SIC - Resolución 31232 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO 31232 DE 2025

(26 de mayo de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 22-303528

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO PRIMERO: Que, mediante queja 1 interpuesta ante esta Superintendencia con número de radicado 22 -303528-0 del 3 de agosto de 2022, el señor XXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía número XXXXXXXXX, informó a este Despacho que, presuntamente el día 28 de julio de 2022, la sociedad CREDIBANCOOP S.A.S (en adelante CREDIBANCOOP), había consultado su historia de crédito ante el Operador de Información EXPERIAN COLOMBIA S.A., sin contar con una finalidad legítima o la autorización previa, expresa del Titular de la información.

SEGUNDO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 13 de diciembre del 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 78308, por medio de la cual se formuló

advierte la presunta violación de las normas sobre protección de datos personales, el 13 de diciembre del 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 78308, por medio de la cual se formuló un cargo a la sociedad CREDIBANCOOP S.A.S, identificada con el NIT. 901.355.368-7 por el presunto incumplimiento de las disposiciones contenidas en (i) El numeral 1 del artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.

TERCERO: Que la Resolución N .° 78308 del 13 de diciembre del 2024, le fue notificada a la investigada de forma electrónica el 13 de diciembre del 2024, conforme a la certificación expedida por la Secretaría General de esta Superintendencia con radicado 22-303528- -31 del 24 de diciembre del 2024.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa. Así mismo la referida actuación le fue comunicada al denunciante.

CUARTO: Que, por conducto de su Representante Legal, encontrándose dentro del término establecido para el efecto, mediante comunicación radicada bajo el número 22-303528-32 del 30 de diciembre del 2024, presentó los respectivos descargos,

manifestado que:

• Indicó que fueron víctimas por parte de personas que usaron la plataforma de EXPERIAN COLOMBIA S.A. para realizar consultas de

manifestado que:

• Indicó que fueron víctimas por parte de personas que usaron la plataforma de EXPERIAN COLOMBIA S.A. para realizar consultas de

1 Expediente Digital 22303528 Consecutivo número 0. Pág. 1

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 16

historiales crediticios, razón por la cual, cancelaron el contrato con dicho Operador de Información.

• Afirmó que CREDIBANCOOP S.A.S es un outsourcing que gestiona créditos para entidades financieras, y que obtuvieron el plan con EXPERIAN COLOMBIA S.A. para ser más eficiente en el proceso y lo realizaban con la autorización del Titular.

QUINTO: Que, a través de la Resolución N.º 14114 del 21 de marzo del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 22-303528, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas incorporadas se relacionan a continuación:

5.1 Queja presentada por el titular ante esta Superintendencia, radicada con el número 22-303528-0 del día 3 de agosto de 2022.2

5.2 Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. , radicado con el número 22-303528-5 del día 23 de agosto del 2022.3

5.2 Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. , radicado con el número 22-303528-5 del día 23 de agosto del 2022.3

5.3 Complemento de información radicado con el número 22 -303528-7 del día 24 de agosto del 2022.4

5.4 Complemento de información por parte de EXPERIAN DE COLOMBIA S.A., radicado con el número 22 -303528-8 del día 24 de agosto del 2022.5

5.5 Comunicación dirigida al Titular radicado con el número 22-303528-9 del día 24 de agosto del 2022.6

5.6 Requerimiento de información a terceros radicado con el número 22303528-10 del día 24 de agosto del 2022.7

5.7 Complemento de información por parte de EXPERIAN DE COLOMBIA S.A., radicado con el número 22 -303528-12 del día 25 de agosto del 2022.8

5.8 Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A., radicada con el número 22303528-13 del día 31 de agosto del 2022.9

5.9 Comunicación dirigida a EXPERIAN DE COLOMBIA S.A., radicada con el número 22-303528-14 del día 31 de agosto del 2022.10

5.10 Respuesta a prórroga solicitada por EXPERIAN DE COLOMBIA S.A. , radicada con el número 22-303528-15 del día 31 de agosto del 2022.11

