicaciones Dime S.A. E.S.P. – En liquidación Judicial, y sus anexos. 3.14. Respuesta con radicado 21-59860-17 a requerimiento de información, dada por la sociedad Eztalk Mobile S.A.S., y sus anexos. 3.15. Respuesta con radicado 21-59860-19 a requerimiento de información, dada por la sociedad Virgin Mobile Colombia S.A.S., y sus anexos. 3.16.

Respuesta con radicado 21-59860-20 a requerimiento de información, dada por la sociedad Almacenes Éxito Inversiones S.A.S., y sus anexos. 3.17. Respuestas con radicados 21-59860-21 y 21-59860-22 a requerimiento de información, dadas por la sociedad Colombia Móvil S.A. E.S.P., junto con sus anexos. 3.18. Respuestas con radicados 21-59860-23 y 21-59860-24 a requerimiento de información, dada por la sociedad Comunicacion Celular S.A. COMCEL S.A., junto con sus anexos. 3.19.

Respuesta con radicado 21-59860-25 a requerimiento de información, dada por la sociedad Colombia Telecomunicaciones S.A. E.S.P., y sus anexos. 3.20. Respuestas con radicados 21-59860-26 y 21-59860-27 a requerimiento de información, dada por la sociedad Hablame Colombia S.A. E.S.P., y sus anexos. 3.21. Respuesta con radicado 21-59860-28 a requerimiento de información, dada por la sociedad Avantel S.A.S., y sus anexos. 3.22.

Requerimiento de información con radicado 21-59860-29, dirigido a la sociedad BAGUER S.A.S., y sus anexos. 3.23. Requerimiento de información con radicado 21-59860-30, dirigido a la sociedad IMPRESISTEM S.A.S., y sus anexos. 3.24. Requerimiento de información con radicado 21-59860-31, dirigido a la sociedad Celulares y Telecomunicaciones Celtel S.A., y sus anexos. 3.25.

Requerimiento de información con radicado 21-59860-32, dirigido a la sociedad Tu Aval S.A.S., junto con sus anexos. 3.26. Respuestas con radicados 21-59860-33 y 21-59860-34 a requerimiento de información, dada por la sociedad Avantel S.A.S., y su anexo. 3.27. Respuesta con radicado 21-59860-35 a requerimiento de información, dada por la sociedad IMPRESISTEM S.A.S., y sus anexos. 3.28.

Respuesta con radicado 21-59860-37 a requerimiento de información, dada por la sociedad Celulares Y Telecomunicaciones Celtel S.A., y sus anexos. 3.29. Respuesta con radicado 21-59860-38 a requerimiento de información, dada por la sociedad BAGUER S.A.S., y sus anexos. 3.30. Solicitud de información con radicado 21-59860-00040 a la Cámara de Comercio de Bucaramanga, junto con sus anexos. 3.31.

Respuestas con radicados 21-59860-41 y 21-59860-42 a solicitud de información, otorgada por la Cámara de Comercio de Bucaramanga, y sus anexos. “Por la cual se impone una sanción y se imparten órdenes administrativas” 3.32. Requerimiento de información con radicado 21-59860-43, dirigido a la sociedad Tu Aval S.A.S., y sus anexos. 3.33.

Respuestas con radicados 21-59860-44 y a 21-59860-45 requerimiento de información, dada por la sociedad Tu Aval S.A.S., y sus anexos. 3.34. Escrito de descargos con radicados 21-59860-56, 21-59860-57, 21-59860-58, 21-59860-59 y 21-59860-60 presentados por la sociedad BAGUER S.A.S. y sus anexos. La mencionada resolución le fue comunicada a la sociedad investigada el 01 de junio de 2023, de conformidad con la certificación del 13 de junio de 2023 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-59860-65.

CUARTO: Que, la sociedad BAGUER S.A.S. presentó alegatos de conclusión por medio de comunicación con radicado número 21-59860-64 del 07 de junio de 2023, en el que manifestó lo siguiente: “(…) En el mes de octubre de 2017, se aprueba el crédito al señor XXXXXXXXXXXXXXXXXXX XXXXXXX con cédula de ciudadanía No. XXXXXXXXX y con el número de celular XXXXXXXX (en adelante “el Cliente”), quien suscribió los respectivos documentos, entre ellos la autorización para el tratamiento de sus datos personales y autorizaciones para el cobro pre jurídico y reporte en centrales de riesgo, entre otros.

