Decisión 43198 de 2020 — SIC

REPÚBLICA DE COLOMBIA (30 de Julio) VERSIÓN PÙBLICA Radicación 17-358407 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y por el numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 69438 de 4 de diciembre de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la copropiedad CONJUNTO RESIDENCIAL HACIENDA PEÑALISA OCOBO PH identificada con Nit. 900.945.169-6, de VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHENTA PESOS M/cte ($24.843.480), equivalentes a TREINTA (30) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber establecido en de [sic] i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y;

ARTÍCULO SEGUNDO: Ordenar a la copropiedad CONJUNTO RESIDENCIAL HACIENDA PEÑALISA OCOBO PH identificada con Nit. 900.945.169-6, la [sic] siguiente: • • La copropiedad HACIENDA PEÑALISA, deberá ajustar y poner a disposición de los titulares [sic] una Política de tratamiento [sic] de Datos, con el cumplimiento de los requisitos establecidos el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 se 2015.

La copropiedad HACIENDA PEÑALISA deberá establecer ajustar todos los documentos que hacen relación al cumplimiento de los deberes establecidos Por un error de transcripción en la Resolución No. 69438 de 4 de diciembre de 2019, se hizo referencia al inciso primero del artículo 2.2.2.25.2.2, siendo lo correcto, el inciso primero del artículo 2.2.2.25.2.6.

Esto se corrige de acuerdo con lo establecido en el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo: “Artículo 45. Corrección de errores formales. En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras.

En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto. Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según corresponda”. RESOLUCIÓN NÚMERO 43198 DE 2020 • VERSIÓN PÙBLICA de la Ley 1581 de 2012, actualizando lo relacionado al [sic] Decreto 1377 de 2013 teniendo en cuenta que el mismo fue derogado y compilado por el Decreto Único Reglamentario 1074 de 2015.

La copropiedad HACIENDA PEÑALISA deberá adoptar un manual interno de políticas y procedimientos, en especial el (i) Manual de políticas de seguridad; (ii) Manual de procedimientos para la recolección, uso, circulación y supresión del dato [sic] y; (iii) Manual interno o procedimiento para la atención de peticiones, quejas, consultas y reclamos, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)( ) con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares [sic] de los datos [sic] personales.

( )”

SEGUNDO. Que mediante escrito 17-358407-36 de 26 de diciembre de 2019, el CONJUNTO RESIDENCIAL HACIENDA PEÑALISA OCOBO (en adelante, la recurrente), presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 69438 de 4 de diciembre de 2019, con fundamento en los siguientes argumentos: “( ) 1. Los hechos que originaron la presentación de la queja formal interpuesta por el señor GABRIEL PEREZ CHAPARRO, por incumplimiento a lo establecido en: i. el literal b del artículo 17 de la ley [sic] 1581 de 2012 en concordancia con el literal c del artículo 4 y el artículo 9 de la misma norma, así como con el enciso [sic] primero del artículo 2.2.2.25.2.2 del decreto [sic] único [sic] reglamentario [sic]1074 de 2015, conducta que al traste origina de parte de Súper [sic] Intendencia [sic] de Industria y Comercio, una sanción económica, vale la pena que sea de nuevo valorada en varios aportes probatorios, que con el debido respeto, indican que la conducta increpada a la “Copropiedad Hacienda Peñaliza [sic] Ocobo”, pudo ser premeditada por parte del quejoso, toda vez que si tenemos en cuenta las calidades y conocimientos previos del tema, es viable establecer, que si bien es cierto que la “copropiedad” no pudo aportar el documento soporte de la autorización [sic] escrita pertinente suscrita con el señor Pérez Chaparro, para el manejo de datos [sic], el operador judicial debe apreciar de nuevo: i. el señor Pérez Chaparro actuó en calidad de copropietario y miembro del Consejo de Administración, es decir, no como agente particular, nunca se desligó de las obligaciones contraídas en el reglamento de propiedad horizontal; ii. la información referida a los datos [sic] personales fueron entregados a la copropiedad por la persona jurídica Constructora Bolívar como empresa que comercializó y adelantó el proyecto de Hacienda Peñaliza [sic] Ocobos, y fue precisamente esa información la que reposa en las oficinas de administración del Conjunto [sic]; iii. esa información nunca ha sido sujeta de cualquier utilización más allá de ser destinataria de informes y demás aspectos que la copropiedad debe desarrollar en función de su desarrollo normativo orientado en la Ley 675 de 2001, como lo son el de respeto por la dignidad humana, debido proceso, entre otros. 2.

