CRC - Resolución 6633 de 2022

RESOLUCIÓN No. 6633 DE 2022

“Por la cual se recupera un código corto para la provisión de contenidos y aplicaciones, a través de SMS o USSD, que había sido asignado a HABLAME COLOMBIA S.A. E.S.P.”

LA COORDINADORA DEL GRUPO INTERNO DE TRABAJO DE

RELACIONAMIENTO CON AGENTES DE LA COMISIÓN DE REGULACIÓN DE

COMUNICACIONES

En ejercicio de sus facultades legales conferidas en la Ley, en especial las previstas en los numerales 12 y 13 del artículo 22 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, el Decreto 1078 de 2015, la Resolución CRC 5050 de 2016, y

CONSIDERANDO

1. ANTECEDENTES

Mediante radicado 20228028 16 del 25 de febrero de 2022, un funcionario de Bancolombia S.A. le informó a la Comisión de Regulación de Comunicaciones (CRC), que a través del siguiente código corto 897400 asignado a HABLAME COLOMBIA S.A. E.S.P. , en adelante HABLAME, se estaban enviando mensajes a sus usuario s, así: “ …actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude desde los códigos cortos que se anexan a continuación, éstos no solo infringen el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y t erceros . Se indica

derechos de propiedad intelectual de Bancolombia, sino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y t erceros . Se indica que este contenido NO ha sido autorizado por Bancolombia, esto con el fin que se tomen medidas de bloqueo del código y contenido.”

Analizada la información aportada por Bancolombia S.A. , mediante comunicación con radicado 2022506541 del 8 de marzo de 2022, la Coordinadora de Relacionamiento con Agentes de la CRC , en ejercicio de las funciones de Administrador de los Recursos de Identificación1, inició una actuación administrativa para recuperar el código corto mencionado, por presuntamente haberse configurado las causales de recuperación dispuestas en los numerales 6.4.3.2.2 y 6.4.3.2.8 del artículo 6.4.3.2 del Título VI de la Resolución CRC 5050 de 2016, que establecen lo siguiente: “6.4.3.2.2. Cuando los códigos cortos presenten un uso diferente a aquél para el que fueron asignados” y “6.4.3.2.8. Cuando

1 Artículo 6.1.1.9 de la Resolución CRC 5050 de 20 16. DELEGACIÓN DE LA ADMINISTRACIÓN DE LOS RECURSOS DE IDENTIFICACIÓN. Delegar en el funcionario de la Comisión de Regulación de Comunicaciones que haga las veces de Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC.Continuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 2 de 6

recursos de identificación bajo la responsabilidad de la CRC.Continuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 2 de 6

a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizad o expresamente y por escrito su envío o su contenido”.

Dicho acto administrativo fue comunicado a HABLAME, a través de correo electrónico del 9 de marzo de 2022, para que dentro de los quince (15) días hábiles siguientes contados a partir de su comunicación, formulara sus observaciones, presentara o solicitara pruebas e informara a la CRC sobre el uso que se le estaba dando a los recursos de identificación asignados.

HABLAME no remitió pronunciamiento respecto de la actuación administrativa.

2. CONSIDERACIONES DE LA CRC

2.1. COMPETENCIA

En virtud de lo dispuesto en los numerales 12, modificado por el artículo 19 de la Ley 1978 de 2019, y 13 del artículo 22 de la Ley 1341 de 2009, la CRC ostenta la competencia para regular y administrar los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos, diferentes al espectro radioeléctrico y al dominio de Internet bajo el código del país correspondiente a Colombia -.co-.

En efecto, el numeral 12 del artículo 22 de la Ley 1341 de 2009, -modificado por el artículo 19 de la Ley 1978 de 2019-, establece como función de esta Comisión, a través de su Sesión de Comisión de Comunicaciones, la de "[r]egular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro

Comunicaciones, la de "[r]egular y administrar los recursos de identificación utilizados en la provisión de redes y servicios de telecomunicaciones y cualquier otro recurso que actualmente o en el futuro identifique redes y usuarios, salvo el nombre de dominio de Internet bajo el código del país correspondiente a Colombia -.co-". A su turno, el numeral 13 del artículo 22 de la misma Ley 1341 de 2009 establece como función de esta Comisión, la de “[a]dministrar el uso de los recursos de numeración, identificación de redes de telecomunicaciones y otros recursos escasos utilizados en las telecomunicaciones, diferentes al espectro radioeléctrico”.