El 23 de enero de 2019, el cliente se comunica desde el número XXXXXXXXX solicitando un acuerdo de pago e informando la intención de actualización de sus datos por motivo de cambio de línea de celular, (se adjunta la llamada como anexo 1) A partir de esa fecha, BAGUER procede con la actualización de datos, queda registrado ese número como el principal del cliente.

El 5 de febrero de 2019, se contacta al cliente al número XXXXXXXXX, para realizar un nuevo acuerdo de pago por motivo del incumplimiento en el pago de sus obligaciones. Con este propósito, la operadora le pregunta si maneja WhatsApp con esa línea para comunicarse por esa vía, a lo que el cliente le responde afirmativamente. El 28 de febrero de 2019 ante el incumplimiento por parte del cliente del acuerdo de pago, se contacta nuevamente al cliente.

En varias oportunidades a partir de marzo del 2019, se realizan las gestiones de cobro a la misma línea de buena fe, dejando mensajes en el buzón de voz sin obtener respuesta El 11 febrero de 2021 a raíz de no obtener respuesta vía telefónica, se escribe al WhatsApp del número indicado por el Cliente, enviando toda la información de cartera, y recibiendo como respuesta que el número ya no pertenece al señor XXXXXXXXXXXXXXXXXXX.

En virtud de lo anterior, se procede a bloquear este número celular con el fin de no realizar más contactos a través del mismo, y se le informa esta situación al nuevo portador del celular tal y como se evidencia en los pantallazos tomados directamente de la conversación que se adjunta como Anexo 2. El 11 de febrero de 2021 el señor XXXXXXXXXXXXXXXXXXXXXX, en su calidad de titular de la línea de celular XXXXXXXXX, presentó denuncia ante la Superintendencia de Industria y Comercio manifestando que se le remitieron mensajes vía WhatsApp con información personal de terceras personas para realizar cobro de una deuda, manifestando que se permite así un acceso no autorizado a datos personales.

(…) Que como se ha indicado durante el desarrollo de estas diligencias, no existe vinculo comercial y de ninguna otra clase con el señor XXXXXXXXXXXXXXXXXXXXXXXXX (denunciante), por lo tanto, la empresa BAGUER S.A.S no tiene en su base de datos registros del mismo. El número de celular del señor XXXXXXXXXXXXXXXXXXXXXXX, fue suministrado como propio por nuestro Cliente, el señor XXXXXXXXXXXXXXXXXXXX XXXXXXX, el cual, al parecer por un cambio en la línea o cualquier otro hecho desconocido por BAGUER S.A.S, ya no es el titular de la línea celular.

“Por la cual se impone una sanción y se imparten órdenes administrativas” El señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, no actualizó debidamente sus datos ante BAGUER S.A.S, razón por la cual, la empresa no tuvo conocimiento de dicho cambio y de buena fe, actuó con base en los datos suministrados, hasta que el señor XXXXXXXXXXXXXXXXXXXXXXXX manifiesta su propiedad y titularidad sobre dicha línea telefónica.

Una vez conocido por parte de BAGUER S.A.S que ese número de celular ya no pertenecía al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX, cesa el contacto a la línea telefónica y se elimina dicho número de los datos de contacto de nuestro cliente. La eliminación del número telefónico indicado por el señor XXXXXXXXXXXXXXXXXXX XXXXXXX como propio, se realizó en el mes de febrero de 2021, fecha en la cual, el destinatario de los mensajes del número celular (XXXXXXXXXXXXXXXXXXXXXXXX) indicó ser el titular de dicha línea y solicitó proceder con la eliminación del registro del número en el sistema de BAGUER S.A.S, ante lo cual, la empresa procede a bloquear dicho número (XXXXXXXX) el cual estaba asignado al cliente XXXXXXXXXXXXXXXXXXXXXXXXXX tal y como se observa en las conversaciones adjuntas como anexo 4.

