(18 FEBRERO 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Radicación: 19-250517 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, el numeral 8 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante Resolución N°. 71102 de 05 de noviembre de 2021 1, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la empresa INVERSIONES E2 S.A.S., identificada con NIT. 900.731.430-5, de SEIS MILLONES TRESCIENTOS NOVENTA MIL DOSCIENTOS OCHO PESOS M/CTE ($6.390.208) correspondiente a 176 Unidades de Valor Tributario Vigentes (UVT), por la violación de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la norma en mención.
SEGUNDO: Que, mediante escrito bajo el radicado N°.19-250517-23 de 23 de noviembre de 2021 a través de apoderado especial, la sociedad INVERSIONES E2 S.A.S. interpuso recurso de reposición y en subsidio de apelación2 contra la Resolución N°. 71102 de 05 de noviembre de 2021, con los siguientes argumentos: 2.1. En primer lugar, la sociedad alegó de manera preliminar que solicita revocar la decisión: “(…) proferida mediante la RESOLUCIÓN NÚMERO 71102 DE 2021 del 05 NOVIEMBRE 2021 (…)”3. 2.2.
En segundo lugar, la sociedad investigada señaló como parte de sus motivos de inconformidad que su objeto social corresponde a lo siguiente: “(…) la compra, venta y administración de bienes inmuebles”. Como consecuencia de lo anterior, manifestó que: “(…) es lógico, [que] en este tipo de operaciones, no hay lugar a la manipulación de datos sensibles de las personas, atendiendo a su definición en el artículo 5 de la ley 1581 de 2012 (…)”.
Adicionalmente, indicó que: “(…) es importante recalcar que desde el 12 de octubre de 2016, la sociedad INVERSIONES E2 S.A.S., ha elaborado y adoptado una Política de Protección de datos personales, con la cual ha cumplido de manera fiel y constante, que además, fue aportada en la respectiva oportunidad procesal para ser tenida en cuenta durante el proceso (…)”4. 2.3.
En tercer lugar, la sociedad recurrente argumentó que: “(…) Siguiendo este orden de ideas, en el 02 de marzo de 2020, se elaboró y puso en vigencia el MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES DE INVERSIONES E2 SAS, el cual, fue cumplido de manera integral y cabal por la sociedad, partiendo de las actualizaciones normativas que respecto al tema de datos personales se han suscitado en nuestra legislación. De manera que la gestión de implementar, documentar y monitorear una política de seguridad de la información que tuviera medidas técnicas, humanas y administrativas para otorgar la seguridad de los datos personales evitando su adulteración, perdida, consulta, uso o acceso no autorizado fraudulento ya se había hecho desde el 2016, sin embargo en aras de darle un 1 Recuperado de: radicado N°. 2021071102RE0000000001.
Páginas 1 a 15. 2 Recuperado de radicado N°. 19250517—0002300005. Páginas 1 a 7. 3 Recuperado de radicado N°. 19250517—0002300005. Páginas 3 y 4. 4 Recuperado de: radicado N°. 19250517—0002300005. Página 4. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” cumplimiento mucho más efectivo a estas disposiciones, se implementó partir del 2020 el nuevo manual que se menciona (…)”5. 2.4.
En cuarto lugar, la sociedad investigada indicó que: “(…) Lo anterior se complementa, con el hecho de que nunca, en el transcurso de su trayectoria profesional ni comercial, la sociedad INVERSIONES E2 S.A.S., se había visto involucrada en un asunto investigativo, en relación a estos temas; muy por el contrario, goza de una excelente reputación en su gremio, y no se han presentado, nisiquiera (sic) quejas mínimas respecto al manejo de los datos que pudiese llegar a almacenar mi mandante como sociedad (…)”6. 2.5.
En quinto lugar, la sociedad investigada manifestó que acorde con lo señalado en la ley 1581 de 2012: “(…) efectivamente se dio cumplimiento a lo ordenado por este Despacho, en la resolución N°. 61054 del 6 de noviembre de 2019, y como prueba de ello se aportó en su momento, la política de Protección de Datos Personales que data del 2016, y el posterior MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES DE INVERSIONES E2 SAS.