5.10 Respuesta a prórroga solicitada por EXPERIAN DE COLOMBIA S.A. , radicada con el número 22-303528-15 del día 31 de agosto del 2022.11

2 Expediente digital 22-303528, consecutivo 0, página 1 y 2 3 Expediente digital 22-303528, consecutivo 5, página 1 y 2 4 Expediente digital 22-303528, consecutivo 7, página 2 5 Expediente digital 22-303528, consecutivo 8, página 2 6 Expediente digital 22-303528, consecutivo 9, página 2 folios 1 al 4 7 Expediente digital 22-303528, consecutivo 10, página 2 8 Expediente digital 22-303528, consecutivo 12, página 1 9 Expediente digital 22-303528, consecutivo 13, página 2 folios 1 al 3 10 Expediente digital 22-303528, consecutivo 14, página 2 folios 1 al 2 11 Expediente digital 22-303528, consecutivo 15, página 2RESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 16

5.11 Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A. , radicada con el número 22-303528-17 del día 6 de septiembre del 2022.12

5.12 Acta de visita de inspección radicada con el número 22-303528-19 del día 12 de octubre del 2022.13

5.13 Complemento de información allegado por parte de CREDIBANCOOP

5.12 Acta de visita de inspección radicada con el número 22-303528-19 del día 12 de octubre del 2022.13

5.13 Complemento de información allegado por parte de CREDIBANCOOP S.A.S, radicado con el número 22 -303528-20 del día 24 de agosto del 2022.14

5.14 Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A. , radicado con el número 22-303528-21 del día 25 de octubre del 2022.15

5.15 Acta de evidencias digitales 22-303528-23 del día 31 de octubre del 2022.16

5.16 Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A. , radicada con el número 22-303528-24 del día 6 de septiembre del 2022.17

5.17 Informe de visita administrativa realizada a CREDIBANCOOP S.A.S., radicada con el número 22-303528-25 del día 26 de noviembre del 2024. 18

5.18 Escrito de descargos del 27 de diciembre de 2024 con radicado 22303528- -00032.19

5.18.1 Estados financieros de CREDIBANCOOP S.A.S. 20

SEXTO: Que la Resolución N.º 14114 del 21 de marzo del 2025 le fue comunicada el mismo día a la sociedad CREDIBANCOOP S.A.S, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-303528- -36 de 26 de marzo del 2025.

el mismo día a la sociedad CREDIBANCOOP S.A.S, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-303528- -36 de 26 de marzo del 2025.

SÉPTIMO: Que, por conducto de su Representante Legal, encontrándose dentro del término establecido para el efecto, mediante comunicación radicada bajo el número 22-303528-37 del 8 de abril del 2025, presentó los respectivos alegatos, reiterando lo dicho en los descargos, adicionado lo siguiente:

• Indicó que cuentan con las Autorizaciones para realizar consultas, manifestó que la autorización se solicita mediante el diligenciamiento de un formato, ya sea de manera presencial o virtual a través de link o reconocimiento facial.

• Así mismo, reconocen que fue un error teniendo en cuenta que las consultas se realizaban a solicitud de asesores comerciales externos, que presumían que las consultas eran solicitadas contando la autorización respectiva del usuario.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio

12 Expediente digital 22-303528, consecutivo 17, página 3 folios 1 al 8 13 Expediente digital 22-303528, consecutivo 19, página 1 14 Expediente digital 22-303528, consecutivo 20, páginas 1 al 6 15 Expediente digital 22-303528, consecutivo 21, página 2 16 Expediente digital 22-303528, consecutivo 23, página 1 al 23 17 Expediente digital 22-303528, consecutivo 24, página 3 folios 1 al 4 18 Expediente digital 22-303528, consecutivo 25, página 4 folios 1 al 70

17 Expediente digital 22-303528, consecutivo 24, página 3 folios 1 al 4 18 Expediente digital 22-303528, consecutivo 25, página 4 folios 1 al 70 19 Expediente digital, consecutivo 32 20 Expediente digital, consecutivo 32, página 2, 3, 4 y 5.RESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 16

El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

NOVENO Análisis del caso

9.1 Adecuación típica

La Corte Constitucional en Sentencia C -1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio:

“(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable [207] a partir de la aplicación de otras normas jurídicas; (ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la

normativo o sea determinable [207] a partir de la aplicación de otras normas jurídicas; (ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica. En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)”21.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los Usuarios de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. (ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de el numeral 1 del artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta

artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente.