Para la copropiedad es un hecho demostrado la no elaboración y suscripción de un documento bajo el cual el quejoso haya autorizado el uso de sus datos [sic], por lo tanto no resulta oportuno establecer algún tipo de argumentación al respecto, sin embargo es bueno recordar la “queja” interpuesta por el señor Pérez Chaparro se da luego de una serie de acontecimientos internos donde dicha persona en calidad de propietario y de miembro de Consejo [sic], se vio involucrado en acciones que RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA terminaron en estrados judiciales de “denuncias penales”, de las cuales existe evidencia según noticia criminal del [sic] 05 [sic] de junio de 2017 en la fiscalía de Girardot, documento que hace parte del expediente), al igual que el acta de conciliación suscrita con fecha 27 de junio de 2018, documento igualmente aportado al proceso.

Lo anterior podría originar que si bien existe una falencia del Conjunto [sic] en la suscripción de un documento con el señor Pérez Chaparro, la actuación del quejoso se haya producido después de dicha conciliación, siendo conocedor de la ausencia de firma en la autorización [sic], tema que como miembro del Consejo [sic] debió proponer en las diferentes intervenciones que ha tenido en asambleas generales en los últimos años.

Con lo anterior planteamos que es importante que luego de haber establecido que los datos [sic] utilizados por el Conjunto [sic] nunca han generado ningún tipo de perjuicio material o moral al quejoso, que solo se trató de una utilización para asuntos internos de la copropiedad, temas que importan solo a los copropietarios y que fueron suministrados a través de una aplicación contratada por el Conjunto [sic] con los componentes normativos de protección de datos [sic], pues no hay que olvidar que la copropiedad si ha venido implementado los documentos, políticas y reglamentos de la ley [sic] 1581 d3 [sic] 2012.

Sobre las sanciones interpuestas mediante la resolución [sic] 69438 del [sic] 04 [sic] de diciembre de 2019, causa de los presentes recursos, queremos pedir al operador que consideramos totalmente elevada el montos [sic] de las mismas, púes [sic] de una parte se califica la “falta de diligencia” en lo establecido por la norma omitida en la respectiva queja, y de otra se tipifica la “negligencia” frente a la misma norma, lo que representa una doble sanción frente al mismo hecho generador de la acción, pues al tenor del artículo 24 de la citada norma, los hechos del quejoso no demostraron que se hayan puesto en peligro los intereses jurídicos titulados [sic], ni que se haya causado un daño material o moral al señor Pérez Chaparro, ni que se haya obtenido algún beneficio económico para el Conjunto [sic] ( )”.

Finalmente, la investigada manifiesta que: a. El Conjunto Hacienda Peñalisa Ocobo no tiene ninguna actividad económica diferente al desarrollo de su objeto social de administrar la propiedad horizontal sin ánimo de lucro, destinada al uso de viviendas habitacionales para sus propietarios. b. No está sujeta al reporte de Bases de Datos a ningún ente gubernamental.

Pues, la información de los propietarios solo es usada para la difusión de los informes financieros y administrativos en las asambleas ordinarias o extraordinarias de propietarios, donde solo se circulan Datos de inmuebles morosos o temas puntuales al interior de la copropiedad. c. Los únicos Datos sensibles que el conjunto debe reportar, son los consignados en la información exógena que se presenta a la DIAN, en el marco de los pagos a proveedores y contratistas por año fiscal. d. La copropiedad viene trabajando en los ajustes de las políticas, documentos y manuales, que hacen parte del desarrollo de la norma invocada. e. El presupuesto de la copropiedad para el año fiscal 2019 no contempla en ninguno de sus ítems reservas para el pago de sanciones y/o multas de cualquier índole.

Petición En virtud de lo anterior, la recurrente solicita que se levante o dosifique la sanción impuesta por medio de la Resolución No. 69438 de 4 de diciembre de 2019. Y, que se otorgue la facilidad de suscribir un acuerdo de pagos para cubrir la sanción, en razón a que no cuenta con el flujo de caja para efectuar el pago. Asimismo, solicita tener en cuenta que el valor de la sanción sería incluido en el presupuesto para la vigencia 2020, bien como aporte llevado a la cuota ordinaria o como cuota extraordinaria a pedir en el mediano plazo.

RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA TERCERO. Que a través de la Resolución No. 26212 de 4 de junio de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto; concedió la apelación; y modificó el artículo primero del acto administrativo No. 69438 de 4 de diciembre de 2019, el cual quedó así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la copropiedad CONJUNTO RESIDENCIAL HACIENDA PEÑALISA OCOBO identificada con Nit. 900.945.169-6, de VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($24.843.480.oo) [sic], equivalente [sic] 697,713371 Unidades de Valor Tributario (UVT), por violación a lo dispuesto en: (i) (ii) El literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y;

El literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. ( )”

CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 69438 de 4 de diciembre de 2019, se procede a resolver el recurso de apelación interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”

2. LA RECURRENTE NO PROBÓ TENER LA AUTORIZACIÓN PREVIA, EXPRESA E INFORMADA DEL TITULAR DEL DATO PERSONAL La recurrente manifiesta en el escrito bajo estudio que, “( ) la conducta increpada a la “Copropiedad Hacienda Peñaliza [sic] Ocobo”, pudo ser premeditada por parte del quejoso, toda vez que si tenemos en cuenta las calidades y conocimientos previos del tema, es viable Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA establecer, que si bien es cierto que la “copropiedad” no pudo aportar el documento soporte de la autorización [sic] escrita pertinente suscrita con el señor Pérez Chaparro, para el manejo de datos [sic], el operador judicial debe apreciar de nuevo ( )”. Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” Nótese que la regulación sobre protección de datos impone al Responsable del Tratamiento la carga probatoria de acreditar la autorización del Titular del Datos. Es necesario tener presente que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012” 3 y en el Decreto 1377 de 2013.

La obtención de la Autorización puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 del Decreto 1377 de 2013 (Incorporado en el Decreto 1074 de 2015), incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.

De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización”4, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular”5. Reiteramos que la Autorización puede obtenerse utilizando diversos mecanismos o procedimientos, pero es estrictamente necesario tener la prueba de la Autorización individual y concreta de todos y cada uno de los Titulares cuyos datos se recolectan, usan o tratan.

Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Cfr. Artículo 26 del Decreto 1377 de 2013. Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Es preciso resaltar que la regulación sobre datos personales impone cargas probatorias en cabeza de los Responsables del Tratamiento como, entre otras, las siguientes: a) Conservar prueba de haber informado al titular, al momento de solicitarle la autorización, de manera clara y expresa lo que ordena el artículo 12 de la Ley 1581 de 2012 y, cuando el Titular lo solicite, entregarle copia de de ello6 b) “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”7. c) “Proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso”8 d) “Documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate”9. e) “Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas”10 f) “Conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven”11 g) Adoptar “las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento”12.

En suma, al Responsable del Tratamiento le corresponde establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. Analizados nuevamente todos los documentos se evidenció que la investigada no contaba con la Autorización legal exigida por parte del Titular, para tratar sus Datos personales.

De esta manera, bajo ninguna circunstancia le es dable a la recurrente endilgarle sus responsabilidades legales al quejoso. En otras palabras, la recurrente no acreditó la prueba de la autorización del titular del dato personal. Por tanto, la Resolución recurrida se ajusta a derecho.

3. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Cfr. Parágrafo del artículo 12 de la Ley 1581 de 2012. Cfr. Literal (b) del artículo 17 de la Ley 1581 de 2012 y artículo 8 del Decreto 1377 de 2013 “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

Cfr. Artículo 4 del Decreto 1377 de 2013. Cfr. Artículo 11 del Decreto 1377 de 2013. Cfr. Artículo 13 del Decreto 1377 de 2013. Cfr. Artículo 16 del Decreto 1377 de 2013. Cfr. Artículo 22 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 2313, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”14, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del ius punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”15 En el mismo sentido, y en relación con los principios16 señalados, dicha corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. La potestad sancionadora la definió Santi Romano como, “(…) el poder jurídico para imponer decisiones a otros para el cumplimiento de un fin.

La potestad entraña, así, un poder otorgado por el ordenamiento jurídico de alcance limitado o medido para una finalidad predeterminada por la propia norma que la atribuye, y susceptible de control por los tribunales. La potestad no supone, en ningún caso, un poder de acción libre, según la voluntad de quien lo ejerce, sino un poder limitado y controlable.

