En este caso, la SIC recordó que, como lo ha manifestado la Corte Constitucional, el derecho de hábeas data otorga al Titular la facultad de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo cual, los Responsables y Encargados del tratamiento de la información deben implementar mecanismos que le permitan al titular acceder en cualquier momento a su información.
Para la SIC, este deber fue violado por el BANCO POPULAR S.A en el momento en que el denunciante manifestó expresamente al Banco que no autorizaba el uso de sus datos personales para el envío de información promocional y solicitó la remoción de las listas y/o bases de datos de sus campañas comerciales, pero la sociedad investigada continuó enviándole este tipo de información y no demostró haber suprimido los datos.
Acerca del deber de tramitar las peticiones y reclamos presentados por los titulares, la SIC manifestó que, cuando los titulares presenten un reclamo ante el Responsable y/o Encargado del tratamiento para que su información sea objeto de corrección, actualización o supresión, el Responsable y/o Encargado contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo del mismo, plazo que podrá prorrogarse por el término de ocho (8) días hábiles más, previa comunicación al reclamante. Así mismo, recordó que este deber constituye un desarrollo del derecho fundamental de petición de los reclamantes, contenido en el artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data.
Este deber, según la SIC, fue incumplido por la sociedad investigada al no atender la solicitud realizada por el titular sin dilaciones ni atrasos y, especialmente, de manera completa y de fondo, ya que continuó más de diez (10) meses almacenando sus datos personales en bases de datos o listas para finalidades de envío de información comercial.
La SIC graduó la sanción teniendo en cuenta que el BANCO POPULAR S.A realiza el tratamiento de datos personales en calidad de Responsable de más de 1.085.486 clientes (sin contar trabajadores, proveedores, etc), lo que implica que debe ser extremadamente diligente y garantizar la efectividad real, no formal, de los derechos de los Titulares de los datos personales.
Por lo anterior, la SIC resolvió:
- IMPONER una sanción pecuniaria a la sociedad BANCO POPULAR S.A. de DOSCIENTOS SESENTA Y NUEVE MILLONES CUARENTA Y SEIS MIL CUATROCIENTOS NOVENTA Y DOS PESOS ($269.046.492) por violación a las normas de Protección de Datos Personales.
- ADVERTIR a la sociedad BANCO POPULAR S.A. que, en su condición de Responsable del tratamiento tiene el deber de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
- EXHORTAR al representante legal de la sociedad BANCO POPULAR S.A. para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de evitar que se repitan hechos como los que dieron origen a la presente investigación, respetar y garantizar los derechos de los titulares de los datos, cumplir las disposiciones legales, aplicar el principio de responsabilidad demostrada y hacer efectivo el pleno respeto del derecho fundamental de hábeas data.
Este documento es un resumen de la decisión adoptada por la SIC. No contiene opiniones, apreciaciones, valoraciones subjetivas o comentarios de la Firma con respecto a la decisión. Su publicación no implica aprobación o desaprobación frente a la decisión, y se realiza únicamente con fines académicos.