Aunado a lo anterior, el Decreto 1078 de 2015, “Por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones ”, establece que la CRC "deberá administrar planes técnicos básicos, de conformidad con las disposiciones contenidas en este Título y siguiendo los principios de neutralidad transparencia, igualdad, eficacia, publicidad, moralidad y promoción de la compete ncia con el fin de preservar y garantizar el uso adecuado de estos recursos técnicos".

Por su parte, el artículo 2.2.12.5.3. del Decreto 1078 de 2015 dispone que dicha administración comprende las modificaciones y/o adiciones que se hagan a la estructura de la numeración, a los mapas de numeración, a los cuadros contenidos en el plan y a cualquier otro aspecto que requiera ser incluido dentro de este. Así mismo, el artículo 2.2.12.1.2.5. del Decreto en comento, establece que los números, bloques de numerac ión, códigos, prefijos, entre otros, son recursos públicos y

ser incluido dentro de este. Así mismo, el artículo 2.2.12.1.2.5. del Decreto en comento, establece que los números, bloques de numerac ión, códigos, prefijos, entre otros, son recursos públicos y pertenecen al Estado, el cual puede asignarlos a los proveedores de redes y servicios de telecomunicaciones y recuperarlos cuando se den las condiciones que determine la CRC. La asignación de dichos recursos no otorga derecho de propiedad alguno sobre ellos.

En cumplimiento de las funciones descritas, y en los términos previstos en el Decreto 1078 de 2015, la CRC definió los sujetos asignatarios de numeración de códigos cortos, así como los procedimientos para su gestión y atribución transparentes y no discriminatorios, y la recopilación y actualización de los datos relativos a este recurso numérico. Dichas reglas se encuentran contenidas en el Título VI de la Resolución CRC 5050 de 2016. Así, en su artículo 6.1.1.8 se estableció que la CRC podía, previa actuación administrativa, recuperar los códigos cortos asignados cuando se configurara algunas de las causales objeto de recuperación o se incumpliera algún criterio de uso eficiente de este recurso. Entre dichas causales se encuentra que los códigos cortos presentaran un uso diferente a aquél para el que fueron asignados y que a través de estos se envíen mensajes a nombre de terceros que no lo han autorizado.

Teniendo claro lo anterior, así c omo el alcance y propósito de las competencias de la CRC para regular y administrar los recursos escasos, es evidente que, cuando se detecte la presunta configuración de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún recurso de identificación asignado, deben adelantarse las actuaciones administrativas a que

regular y administrar los recursos escasos, es evidente que, cuando se detecte la presunta configuración de alguna de las causales de recuperación establecidas o el presunto uso ineficiente de algún recurso de identificación asignado, deben adelantarse las actuaciones administrativas a que haya lugar, con el fin de recuperar estos recursos numéricos, esto es , retirar la autorización de usoContinuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 3 de 6

de un recurso previamente otorgada a un asignatario, camb iándolo de estado para una posible reasignación futura.

Finalmente, es necesario señalar que, mediante la Resolución CRC 5968 de 2020, compilada en la Resolución CRC 5050 de 2016, se delegó en el funcionario de la CRC que hiciera las veces del Coordinador del Grupo Interno de Trabajo de Relacionamiento con Agentes, las funciones del Administrador de los Recursos de Identificación, incluidas la expedición de los actos administrativos de asignación, devolución y recuperación de todos los recursos de identificación bajo la responsabilidad de la CRC.

2.2. MATERIALIZACIÓN DE LA S CAUSALES DE RECUPERACIÓN OBJETO DE LA ACTUACIÓN ADMINISTRATIVA El artículo 6.4.3.2. del Título VI de la Resolución CRC 5050 de 2016 establece que el Administrador de los Recursos de Identificación, esto es, la CRC, puede recuperar los códigos cortos para SMS y USSD asignados, si se configuran entre otras, cualquiera de las causales que se citan a continuación: “ARTÍCULO 6.4.3.2. CAUSALES DE RECUPERACIÓN DE CÓDIGOS CORTOS PARA SMS Y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o