Dentro de las potestades, las de la Administración Pública son potestades-función, que se caracterizan por ejercerse en interés de otro, esto es, no de quien la ejerce, sino del interés público o general”. Cosculluela Montaner, Luis. Manual de Derecho Administrativo, tomo I, 17ª ed., Madrid, Thomson Civitas, 2006, p. 336. Corte Constitucional.

Sentencia C-748 de 2011. “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018.

RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA “En la doctrina17 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explícita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta18), de proporcionalidad o el denominado non bis in idem”.

Ahora, al hacer referencia al Principio de Legalidad en materia de protección del Derecho de Habeas Data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”19. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”20. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011 consideró: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas.

Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. Corte Constitucional. Sentencia C-406 de 2004. Corte Constitucional. Sentencias C-1161 de 2000. RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio.

Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el Derecho Fundamental de Habeas Data. Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

4. DIMENSIÓN DEL DAÑO O PELIGRO A LOS INTERESES JURÍDICOS TUTELADOS Causar un daño no es un requisito jurídico para que la SIC pueda imponer multas o impartir órdenes. Acá no estamos frente a un proceso de responsabilidad civil para indemnizar perjuicios sino ante una actuación administrativa para establecer si se cumplió o no la regulación sobre tratamiento de dato personales.

Es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio dentro del marco legal vigente y observando el debido proceso. Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la transgresión, “( ) del deber establecido en de [sic] i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4 así como el artículo 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015”. Asimismo, cuando afirma que, “( ) los hechos del quejoso no demostraron que se hayan puesto en peligro los intereses jurídicos titulados, ni que se haya causado un daño material o moral al señor Pérez Chaparro, ni que se haya obtenido algún beneficio económico para el Conjunto [sic] ( )”, se reitera que con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a Conjunto Residencial Hacienda Peñalisa Ocobo.

El cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional. Este Despacho no comparte la anterior apreciación de la recurrente porque la misma trata de restarle importancia no solo a los Derechos Humanos sino a las situaciones particulares de algunas personas como en este asunto.

RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA En suma, este Despacho no comparte que la recurrente demerite los derechos que tiene el Titular a exigir que sus Datos Personales sean tratados con sumo cuidado.

5. DECISIONES DE LA ADMINISTRACIÓN. PROPORCIONALIDAD Y DOSIFICACIÓN DE LA SANCIÓN. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis de la puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

En segundo lugar, es claro que la Resolución No. 69438 de 4 de diciembre de 2019 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, la ley ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012.

En cuarto lugar, resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa equivalente a treinta (30) salarios mínimos legales mensuales vigentes, lo cual representa porcentualmente al 1,5 % del límite legal de dos mil (2.000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

Se insiste que, la vulneración del derecho de la protección de datos no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Resulta entonces que, se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental21 a la Protección de Datos22. El Derecho Fundamental a la Protección de Datos Personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia24. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las pretensiones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.

6. SOBRE LAS PRETENSIONES DEL RECURSO BAJO ESTUDIO La recurrente solicita que se gradúe la sanción impuesta, y se otorgue la facilidad de suscribir un acuerdo de pago para cubrir el monto de la sanción. En relación a lo anterior, tal y como quedó expresado en el acto administrativo que resolvió el recurso de reposición interpuesto, la Dirección de Investigación de Protección de Datos Personales realizó en su momento, el análisis requerido para la aplicación del artículo 24 de la Ley 1581 de 2012.

Ahora, en cuanto a la solicitud de suscripción de un acuerdo de pago y dado que la decisión será confirmada en su totalidad, el expediente pasará a cargo del Grupo de Trabajo de Cobro Coactivo de esta autoridad para tal fin.

7. RESPONSABILIDAD PERSONALES DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS Según el artículo 22 de la Ley 222 de 199525 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA El artículo 2426 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”27.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. En virtud de lo expuesto, se exhortará al representante legal de Conjunto Residencial Hacienda Peñalisa Ocobo, para que adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.

Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales.. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de Conjunto Residencial Hacienda Peñalisa Ocobo por, las siguientes razones: 1.

La investigada reconoció abiertamente que no hubo suscripción de la Autorización de Tratamiento de Datos por parte del quejoso. 2. Se confirmó que la recurrente infringió el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma. Así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y; el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4.