9.2 Valoración probatoria y conclusiones

21Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19)RESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 16

9.2.1. Respecto del deber de acceder a la información personal del Titular contenida en bancos de datos de información crediticia de servicios bajo una finalidad legítima o en su defecto que el Titular de forma particular haya autorizado La Ley 1266 de 2008, en su artículo 9, señala los deberes de los usuarios de la información. En el numeral 1 de dicho artículo se establece que los usuarios deben guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada. Dicho deber está relacionado con los principios de finalidad y de confidencialidad, ya que la administración de los datos personales no solamente deber estar en concordancia

información únicamente para los fines para los que le fue entregada. Dicho deber está relacionado con los principios de finalidad y de confidencialidad, ya que la administración de los datos personales no solamente deber estar en concordancia con una finalidad legitima según la Ley 1266 de 2008, sino que la misma debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización. Adicionalmente, cuando los datos no gozan de la calidad de ser públicos, toda persona que intervenga en el proceso de administración debe guardar reserva en el manejo de los mismos, pudiendo solo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la mencionada Ley.

Lo anterior, en concordancia con el artículo 15 de la misma normatividad, el cual determina que el acceso a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países solo podrá ser accedida por parte de los usuarios:

“[c]omo elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente.

Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.”

Al respecto, la Corte Constitucional en sentencia C 1011 del 2008 ha precisado, en relación con los principios mencionados que:

cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.”

Al respecto, la Corte Constitucional en sentencia C 1011 del 2008 ha precisado, en relación con los principios mencionados que:

“(…) De acuerdo con el principio de finalidad, las actividades de acopio, procesamiento y divulgación de la información personal deben obedecer a un fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma clara, suficiente y previa. Es to implica que quede prohibida (i) la recopilación de información personal sin que se establezca el objetivo de su incorporación a la base de datos; y (ii) la recolección, procesamiento y divulgación de información personal para un propósito diferente al inicialmente previsto y autorizado por el titular del dato. (…) El principio de circulaci ón restringida implica que las actividades de recolección, procesamiento y divulgación de información personal estén sometidas a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad. Por lo tanto, queda prohibida la divulgación indiscriminada de datos personales.”

Así las cosas, esta Dirección evidenció que la sociedad CREDIBANCOOP S.A.S presuntamente incumplió con el deber de acceder a la información personal del Titular contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, conforme a las finalidades establecidas en la Ley, o en su defecto, respecto de a quellas que el Titular de forma particular haya autorizado, conforme a la Resolución N.º 78308 del 13 de diciembre del 2024, sustentada en las siguientes consideraciones:

finalidades establecidas en la Ley, o en su defecto, respecto de a quellas que el Titular de forma particular haya autorizado, conforme a la Resolución N.º 78308 del 13 de diciembre del 2024, sustentada en las siguientes consideraciones: “(…)En el caso bajo estudio mediante radicado 22 -303528-0, se determinó que el titular XXXXXXXXXXXXXXXXXXXXXXX informó laRESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 16

fecha específica en la que se realizó la consulta, esto es el 28 de julio de 2022, fecha que coincide con la evidencia proporcionada por EXPERIAN, mediante radicado 22-303528-17. “(…) para el mes de julio de 2022, en la imagen se observa que CREDIBANCOOP, si realizo la consulta. (ver imagen 3)”

Imagen 12 “historia de crédito del titular XXXXXXXXXXXXXXXXXXXXXXX, (…) desde el 1° y hasta el 30 de julio de 2022, encontrando lo siguiente

Imagen 2. Expediente Digital 22303528 Consecutivo número 17. Pág. 5 Aunado a lo anterior, durante la visita administrativa, la Dirección encontró que, presuntamente, CREDIBANCOOP consultó la historia de crédito de XXXXXXXXXXXXXXXXXXXXXXXX sin una finalidad legítima ni la autorización del titular para tal fin. Además, se determinó que existen múltiples consultas adicionales sin contar con la debida autorización (ver imagen 9-10)