“ARTÍCULO 6.4.3.2. CAUSALES DE RECUPERACIÓN DE CÓDIGOS CORTOS PARA SMS Y USSD. El Administrador de los Recursos de Identificación podrá recuperar total o parcialmente la numeración de códigos cortos para SMS y USSD asignada conforme el procedimiento de recuperación estableci do en el numeral 6.1.1.8.1. del ARTÍCULO 6.1.1.8. de la SECCIÓN 1 del CAPÍTULO 1 del TÍTULO VI, cuando el asignatario incumpla con alguno de los criterios de uso eficiente establecidos en el ARTÍCULO 6.4.3.1. de la SECCIÓN 3 del CAPÍTULO 4 del TÍTULO VI, o incurra en alguna de las siguientes causales de recuperación: (…) 6.4.3.2.2. Cuando los códigos cortos asignados presenten un uso diferente a aquél para el que fueron asignados. (…) 6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o su contenido (…)”. Ahora bien, como se anotó en los antecedentes, esta actuación se inició porque mediante el radicado 2022802816 del 25 de febrero de 2022, Bancolombia S.A. le informó a la CRC que a través del código corto 897400 asignado a HABLAME se estaban enviando mensajes a sus usuarios, así: “(…) actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude”; sin autorización por parte de la entidad bancaria en comento. A partir de lo anterior, la CRC procedió a iniciar una actuación administrativa por la presunta

actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude”; sin autorización por parte de la entidad bancaria en comento. A partir de lo anterior, la CRC procedió a iniciar una actuación administrativa por la presunta configuración de las causales precitadas respecto del c ódigo corto 897400, asignado a HABLAME por lo que, corresponde a la Comisión verificar la efectiva configuración de estas. Debe precisarse que la CRC con el ánimo de garantizar el debido proceso, procedió a comunicarle el inicio de la actuación administrativa a HABLAME el 9 de marzo de 2022, para que dentro de los quince (15) días hábiles siguientes contados a partir de su com unicación, formulara sus observaciones, presentara o solicitara pruebas e informara a la CRC sobre el uso que se le estaba dando al recurso de identificación asignado, sin embargo, dicha empresa no se pronunció al respecto, ni aportó ningún documento que desvirtuara la información allegada por Bancolombia S.A. 2.2.1. Causal establecida en el numeral 6.4.3.2.2 del articulo 6.4.3.2. de la Resolución CRC 5050 de 2016 Dado que una de las causales por las cuales se inició la actuación administrativa es la establecida en el numeral 6.4.3.2.2. del artículo 6.4.3.2. del Título VI de la Resolución CRC 5050 de 2016 , la CRC debe contrastar el uso para el cual fue asignado el código corto y el uso dado a dicho recurso por parte de HABLAME.Continuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 4 de 6

debe contrastar el uso para el cual fue asignado el código corto y el uso dado a dicho recurso por parte de HABLAME.Continuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 4 de 6

De esta manera, la CRC procedió a verificar que mediante radicado 201671919 del 14 de septiembre de 201 6, HABLAME2 solicitó la asignación del código corto 897400 para lo cual señaló en la descripción y justificación correspondiente que dicho recurso de identificación “Se requie re este código corto para enviar información para el usuario de sus productos y servicios con la compañía”, como se relaciona a continuación:

RADICADO

CÓDIGO

CORTO SOLICITADO MODALIDAD DESCRIPCIÓN JUSTIFICACIÓN 201671919 897400 Gratuito para el usuario Se requiere este código corto para enviar información para el usuario de sus productos y servicios con la compañía Se requiere este código corto para enviar información para el usuario de sus productos y servicios con la compañía Tomado del radicado 201671919 del 14 de septiembre de 2016.

Teniendo en cuenta lo informado por HABLAME en su solicitud de asignación, mediante Resolución CRC 5019 del 22 de septiembre de 20163, la CRC le asignó a dicha empresa el código corto 897400 para la provisión de contenidos y aplicaciones a través de SMS/MMS/USSD bajo la modalidad de “Gratuito para el usuario”.

En este sentido, dado que el uso de los códigos cortos debe atender a lo dispuesto en el acto administrativo de asignación expedido por esta Comisión, el cual tiene en cuenta la justificación y

“Gratuito para el usuario”.

En este sentido, dado que el uso de los códigos cortos debe atender a lo dispuesto en el acto administrativo de asignación expedido por esta Comisión, el cual tiene en cuenta la justificación y propósito del recurso de identificación escogido por el solicitante, debe señalarse que el código corto objeto de la actuación administrativa fue asignado por la CRC a HABLAME para que a través de este se enviara información “para el usuario de sus productos y servicios con la compañía”.

De esta manera, HABLAME como asignatario del código corto 897400 debía asegurar que, a través de este, únicamente se enviaran (i) mensajes sobre los productos y servicios de los clientes de HABLAME y (ii) mensajes sobre los productos y servicios de HABLAME, por lo que, cualquier uso diferente al mencionado, implica que el uso no se realice conforme fue asignado.