Explicado lo anterior, BAGUER S.A.S en su base de datos registra únicamente la información del Cliente, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, quien adquirió obligaciones con la empresa, y quien suscribió las autorizaciones de tratamiento de datos y cobro correspondientes, notificando como número celular el XXXXXXXX, razón por la cual, BAGUER S.A.S procedió a contactarlo a dicho número, hasta el momento en que es informado que esa línea no pertenece hoy en día al Cliente, momento en el cual se procede con la eliminación del número como lo hemos manifestado anteriormente.

Por ende, se aclara que BAGUER S.A.S, en ningún momento incumplió los deberes y principios contenidos en el literal d) del artículo 17 de la Ley 1581 de 2012, y los literales f), g) y h) del artículo 4 de la misma Ley, y siempre actuó de buena fe de conformidad con la información y datos suministrados por el Cliente. (…)”.

QUINTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

SEXTO: Análisis del Caso 6.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 2011, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”2.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. “Por la cual se impone una sanción y se imparten órdenes administrativas” concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, así como lo establecido en el literal f), g) y h) del artículo 4 de la precitada Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberá tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos, como en los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 6.2.

Valoración Probatoria 6.2.1. Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El literal d) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la información, el cual establece: “(…) “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” ( )”.

Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló: “(…) En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: ( ) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.

(…)”. El deber previsto en el citado literal d), es desarrollo, junto con el principio de acceso y circulación restringida, del principio de seguridad previsto en el literal g) del artículo 4 de la Ley 1581 de 2012 sobre el que se señala: “Artículo 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) “Por la cual se impone una sanción y se imparten órdenes administrativas” g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

( )”. La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realizó el análisis de constitucionalidad de manera previa a la expedición de la Ley estatutaria 1581 de 2012, se refirió al al principio de seguridad establecido en el literal g) del artículo 4 de la Ley 1581 de 2012 y en el literal d) del artículo 17 de la Ley 1581 de 2012, así: “(…) 2.6.5.2.7.

Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.

Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.

( ) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria. (…).”3 Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, tomando en cuenta los avances tecnológicos, el Responsable del tratamiento, tiene el deber de implementar medidas técnicas, humanas y administrativas que sean útiles, pertinentes y eficaces para otorgar seguridad a los registros de sus bases de datos evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de acuerdo con el tipo de bases de datos que se trate.

Respecto al caso en particular, este Despacho, mediante Resolución No. 18047 del 12 de abril de 2023, determinó lo siguiente: “(…) En el presente caso, se tiene que la sociedad BAGUER S.A.S. habría revelado y divulgado información personal del Titular de información XXXXXXXXX XXXXXXXXXX XXXX, al realizar cobro prejurídico por medio de mensajes WhatsApp al teléfono celular del denunciante, por tal razón, la sociedad en calidad de Responsable del Tratamiento habría remitido información personal de terceras personas, permitiendo así un acceso no autorizado frente a los mismos, situación que no sólo se traduciría en un uso no autorizado por parte de la sociedad investigada en su calidad de Responsable del Tratamiento, sino que además, 3 Corte Constitucional.

Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. “Por la cual se impone una sanción y se imparten órdenes administrativas” evidencia preliminarmente que la sociedad BAGUER S.A.S. no conservó la información personal de los Titulares de información bajo medidas de seguridad adecuadas para impedir su acceso a terceros no autorizados.

Por lo anterior, se advierte, un presunto incumplimiento por parte de la sociedad BAGUER S.A.S. en calidad de Responsable del Tratamiento, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.

(…)”. Ahora bien, dentro del término para presentar descargos, la sociedad BAGUER S.A.S. presentó escrito por medio de radicado número 21-59860-56 del 09 de mayo de 2023, argumentando, entre otras cosas, lo siguiente: - - - - - - - Que el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX suscribió la autorización para el tratamiento de sus datos personales, autorizaciones para el cobro pre jurídico y el reporte ante las centrales de riesgo.

El 23 de enero de 2019, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXX se comunica desde el número celular XXXXXXXXX, se aporta la grabación de la llamada, para solicitar un acuerdo de pago e informa su intención de actualizar sus datos por motivo de cambio de celular. La sociedad manifiesta que a partir de esta fecha procede con la actualización de datos y queda registrado este número celular como el principal del cliente.