La finalidad de llevar a cabo la búsqueda consistía en revisar las comunicaciones de XXXXXXXXXXXXXXXXXXXXXXXXX, asesora

múltiples consultas adicionales sin contar con la debida autorización (ver imagen 9-10)

La finalidad de llevar a cabo la búsqueda consistía en revisar las comunicaciones de XXXXXXXXXXXXXXXXXXXXXXXXX, asesora comercial externa de CREDIBANCOOP. En las pruebas encontradas durante la inspección, se encontraron conversaciones entre CREDIBANCOOP y XXXXXXXXXXXXXXXXXXXXXXXXX, se evidencia que esta última solicitó la consulta de los siguientes números de cédula con sus apellidos: “ XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXX”. Siguiendo la línea de tiempo, la asesora de Credibancoop indicó que fueron “veintiséis (26) consultas en total realizadas”.

En la conversación analizadas por la Dirección, no se encuentran autorizaciones por parte de los titulares para realizar la consulta en las bases de datos de los operadores de información, además de lo anterior, se encontró una transferencia realizada desd e la cuenta terminada en 5733 a la cuenta de ahorros 516 -883992-82, perteneciente a la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX en su calidad de asesora comercial y plataforma de CREDIBANCOOP.

De acuerdo con lo indagado por la Dirección, presuntamente estas transferencias están relacionadas con los servicios de las consultas solicitadas por XXXXXXXXXXXXXXXXXXXXXXXX.

En esta revisión de la evidencia se encuentra la misma información que la encontrada durante la revisión del teléfono celular en el que se usa la red social WhatsApp.RESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 16

En este orden de ideas, de acuerdo con lo establecido en el artículo 15 de la Ley 1266 de 2008, es claro que los Usuarios sólo podrán acceder a la

“Por la cual se impone una sanción administrativa”

Página 7 de 16

En este orden de ideas, de acuerdo con lo establecido en el artículo 15 de la Ley 1266 de 2008, es claro que los Usuarios sólo podrán acceder a la información financiera o crediticia de los Titulares de la información para ciertos propósitos específicos, l os cuales incluyen: (i) como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza; (ii) la evaluación de los riesgos derivados de una relación contractual vigente; (iii) como elemento de análisis para h acer estudios de mercado; y (iv) para adelantar cualquier trámite ante una autoridad pública. Por lo tanto, para cualquier otra finalidad diferente a las mencionadas, es necesario contar con la autorización del Titular de la información.

De conformidad con lo indicado, esta Dirección establece de manera presuntiva que la sociedad CREDIBANCOOP S.A.S no cumplió con su deber, en calidad de Usuario de la Información, de utilizar la información únicamente para los fines para los que le fue entregada, según los términos de la Ley 1266 de 2008.

Esto se fundamenta en que, el 28 de julio de 2022 consultó el historial crediticio de señor XXXXXXXXXXXXXXXXXXXXXXXXX, sin presuntamente (i) acreditar una de las finalidades legítimas dispuestas en el artículo 15 de la Ley 1266 de 2008, o en su defecto, (ii) contar con la autorización del Titular. Esta conducta preliminarmente se subsume típicamente en una presunta trans gresión del deber consagrado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la mencionada Ley.”

típicamente en una presunta trans gresión del deber consagrado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la mencionada Ley.”