De las pruebas que obran en el expediente, la CRC evidencia que a través del radicado 2022802816 del 25 de febrero de 2022, Bancolombia S.A. manifiesta que se están enviando mensajes a su nombre, sin haber brindado autorización para ello, así: “ya que actualmente se están enviando SMS a nombre de Bancolombia para hacer Smishing y Phishing e intentos de fraude desde los códigos cortos que se anexan a continuación, éstos no solo infringen el derecho de autor, marcas registradas y otros derechos de propiedad intelectual de Bancolombia, s ino que también podría alojar ataques de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros . se indica que este contenido NO ha sido autorizado por Bancolombia”.

Al no haber dado Bancolombia S.A. su autorización para el envío de mensajes a través del código

de phishing u otras estafas fraudulentas en contra de Bancolombia, sus clientes y terceros . se indica que este contenido NO ha sido autorizado por Bancolombia”.

Al no haber dado Bancolombia S.A. su autorización para el envío de mensajes a través del código corto 897400, se evidencia que a través del código corto se envían mensajes sobre productos y servicios de terceros que no son clientes de HABLAME. Así, para la CRC los mensajes que se envían en ningún caso hacen referencia a los productos y servicios de HABLAME, ni a productos ni a servicios de un cliente de HABLAME, sino a terceros que no han brindado su autorización para ello, como ocurre con la entidad financiera mencionada.

De lo anterior, se debe destacar que HABLAME no se pronunció respecto del inicio de la actuación administrativa para la recuperación del código corto 897400 , de m odo que, en ningún momento demostró que estaba autorizada para enviar mensajes a nombre de Bancolombia S.A. Para la CRC es evidente que, a la fecha, no existe una autorización expresa de la entidad financiera en mención para el envío de mensajes en comento y, por lo tanto, para la CRC no hay duda de que el uso del código corto asignado no se hace conforme a la justificación, propósito y descripción para el cual fue asignado en el año 2016.

2 En su momento HABLAME COLOMBIA LDI S.A.S. E.S.P. Según consta en el certificado de existencia y representación legal correspondiente, por Acta No. 3 del 31 de octubre de 2017 de Asamblea de Accionistas, inscrito en esta Cámara de Comercio el 7 de noviembre de 2017, con el No. 02273672 del Libro IX, la sociedad cambió su denominación o razón social de

el 7 de noviembre de 2017, con el No. 02273672 del Libro IX, la sociedad cambió su denominación o razón social de HABLAME COLOMBIA LDI SAS ESP a HABLAME COLOMBIA SAS ESP. Por Acta No. 06 del 4 de junio de 2018 de Asamblea de Accionistas, inscrito en esta Cámara de Comercio el 21 de junio de 2018, con el No. 02351219 del Libro IX, la sociedad cambió su denominación o razón social de HABLAME COLOMBIA SAS ESP a HABLAME COLOMBIA SA ESP. 3 Por la cual se asignan cuatro (38) códigos cortos para la provisión de contenidos y aplicaciones a través de SMS, MMS o USSD a la empresa HABLAME COLOMBIA S.A.S. E.S.P.”,Continuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 5 de 6

La CRC reitera que a través del código corto 897400 se envían mensajes sin autorización del sujeto interesado en su envío, circunstancia que desnaturaliza la finalidad, propósito y justificación para el cual fue asignado este tipo de recurso de identificación. Así, dado que conforme a la regulación basta con establecer que el uso dado al código corto por parte del asignatario es diferente al uso para el cual fue asignado el recurso de identificación , la causal de recuperación objeto de discusión establecida en el numeral 6.4.3.2.2 del artículo 6.4.3.2. del Título VI de la Resolución CRC 5050 de 2016, se encuentra comprobada.

No debe olvidarse que los PCA son los agentes responsables de la generación, producción y/o consolidación de los contenidos y aplicaciones que cursan a través de las redes, y los Integradores

2016, se encuentra comprobada.

No debe olvidarse que los PCA son los agentes responsables de la generación, producción y/o consolidación de los contenidos y aplicaciones que cursan a través de las redes, y los Integradores Tecnológicos, los responsables de la provisión de infraestructura de conexión y de soporte entre los PRST y los PCA sin conexión directa con los PRST. Sin embargo, todos los asignatarios de códigos cortos deben propender por su uso eficiente, así como cumplir las obligaciones dispuestas para el efecto en la regulación vigente, dentro de las cuales se encuentra la de garantizar que el uso del código corto se realice conforme a lo asignado.