Por lo tanto, no puede hablarse de un incumplimiento ante la disposición expresada, cuando se ha verificado el cumplimiento de lo mandado por la representada ha sido renuente a los requerimientos de la Superintendencia (…)”7. 2.6. Finalmente, la sociedad investigada concluyó: “(…) En estos términos, dejo presentado y sustentado el recurso de reposición y en subsidio de apelación contra la RESOLUCIÓN NÚMERO 71102 DE 2021 del 05 NOVIEMBRE 2021 (…)”8.
TERCERO Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
CUARTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por el apoderado de la recurrente se encuentra que los mismos se concretan en dos aspectos, a saber: (i) Acerca del presunto cumplimiento de la orden administrativa y (ii) Frente a las pretensiones.
4.1. ACERCA DEL PRESUNTO CUMPLIMIENTO DE LA ORDEN ADMINISTRATIVA Sobre este punto, sociedad recurrente indica que su objeto social corresponde a lo siguiente: “(…) la compra, venta y administración de bienes inmuebles (…)”. Como consecuencia de lo anterior, manifestó que “es lógico, [que] en este tipo de operaciones, no hay lugar a la manipulación de datos sensibles de las personas, atendiendo a su definición en el artículo 5 de la ley 1581 de 2012”.
En este punto, se hace necesario explicar el concepto de datos sensibles para claridad de la recurrente. Acorde con el artículo 5 de la Ley 1581 de 2012, un dato sensible es aquél que: “ (…) afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos ( )9” 5 Recuperado de: radicado N°. 19250517—0002300005.
Páginas 4 y 5. 6 Recuperado de: radicado N°. 19250517—0002300005. Página 5. 7 Recuperado de: radicado N°. 19250517—0002300005. Página 6. 8 Ibídem. 9 Artículo 5 de la Ley 1581 de 2012. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Respecto de lo anterior, este Despacho cuestiona una vez más que al momento de que la sociedad recurrente registró su información en el Registro Nacional de Bases de Datos – RNBD, la misma indicó que en sus bases de datos y archivos existen datos sensibles.
Por ello, no entiende esta Dirección por qué la recurrente vuelve a manifestar que no lo hace, cuando a través de todo el expediente está demostrado precisamente que la misma si trata datos sensibles de acuerdo con la información manifestada. Aunado a lo anterior, no obra en el expediente ni fue aportado con el escrito de recurso material probatorio que soporte las afirmaciones esgrimidas por la sociedad recurrente.
Adicionalmente, indicó que: “(…) es importante recalcar que desde el 12 de octubre de 2016, la sociedad INVERSIONES E2 S.A.S., ha elaborado y adoptado una Política de Protección de datos personales, con la cual ha cumplido de manera fiel y constante, que además, fue aportada en la respectiva oportunidad procesal para ser tenida en cuenta durante el proceso (…)”10.
En tercer lugar, la sociedad recurrente argumentó que: “(…) Siguiendo este orden de ideas, en el 02 de marzo de 2020, se elaboró y puso en vigencia el MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES DE INVERSIONES E2 SAS, el cual, fue cumplido de manera integral y cabal por la sociedad, partiendo de las actualizaciones normativas que respecto al tema de datos personales se han suscitado en nuestra legislación. De manera que la gestión de implementar, documentar y monitorear una política de seguridad de la información que tuviera medidas técnicas, humanas y administrativas para otorgar la seguridad de los datos personales evitando su adulteración, perdida, consulta, uso o acceso no autorizado fraudulento ya se había hecho desde el 2016, sin embargo en aras de darle un cumplimiento mucho más efectivo a estas disposiciones, se implementó partir del 2020 el nuevo manual que se menciona (…)”11.
En cuarto lugar, la sociedad investigada indicó que: “(…) Lo anterior se complementa, con el hecho de que nunca, en el transcurso de su trayectoria profesional ni comercial, la sociedad INVERSIONES E2 S.A.S., se había visto involucrada en un asunto investigativo, en relación a estos temas; muy por el contrario, goza de una excelente reputación en su gremio, y no se han presentado, nisiquiera (sic) quejas mínimas respecto al manejo de los datos que pudiese llegar a almacenar mi mandante como sociedad.
(…)”12. En quinto lugar, la sociedad investigada manifestó que acorde con lo señalado en la ley 1581 de 2012: “(…) efectivamente se dio cumplimiento a lo ordenado por este Despacho, en la resolución N°. 61054 del 6 de noviembre de 2019, y como prueba de ello se aportó en su momento, la política de Protección de Datos Personales que data del 2016, y el posterior MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES DE INVERSIONES E2 S.A.S. Por lo tanto, no puede hablarse de un incumplimiento ante la disposición expresada, cuando se ha verificado el cumplimiento de lo mandado por la Superintendencia de Industria y Comercio, y en ningún momento puede decirse que mi representada ha sido renuente a los requerimientos de la Superintendencia (…)”13.