El 5 de febrero de 2019 se comunica el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX al número celular XXXXXXXXX para realizar un nuevo acuerdo de pago para el cumplimiento de la obligación. Adicionalmente, la operadora le pregunta si tiene WhatsApp en esta línea para comunicarse por ese medio y el titular responde afirmativamente. El 28 de febrero de 2019, la sociedad BAGUER S.A.S. se contacta con el cliente debido a que no cumplió con el acuerdo de pago.

A partir del mes de marzo de 2019 se realizan numerosas gestiones de cobro al mismo número celular. El 11 de febrero de 2021 la sociedad BAGUER S.A.S. contactó al señor XXXXXXXXXXXXX XXXXXXXXXXXXXX por medio de WhatsApp, del cual se aportan imágenes, y se envió toda la información relacionada con el cobro de la obligación. El receptor del mensaje indica que este número celular ya no pertenece al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX y la sociedad procede a bloquear este número celular con el fin de no realizar ningún contacto a través de este.

El 11 de febrero de 2021, el señor XXXXXXXXXXXXXXXXXXXXXXXXXX, como titular del número celular XXXXXXXXX, presentó una denuncia ante la Superintendencia de Industria y Comercio, en la que manifestó que le remitieron mensajes por medio de WhatsApp con información personal de terceras personas. La sociedad BAGUER S.A.S. manifestó que no ha incumplido los deberes que le asisten en calidad de Responsable del tratamiento, en tanto no compartió información personal con terceros sin autorización previa y expresa, puesto que las gestiones de cobro prejurídico se realizaron al número telefónico establecido por el titular.

Ahora bien, este Despacho procederá a revisar las pruebas obrantes en el expediente de la presente investigación: Esta Dirección encontró, preliminarmente, que la conducta de la sociedad investigada transgredía el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, pues como se señaló en el escrito de denuncia, la sociedad BAGUER S.A.S. compartió la información personal del señor XXXXXXXXXXXXXXXXXXXXXXXXXXX con terceros no autorizados.

En virtud de los hechos denunciados, y con el propósito de reunir los elementos de juicio suficientes, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió a la sociedad BAGUER S.A.S., por medio de oficio con radicado número 21-59860-29 del 02 de agosto de 2021. La sociedad investigada, en respuesta al requerimiento realizado, por medio de comunicación con radicado 21-59860-38 del 02 de agosto de 2021, informó lo siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) En el mes de octubre de 2017, se aprueba el crédito al señor XXXXXXXXXXXXXXXXXXX XXXXXXX con cédula de ciudadanía No. XXXXXXXXX y con el número de celular XXXXXXXX (en adelante “el Cliente”), quien suscribió los respectivos documentos, entre ellos la autorización para el tratamiento de sus datos personales y autorizaciones para el cobro pre jurídico y reporte en centrales de riesgo, entre otros.

En virtud de lo anterior, se procede a bloquear este número celular con el fin de no realizar más contactos y se le informa esta situación al nuevo portador del celular tal y como se evidencia en los pantallazos tomados directamente de la conversación que se adjunta como anexo 2. (…)”. En el mismo sentido se pronunció la sociedad investigada en el escrito de descargos, presentados por medio de radicado número 21-59860-56 del 08 de mayo de 2023, y los alegatos de conclusión, presentados por medio de comunicación con radicado 21-59860-64 del 07 de junio de 2023.

Como anexos al escrito de descargos, la sociedad BAGUER S.A.S. aportó un fragmento de lo que, presuntamente, es el contrato suscrito entre la sociedad investigada y el Titular XXXXXXXXXXXXX XXXXXXXX, en donde únicamente se evidencia el fragmento del documento correspondiente a la autorización otorgada por el Titular con su firma, su número de cédula y la huella digital.

Sin embargo, la sociedad no aportó la totalidad del documento, razón por la cual no es posible identificar cuáles son los datos referidos en el mencionado contrato por el Titular, así como tampoco es posible verificar cual fue el número de celular establecido por el mismo para efectos de comunicaciones. Adicionalmente, encuentra este Despacho que la sociedad BAGUER S.A.S. no demostró que el Titular haya otorgado su autorización para compartir su información personal con terceros, pues en la leyenda de autorización aportada por la sociedad investigada, no se evidencia que se solicite la autorización para realizar este tipo de tratamiento sobre los datos.