2.2.2. Causal establecida en el numeral 6.4.3.2.8 del artículo 6.4.3.2. de la Resolución CRC 5050 de 2016.

Aun cuando la confi guración de la causal descrita en el numeral anterior, resulta suficiente para recuperar el código corto 897400, la CRC analizará la causal establecida en el numeral 6.4.3.2.8.4 del artículo 6.4.3.2. del Título VI de la Resolución CRC 5050 de 2016, así:

Para verificar la configuración de la causal mencionada, es necesario validar de un lado, que a través del código corto 897400 se envían mensajes a nombre de un tercero y de otro, que ese tercero -a nombre del cual se envían los mensajes de texto - no haya autorizado expresamente su envío o su contenido.

Teniendo en cuenta la información que obra en el expediente , específicamente el radicado 2022802816 del 25 de febrero de 2022, para la CRC no hay duda de que desde el código corto

contenido.

Teniendo en cuenta la información que obra en el expediente , específicamente el radicado 2022802816 del 25 de febrero de 2022, para la CRC no hay duda de que desde el código corto 897400 asignado a HABLAME se estaban enviando mensajes a nombre de Bancolombia S.A., sin contar con su autorización. No obstante, dado que dicha entidad financiera señaló que el día 22 de febrero de 2022, 20 usuarios habían reportado que habían recibido mensajes de texto a través del código corto 897400 , la CRC no encuentra oportuno efectuar la recuperación con fundamento en esta causal, ya que la misma fue incluida en la regulación el día 25 de febrero de 2022, a través de la Resolución CRC 6522 del mismo año. Así las cosas, para la época en que se enviaron los mensajes de texto esa causal no se encontraba vigente. 2.3 RESPECTO DE ASUNTOS DE CONOCIMIENTO DE OTRAS ENTIDADES DEL ESTADO El artículo 19 de la Ley 1581 de 2012 establece que le corresponde a la Superintendencia de Industria y Comercio (SIC), a través de la Delegatura para la Protección de Datos Personales, ejercer la función de vigilancia para garantizar que en el tratamiento de los datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la ley. Aunado lo anterior, el literal b, del artículo 21 de la misma Ley señala que la SIC, debe adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Así las cosas, teniendo en cuenta que dentro del presente trámite administrativo se puso en evidencia

investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Así las cosas, teniendo en cuenta que dentro del presente trámite administrativo se puso en evidencia el manejo de información protegida por las reglas contenidas en la Ley 1581 de 2012, Habeas Data, esta Comisión en cumplimiento de lo ordenado en el CPACA remitirá la presente resolución, así como el expediente administrativo correspondiente a esa entidad, para que, de considerarlo procedente, adelante las actuaciones a que haya lugar dentro del ámbito de sus competencias. Así mismo, y dado que a través del código corto que recupera, al parecer se presentaron presuntos ataques de phishing que recibieron algunos usuarios del servicio de telefonía móvil, la CRC procederá

4 6.4.3.2.8. Cuando a través de esta numeración se envíen mensajes en nombre de terceros que no hayan autorizado expresamente y por escrito su envío o su contenidoContinuación de la Resolución No. 6633 de 16 de mayo de 2022 Hoja No. 6 de 6

a remitir la presente Resolució n, así como el expediente administrativo mencionado, a la Fiscalía General de la Nación, para lo de su competencia. En el mérito de lo anterior,

RESUELVE

ARTÍCULO 1. Recuperar el código corto 897400 que había sido asignado a HABLAME COLOMBIA S.A. E.S.P. para la provisión de contenidos y aplicaciones , por lo expuesto en el numeral 2.2.1 de la presente resolución.

ARTÍCULO 2. Remitir copia de la presente resolución, así como del expediente de la actuación

S.A. E.S.P. para la provisión de contenidos y aplicaciones , por lo expuesto en el numeral 2.2.1 de la presente resolución.

ARTÍCULO 2. Remitir copia de la presente resolución, así como del expediente de la actuación administrativa a la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, para lo de su competencia.

ARTÍCULO 3. Remitir copia de la presente resolución, así como del expediente de la actuación administrativa a la Fiscalía General de la Nación, para lo de su competencia.

ARTÍCULO 4. Notificar por medios electrónicos la presente Resolución al representante legal de HABLAME COLOMBIA S.A. E.S.P. o a quien haga sus veces , advirtiéndole que contra la misma procede el recurso de reposición, que debe interponerse dentro de los diez (10) días siguientes a su notificación.

Dada en Bogotá D.C. a los 16 días del mes de mayo de 2022

NOTIFÍQUESE Y CÚMPLASE

MARIANA SARMIENTO ARGÜELLO

Coordinadora de Relacionamiento con Agentes

Radicado: 2022200872, 2022802816 y 2022506541

Tramite ID: 2549

Elaborado por: Diego Alejandro Ramírez E.

Revisado por: Adriana Barbosa