Ahora bien, sin perjuicio de todo lo anterior, la sociedad recurrente señala que ha dado cumplimiento a la Resolución N°. 61054 del 6 de noviembre de 2019 por haber desarrollado Manuales Internos y Políticas que presuntamente darían cumplimiento a dicha resolución. Sin embargo, una vez analizadas las pruebas aportadas por la sociedad recurrente en el este expediente, esta Dirección no evidencia ningún documento que acredite esas medidas internas en la empresa.
De hecho, tampoco aportó la certificación suscrita por el representante legal. En torno al cumplimiento de la certificación que acredite la efectiva implementación de los manuales y documentos solicitados por este Despacho a través de la Resolución N°. 61054 del 6 de noviembre del 2019, esta Dirección se permite traer a colación el concepto de Responsabilidad Demostrada, así: Como fue indicado en la Resolución N°. 28378 del 11 de mayo de 2021: “(…) en aras de demostrar el cumplimiento del principio de responsabilidad demostrada, no basta con que los procesos o documentos estén elaborados y dispuestos para consulta y aceptación de los empleados de la Cámara de Comercio de Bogotá, como lo quiere hacer ver el recurrente.
El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la 10 Recuperado de: radicado N°. 19250517—0002300005. Página 4. 11 Recuperado de: radicado N°. 19250517—0002300005. Páginas 4 y 5. 12 Recuperado de: radicado N°. 19250517—0002300005. Página 5. 13 Recuperado de: radicado N°. 19250517—0002300005.
Página 6. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”.
Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.
Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.
Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, así como el Encargado del Tratamiento demuestre que dentro de su organización se cuenta con (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;
(ii) Un programa corporativo que tenga controles efectivos, que responde al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión ara lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.
Sin embargo, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría (como se demostró en la resolución recurrida), sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la recurrente sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.
(…)” Así las cosas, el hecho de que la sociedad no haya suministrado la certificación de cumplimiento indica que la misma no tiene implementado el principio de responsabilidad demostrada. En otras palabras, no hay elementos probatorios que permitan tener la certeza de que la sociedad recurrente si cumplió con lo exigido en la Resolución N°. 61054 del 6 de noviembre de 2019.
Al contrario, lo que queda claro es que INVERSIONES E2 S.A.S. hizo caso omiso a las órdenes e instrucciones previstas en dicho acto administrativo y no atendió las fechas dispuestas para evitar la multa como en este expediente. De todas formas, el Despacho se permite recordar el análisis de la Resolución N°. 71102 del 05 de noviembre de 2021 mediante el cual se contempló lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad INVERSIONES E2 S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de datos que contengan datos sensibles.
ARTÍCULO SEGUNDO: La sociedad INVERSIONES E2 S.A.S. deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo. PÁRÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad INVERSIONES E2 S.A.S. que acredite que se han implementado las medidas ordenadas.” (…) 10.2 Respecto del deber de atender los requerimientos de la autoridad de protección de datos personales El artículo 17 de la Ley 1581 de 2012 señala los deberes que le asiste a los Responsables del tratamiento de información, entre otros, establece lo siguiente: “Artículo 17 de la Ley 1581 de 2012: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.
En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 1968, por el cual se creó la funciones de vigilancia y control de acuerdo con las normas vigentes que le corresponden. De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Política de 1991 y, en este caso particular, en la Ley 1581 de 2012.
En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos. Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. Adicionalmente, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.
Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.
Ahora bien, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.
Así las cosas, esta Ley faculta a esta Dirección a exigir de los Responsables del Tratamiento los deberes que estos deben cumplir de conformidad con el artículo 17 de la Ley en cita. De esta manera, se reitera que la sociedad INVERSIONES E2 S.A.S., debe, de una parte, acatar las órdenes impartidas por esta Superintendencia y, de otra, demostrar el cumplimiento de los deberes a los que se encuentra obligada por ser Responsable del Tratamiento de Datos Personales.