Imagen No. 1. Tomada del radicado número 21-59860-56 del 08 de mayo de 2023. “Por la cual se impone una sanción y se imparten órdenes administrativas” Por otra parte, la sociedad BAGUER S.A.S. aportó la grabación de una llamada telefónica de fecha 23 de enero de 2019, en la que, presuntamente, el Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXX solicitó la actualización de sus datos personales y modificó el número celular registrado en la base de datos de la sociedad en mención para efectos de comunicaciones.

Ahora bien, este Despacho analizó la grabación de la llamada de fecha 23 de enero de 2019, encontrando lo siguiente: - - - El señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX se comunica con la sociedad BAGUER S.A.S. para realizar un acuerdo de pago debido a que tiene atrasadas unas cuotas de la obligación. La operadora le indica que tiene 113 días en mora, que la totalidad de la deuda asciende a $615.000 y que genere un compromiso de pago.

El señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX manifiesta en la llamada que “(…) la verdad a mí se me olvidó esa deuda y bueno cambie de celular, sé que me han estado llamando entonces por eso para actualizar los datos y de qué forma podemos coger la deuda total refinanciarla y no generar más intereses (…)”. La operadora le propone que le realice un abono por el 50% de la deuda y luego pague la totalidad de la deuda en 5 pagos quincenales.

Ahora bien, este Despacho evidencia que en la grabación de la llamada aportada, el Titular XXXXX XXXXXXXXXXXXXXXXXXXXXX si mencionó que deseaba realizar una actualización a sus datos de contacto; sin embargo, en el transcurso de la llamada no se evidencia que el Titular haya establecido el número celular XXXXXXXXX como su número de contacto.

Adicionalmente, la sociedad investigada manifestó que se comunicó nuevamente con el Titular el día 5 de febrero de 2019 para realizar un nuevo acuerdo de pago; sin embargo, la sociedad BAGUER S.A.S. no aportó la grabación de esta llamada, por lo que no es posible verificar el contenido de la misma y, adicionalmente, no se pudo establecer que la sociedad investigada si se comunicó con el Titular a este número celular.

Por otra parte, la sociedad BAGUER S.A.S. manifestó que a partir del 11 de febrero de 2021 se comunicó al número celular XXXXXXXXX por medio de WhatsApp, de los cuales aportó las siguientes capturas de pantalla: Imagen No. 2. Tomada del radicado número 21-59860-56 del 08 de mayo de 2023. “Por la cual se impone una sanción y se imparten órdenes administrativas” Imagen No. 3.

Tomada del radicado número 21-59860-56 del 08 de mayo de 2023. “Por la cual se impone una sanción y se imparten órdenes administrativas” Imagen No. 4. Tomada del radicado número 21-59860-56 del 08 de mayo de 2023. Imagen No. 5. Tomada del radicado número 21-59860-56 del 08 de mayo de 2023. Las pruebas anteriores, contenidas en las capturas de pantalla indicadas, evidencia que la sociedad BAGUER S.A.S. compartió la siguiente información personal del Titular XXXXXXXXXXXXX XXXXXXXXXXXXXX por medio de la plataforma WhatsApp: Foto de su rostro, foto de la cédula de ciudadanía y huella digital.

Así mismo, se evidencia que el denunciante le indica al Responsable del Tratamiento denunciado que el número al que se está contactando es de uso corporativo, que no le pertenece al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX y que en varias ocasiones les ha manifestado esta situación, razón por la cual presentará la denuncia ante la Superintendencia de Industria y Comercio.

La sociedad investigada manifestó que a partir del 11 de febrero de 2021 bloqueó este número de contacto y que no continuó enviando información relacionada con el Titular XXXXXXXXXXXXX XXXXXXXXXXXXXX. En relación con lo anterior, este Despacho encuentra pertinente resaltar que, de conformidad con lo establecido en el artículo 5 de la Ley 1581 de 20124, la huella digital es considerada un dato de tipo sensible, razón por la cual existe una prohibición general para su tratamiento, excepto cuando el titular haya otorgado su autorización explícita para su tratamiento, de conformidad con las excepciones establecidas en el artículo 6 de la Ley 1581 de 2012 5.