Así como el artículo 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 3. Al momento de imponer la sanción, al igual que al realizar el análisis del recurso interpuesto, se estudió la conducta omisiva de la recurrente, frente al artículo 24 de la Ley 1581 de 2012. Razón por la cual, la sanción resulta proporcional y ajustada a derecho en virtud de que la investigada no ha sido reincidente en su actuación. 4.

La recurrente tampoco reconoció o aceptó expresamente su infracción antes de la imposición de la sanción, razón por la cual no es procedente reducir el monto de la multa impuesta ni dar aplicación a lo ordenado en el literal f) del artículo 24 de la Ley 1581 de 2012. Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200.

Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.

Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará la Resolución recurrida.

Para efectos de la notificación se procederá conforme lo ordena el artículo 428 del Decreto Legislativo 491 del 28 de marzo de 2020. En mérito de lo expuesto, este Despacho,

RESUELVE

PRIMERO. Confirmar en todas sus partes la Resolución No. 69438 de 4 de diciembre de 2019, de acuerdo con la modificación realizada por el Acto Administrativo No. 26212 de 4 de junio de 2020, el cual modificó el artículo primero del acto recurrido en los siguiente términos: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la copropiedad CONJUNTO RESIDENCIAL HACIENDA PEÑALISA OCOBO identificada con Nit. 900.945.169-6, de VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($24.843.480.oo) [sic], equivalente [sic] 697,713371 Unidades de Valor Tributario (UVT), por violación a lo dispuesto en: (iii) (iv) El literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y;

ARTÍCULO SEGUNDO: CONFIRMAR en sus demás partes la Resolución No. 69438 de 4 de diciembre de 2019, por las razones expuestas en la parte motiva de este acto administrativo. ( )”

SEGUNDO. Exhortar al Representante Legal del Conjunto Residencial Hacienda Peñalisa Ocobo, señor Jorge Aranza Restrepo identificado con la Cédula de Ciudadanía No. 10.276.434, para que adopte las medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Respetar y garantizar los derechos de los Titulares de los Datos; El artículo 4 del Decreto Legislativo 491 de 2020 ordena lo siguiente: "Notificación o comunicación de actos administrativos.

Hasta tanto permanezca vigente la Emergencia Sanitaria declarada por el Ministerio de Salud y Protección Social, la notificación o comunicación de los actos administrativos se hará por medios electrónicos. Para el efecto en todo trámite, proceso o procedimiento que se inicie será obligatorio indicar la dirección electrónica para recibir notificaciones, y con la sola radicación se entenderá que se ha dado la autorización. En relación con las actuaciones administrativas que se encuentren en curso a la expedición del presente Decreto, los administrados deberán indicar a la autoridad competente la dirección electrónica en la cual recibirán notificaciones o comunicaciones." RESOLUCIÓN NÚMERO 43198 DE 2020 VERSIÓN PÙBLICA 2.

Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales..

TERCERO. Notificar personalmente el contenido de la presente resolución al Conjunto Residencial Hacienda Peñalisa Ocobo, identificada con Nit. 900.945.169-6, a través de su representante legal o apoderado, entregándole copia de la misma.

CUARTO. Comunicar el contenido de la presente resolución al señor Gabriel Pérez Chaparro identificado con la Cédula de Ciudadanía No. 79.519.144, a través de su representante legal o apoderado, entregándole copia de la misma.

QUINTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE, COMUNÌQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 de Julio de 2020 El Superintendente Delegado para la Protección de Datos Personales, CGC RESOLUCIÓN NÚMERO 43198 DE 2020 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Municipio: Correo electrónico: Conjunto Residencial Hacienda Peñalisa Ocobo Nit. 900.945.169-6 Jorge Aranza Restrepo C.C. 10.276.434 Carrera 11 No. 13-11, zona urbana del Municipio de Ricaurte (Cundinamarca) Ricaurte (Cundinamarca) conjuntoocoboph@gmail.com Comunicación Reclamante Señor: Identificación: Dirección: Ciudad: Correo electrónico: Gabriel Pérez Chaparro C.C. 79.519.144 Carrera 72 K. No. 40-50 Sur Casa 40 Bogotá gabrielperezch69@gmail.com; aplicativosifone@yahoo.com.ar VERSIÓN PÙBLICA

Resolución sancionatoria N° 43198 de 2020

CONSIDERANDO

RESUELVE