Teniendo en cuenta lo anterior, esta Dirección encontró que la presente investigación administrativa se inició por medio de la Resolución N°. 2494 del 28 de enero de 2021 en la medida en que la sociedad investigada presuntamente incumplió la obligación de documentar, implementar y monitorear una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, así mismo de reforzar las medidas de HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” seguridad haciéndolas especiales y más robustas respecto de las bases de datos que contengan datos sensibles y aportar a esta Dirección la certificación suscrita por el Representante Legal de la sociedad INVERSIONES E2 S.A.S. que acredite que se han implementado las medidas ordenadas En cuanto a lo anterior, la sociedad investigada manifestó lo siguiente: “(…)1.
El 07 de noviembre de 2019 recibimos mediante resolución No. 61054 del 06 de noviembre de 2019, la misma tenía un plazo de seis (06) meses en donde la persona responsable tenía la tarea de mejorar la política de protección de datos personales ya existente en su momento desde el día Doce (12) de octubre de Dos Mil Dieciséis (2016). 2. Sin embargo por temas de la pandemia, la mayoría de nuestro personal salió y 2 personas quedaron a cargo de la operación (sic) total, para poder sacar la a flote utilizando el menor recurso posible, razón por la cual la certificación que debía ser enviada a ustedes en donde se acreditaba que ya contábamos (sic) con una politica (sic) documentada que teniamos (sic) en cuenta para la protección de datos personales, que igualmente había sido robustecida el día Dos (02) de marzo de Dos Mil Veinte (2020) y se aclaraba que no manejabamos (sic) información de datos sensibles, no fue enviada en el plazo ordenado.
(…)” A continuación, afirmó que: Frente al tema de datos sensibles, hubo un error en el momento del diligenciamiento del formulario toda vez que nuestro objeto social es la compra, venta y administración de bienes inmuebles y en nuestra actividad no manejamos ninguna información de esta índole, entendiendo que la misma se define en el artículo 5 de la ley 1581 de 2012 “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.”, lo anterior teniendo en cuenta que nuestra actividad tal como consta en el Registro Único Tributario no se basa en la manipulación de dicha información para ningún proceso en la empresa (…)” Por último, solicitó lo siguiente: “(…) Teniendo en cuenta lo anterior solicitamos poder corregir el formulario diligenciado toda vez que, por un error humano al momento de su diligenciamiento, estamos identificados con bases de datos que contiene datos sensibles sin que esto se ajuste a la realidad.
(…)” Ahora bien, en relación con el acervo probatorio, esta Dirección encuentra lo siguiente: (i) Este Despacho impartió una orden administrativa a la sociedad INVERSIONES E2 S.A.S., mediante Resolución N°. 61054 del 6 de noviembre de 2019, la cual fue notificada, el día 19 de noviembre del 2019 mediante Aviso No. 25763, de acuerdo con la certificación de fecha 27 de noviembre de 2019 expedida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 19250517- -6.
(ii) Que el término que tenía la investigada para interponer los recursos de ley vencía el 3 de diciembre del 2019, de modo que la Resolución en cuestión quedó en firme a partir del 7 de diciembre del 2019. (iii) Así las cosas, teniendo en cuenta que se le otorgó a la investigada un plazo máximo de seis (6) meses, a partir de la ejecutoria de la Resolución N°. 61054 del 6 de noviembre de 2019 para dar cumplimiento a la misma, es claro que dicho plazo culminaba el 7 de junio de 2020.
(iv) Que vencido dicho plazo, sin que la investigada acreditara el cumplimiento de la orden impartida mediante la Resolución N°. 61054 del 6 de noviembre de 2019, se le abrió investigación y en consecuencia se le formuló cargo único mediante la Resolución N°. 2494 del 28 de enero de 2021. (v) Que la investigada guardó silencio frente a las oportunidades procesales brindadas para que se pronunciara sobre los hechos materia de investigación, evidenciándose de esta forma el incumplimiento a lo ordenado por este Despacho.
Así las cosas, este Despacho evidencia que la sociedad investigada incumplió con el deber señalado en el literal o) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la norma en mención, al no cumplir con la orden impartida por esta Superintendencia dentro del término dada por ésta misma, respecto al cargue de información en el Registro Nacional de Bases de Datos (RNBD).