En el mismo sentido, la Corte Constitucional, en sentencia C-748 de 2011, estableció lo siguiente: Ley 1581 de 2012. “Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” Ley 1581 de 2012.

“Artículo 6°. Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) La Sala considera que, de conformidad con el principio de libertad, es posible que las personas naturales den su consentimiento, por su puesto, expreso e informado, para que sus datos personales sean sometidos a tratamiento.

En estos casos deberán cumplirse con todos los principios que rigen el tratamiento de datos personales, en especial cobrará importancia el principio de finalidad, según el cual el dato sensible solamente podrá ser tratado para las finalidades expresamente autorizadas por el titular y que en todo caso deben ser importantes desde el punto de vista constitucional.

(…)”6. De conformidad con lo anterior, y para el estudio de este caso, es necesario establecer que la huella digital es dato de tipo sensible y su indebido tratamiento reviste una responsabilidad mayor para el responsable del tratamiento, pues este tipo de datos hacen parte de la esfera del núcleo esencial del derecho a la intimidad de todas las personas.

Por otra parte, el denunciante XXXXXXXXXXXXXXXXXXXXXXXX aportó unas capturas de pantalla de fecha 11 de noviembre de 2020, así: b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.” Corte Constitucional.

Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Considerando 2.8.4. “Por la cual se impone una sanción y se imparten órdenes administrativas” Imagen No. 6. Tomada del radicado número 21-59860-0 del 11 de febrero de 2021 Imagen No. 7. Tomada del radicado número 21-59860-0 del 11 de febrero de 2021. De las capturas de pantalla de la plataforma WhatsApp, evidencia este Despacho que el señor XXXXXXXXXXXXXXXXXXXXXXXXX había manifestado desde el 11 de noviembre de 2020 que la línea celular XXXXXXXXXX no pertenecía al Titular XXXXXXXXXXXXXXXXXXXXXXX.

Sin embargo, la gestión del cobro se continuó realizando a este mismo número, como se evidenció en los mensajes de WhatsApp de fecha 11 de febrero de 2021. De acuerdo con lo analizado, este Despacho encuentra lo siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas” - - - La sociedad BAGUER S.A.S. no logró demostrar que el Titular XXXXXXXXXXXXXXXXXXXX XXXXXXXX actualizó los datos personales que reposan en la base de datos de la sociedad, específicamente el número celular, puesto que en la grabación de la llamada de fecha 23 de enero de 2019 no se encuentra que el Titular haya manifestado que el número XXXXXXXXX es su número de contacto.

La sociedad BAGUER S.A.S., desde el día 11 de noviembre de 2020, tuvo conocimiento que la línea telefónica XXXXXXXXX a la que se remitía información personal del señor XXXXX XXXXXXXXXXXXXXXXXXXXXX era una línea de uso corporativo y a pesar de ser advertida que esta línea no pertenecía al mencionado titular, posteriormente, continuó compartiendo información personal del titular, incluyendo datos personales de tipo sensible (como la huella dactilar).

La sociedad BAGUER S.A.S. el día 11 de febrero de 2021 siguió compartiendo la información personal del señor XXXXXXXXXXXXXXXXXXXXXXXXXXX. La información personal del Titular XXXXXXXXXXXXXXXXXXXXXXXXXXX efectivamente fue compartida por medio de la plataforma WhatsApp al número celular XXXXXXXX y fue puesta en circulación sin la autorización del Titular.

Así las cosas, este Despacho evidencia el incumplimiento por parte de la sociedad BAGUER S.A.S. del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.

SÉPTIMO: Imposición y Graduación de la Sanción 7.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Articulo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe “Por la cual se impone una sanción y se imparten órdenes administrativas” hacerse de manera inmediata por parte de todas las entidades de orden nacional7.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVBaplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso. 7 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas”

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor básico UVB.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝐵′𝑆 UVB vigente 2024 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝐵 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝐵′𝑆 De otra parte, la Ley 1581 de 2012, en su artículo 24, señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así́: “Artículo 24.