Ahora bien, en cuanto al acervo probatorio, se encuentra lo siguiente:

En la queja interpuesta por el denunciante, este asevera, que el día 28 de julio de 2022, LA INVESTIGADA realizó una consulta a su historia de crédito, sin tener la autorización para tal fin. Con fundamento en la anterior afirmación, el Grupo de Investigaciones Administrativas de esta Dirección con el fin de recolectar elementos de prueba suficientes, mediante oficio número 22-303528-5, se requirió al operador EXPERIAN DE COLOMBIA S.A . en donde se le solicitó si la sociedad CREDIBANCOOP S.A.S había realizado consulta(s) en la historia de crédito del Titular XXXXXXXXXXXXXXXXXXXXX, en el mes de julio de 2022. Ante dicho requerimiento, EXPERIAN COLOMBIA S.A. , mediante comunicación del 6 de septiembre de 2022, radicada con el número 22-30352817, señaló lo siguiente : “(…) Sobre el particular, nos permitimos informar que la mencionada sociedad consultó el historial crediticio del titular XXXXXXXXXXXXXXXXXX el 6 de julio de 2022, bajo la huella de consulta CREDIBANCOOP. (…)” Ahora bien, LA INVESTIGADA mediante escrito descargos, manifestó “(…)en cuanto a las Autorizaciones para llevar cabo dicha consulta, como lo manifestamos en la entrevista y pudieron corroborar estas se solicitan y se llena un formato, ya sea de manera presencial o virtual a través de link o

cuanto a las Autorizaciones para llevar cabo dicha consulta, como lo manifestamos en la entrevista y pudieron corroborar estas se solicitan y se llena un formato, ya sea de manera presencial o virtual a través de link o reconocimiento facial. NO obstante, como también pudo evidenciarse, y es un error que reconocemos (el cual corregimos una vez así nos lo hicieron saber) ” 22

Es importante resaltar que la sociedad CREDIBANCOOP S.A.S no allegó autorización para realizar la consulta del 6 de julio del 2022 en el historial crediticio del Titular , de igual modo, no demostró contar co n una finalidad prevista en la Ley que lo faculte para realizar la consulta.

Así las cosas, este Despacho al no contar con material que pruebe lo contrario, puede concluir que LA INVESTIGADA consultó la historia de crédito de la titular sin contar con su autorización, y sin tener una finalidad legal para ello, de

22 Expediente digital 22-303528, consecutivo 32, página 1RESOLUCIÓN NÚMERO 31232 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 16

conformidad con lo establecido en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley

Frente a este aspecto, la Corte Constitucional mediante sentencia C - 1011 del 2008, manifestó lo siguiente:

“Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer la información de un client e potencial específico, a fin de celebrar contratos también definidos. A su vez, ese cliente

sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral. Es decir, los usuarios del dato personal están interesados en conocer la información de un client e potencial específico, a fin de celebrar contratos también definidos. A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que ha motivado que la entidad o empresa correspondiente r ealice una investigación sobre su historial de cumplimiento. Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes interesadas en el perfeccionamiento del contrato futuro”. (Subrayado fuera del texto original).

Este pronunciamiento, destaca que la consulta de la historia de crédito por parte de un usuario de información , debe basarse en una actividad contractual de carácter bilateral.

Quiere decir entonces que no basta con la voluntad de la empresa de realizar la venta de bienes y/o prestación de sus servicios, sino que es necesaria también la determinación del cliente de contratar los bienes y servicios ofertados. Con base en esta volu ntad mutua, es que LA INVESTIGADA puede hacer la investigación correspondiente y consultar la información de crédito.

Partiendo de lo señalado por la Corte y de la propia alegación de la Titular, quien en su queja manifiesta que desconoce a la sociedad CREDIBANCOOP S.A.S y que NO tiene ninguna relación comercial y/o contractual con ésta, no existe justificación para que haya decidido realizar la consulta efectuada a la historia de crédito del Titular el 6 de julio del 2022 ante Experian Colombia.

Así las cosas, se evidencia el incumplimiento de la investigada del deber de utilizar la información únicamente para los fines para los que le fue entregada,

de crédito del Titular el 6 de julio del 2022 ante Experian Colombia.

Así las cosas, se evidencia el incumplimiento de la investigada del deber de utilizar la información únicamente para los fines para los que le fue entregada, razón por la cual se impondrá la sanción administrativa correspondiente.

DÉCIMO: Imposición y graduación de la sanción

10.1 Facultad sancionatoria

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 23. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado

23 Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros pa íses previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la impos ición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación

subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones. Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.”RESOLUCIÓN NÚMERO 31232 DE 2025

“