Criterios para Graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por otro lado, dentro del marco de la Ley 1581 de 2012, y en relación con la imposición de la sanción, el artículo 24 de la misma norma establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 298 de la Constitución Política de Colombia y que, por lo tanto, esta Dirección deberá analizar el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012 proferida por la Corte Constitucional, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e); y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma 8 “Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable.

Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” “Por la cual se impone una sanción y se imparten órdenes administrativas” vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada. Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad (…)”9. Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la misma norma. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, entre otros.

Del mismo modo, la vulneración del derecho fundamental de Habeas Datat no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad” 10. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia11. Por lo tanto, atendiendo a los criterios establecidos por el artículo 24 de la Ley 1581 de 2012, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 7.1.1. Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012.

De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del 9 Corte Constitucional.

Sentencia C-125 del 18 de febrero de 2003. M.P. Marco Gerardo Monroy Cabra. Expediente D-4059. 10 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 11 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción y se imparten órdenes administrativas” investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que el cargo único comprobado en contra de la sociedad BAGUER S.A.S., afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias.

En efecto, se demostró que la investigada incumplió lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma, frente al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en la medida en que la sociedad BAGUER S.A.S. divulgó información personal del Titular XXXXXXXXXXXXXX XXXXXXXXXXXXXX con terceros no autorizados, incluyendo datos personales de tipo sensible; y aun cuando esta fue advertida de que la línea telefónica a donde se envió la información no pertenecía al titular de la información, continuó compartiendo los datos personales del señor XXXXX XXXXXXXXXXXXXXXXXXXXXX.

Como consecuencia de ello, y en virtud de las competencias asignadas a esta Superintendencia, se impondrá una sanción por parte de esta Dirección dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, consistente en una multa de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520) para el año 2024. 7.1.2.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no se encontró el reconocimiento o aceptación expresa de la comisión de la infracción.

OCTAVO: Órdenes administrativas En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: La sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, deberá: - - Implementar todas las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a la información personal contenida en sus bases de datos, con el fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares de información por medio de la plataforma Whatsapp.

NOVENO: Conclusión “Por la cual se impone una sanción y se imparten órdenes administrativas” La sociedad BAGUER S.A.S. compartió la información personal del Titular XXXXXXXXXXXXXX XXXXXXXXXXXXXX al número celular XXXXXXXXX, el cual no se pudo establecer que haya sido efectivamente señalado por el Titular para efectos de comunicaciones y gestión del cobro de la obligación. Adicionalmente, se compartieron datos de tipo sensible, aun cuando la sociedad BAGUER S.A.S. ya había sido advertida de que la mencionada línea telefónica no pertenecía al señor XXXXXXXXXXXXXXXXXXXXXXXXXXX.

DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, con el correo electrónico de notificación judicial notificaciones@baguer.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-59860. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520), por la violación del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. ORDENAR a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, cumplir con las siguientes instrucciones: - - Implementar todas las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a la información personal contenida en sus bases de datos, con el fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares de información por medio de la plataforma Whatsapp. Parágrafo primero. La sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, deberá cumplir lo ordenado en esta resolución dentro de los treinta (30) días siguientes a la ejecutoria del presente acto administrativo.

Parágrafo segundo. La sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo suscrita por el representante legal de la propiedad horizontal.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Parágrafo tercero. El incumplimiento de lo ordenado en el presente acto administrativo hará a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 4. COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXXXX, identificado con la cédula de ciudadanía No. XXXXXXXXXX, el contenido de la presente decisión.

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:    Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m. Proceso de correspondencia del Grupo de Trabajo de Gestión Documental y Archivo: Carrera 7 No. 31 A-36, en la ciudad de Bogotá.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 26 de enero de 2024 EL DIRECTOR DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2024.01.26 15:38:46 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MIGC/ Revisó: AMCC/ Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: BAGUER S.A.S. NIT. 804.006.601-0 Carmen Elisa Guerrero Vega 63.345.968 Centro Industrial y Logístico San Jorge.

Bodega 66. Anillo Vial Kilometro 7. Vía Palenque - Floridablanca Girón – Santander – Colombia notificaciones@baguer.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 1016 de 2024

CONSIDERANDO

RESUELVE