De conformidad con la ley 1581 de 2012 es un deber del Responsable de garantizar que la información que se encuentra almacenada en su base de datos se maneje con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su alteración, pérdida, consulta, uso o acceso no autorizado o fraudulento por lo que resulta indispensable el imperativo de que dichas medidas se encuentren documentadas en un manual de políticas y procedimientos a cargo del responsable del tratamiento.
Así, en la medida en que los argumentos HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” expuestos por la investigada durante la investigación administrativa no son de recibo por parte de este Despacho para desvirtuar el cargo único formulado y los cuales serán analizados a continuación, esta Dirección la conminará para que dé estricto cumplimiento a la orden impartida a través de la Resolución N°. 61054 del 06 de noviembre de 2019, dentro de los tres (3) días siguientes a la notificación del presente acto administrativo, so pena de que esta Superintendencia aplique lo establecido en el artículo 90 de la ley 1437 de 2011 (CPACA), la cual establece: “(…)
ARTÍCULO
90. EJECUCIÓN EN CASO DE RENUENCIA. Sin perjuicio de lo dispuesto en leyes especiales, cuando un acto administrativo imponga una obligación no dineraria a un particular y este se resistiere a cumplirla, la autoridad que expidió el acto le impondrá multas sucesivas mientras permanezca en rebeldía, concediéndole plazos razonables para que cumpla lo ordenado.
Las multas podrán oscilar entre uno (1) y quinientos (500) salarios mínimos mensuales legales vigentes y serán impuestas con criterios de razonabilidad y proporcionalidad. La administración podrá realizar directamente o contratar la ejecución material de los actos que corresponden al particular renuente, caso en el cual se le imputarán los gastos en que aquella incurra.
(…)” Así las cosas, está probado el actuar negligente por parte de la sociedad respecto de cumplir las instrucciones contenidas en la orden administrativa en el plazo concedido en la Resolución 61054 del 06 de noviembre de 2019, por esta razón, se impondrá la correspondiente sanción. No obstante lo anterior, dentro de la oportunidad para alegar de conclusión reiteró los argumentos expuestos dentro de la oportunidad para rendir descargos, adicionando lo siguiente: “(…) Igualmente queremos hacer constar que nunca hemos recibido por parte de los titulares de la información reclamación, queja o reclamo de ninguna índole en cuanto a protección de datos se refiere, información que hacemos contar a través de la certificación firmada por el contador, revisor fiscal y representante legal. 7.
Solicito comedidamente que se revise el registro nacional de base de datos No. 17-162790, en donde si bien se especifico (sic) que la información que se manejaba era sensible, se puede corroborar con la información en su momento aportada, que ninguna de la información reportada es sensible, ni tiene porque serla, toda vez que la actividad económica, objeto social de la empresa, no tiene ese tipo de recolección de datos. 8.
Asimismo, queremos significar que la empresa INVERSIONES E2 S.A.S. nunca antes a (sic)sido objeto de investigación por la Superintendencia de Industria y Comercio. 9. Teniendo en cuenta lo anterior reiteramos la solicitud de que se corrija el formulario diligenciado toda vez que, por un error humano al momento de su diligenciamiento, estamos identificados con bases de datos que contiene datos sensibles sin que esto se ajuste a la realidad.
(…)” Sobre el particular, resulta imperioso resaltar que, tanto los responsables como los encargados del tratamiento de datos personales tienen la obligación de tener un manual interno de políticas y procedimientos en el que se expliquen claramente todos los parámetros y reglas que utilizará la organización para garantizar el correcto tratamiento de datos personales, en especial, aquellas medidas de seguridad tendientes a impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales.
Estas medidas se ajustan a lo siguiente: Las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos de acceso no autorizado o fraudulento por parte de terceros, que pueden hacer uso no autorizado de los datos personales de los titulares, los relativos a la falta de disponibilidad de la información y los que afecten la integridad de los datos personales.
Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Las medidas administrativas se refieren a la estructura jerárquica de la compañía, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo de la organización. Las medidas humanas se refieren a los métodos de capacitación del personal, para asegurar que este ponga en marcha todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales.
Dicho manual no debe confundirse con las Políticas de Tratamiento de la Información, las cuales deben contener como mínimo lo siguiente: (…) HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (i) Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del responsable del tratamiento de los datos.
(ii) Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad. (iii) Derechos que tiene el titular de la información. (iv) Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y/o revocar la autorización. (v) Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. (vi) Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.
Cualquier cambio sustancial en las políticas de tratamiento de datos personales debe ser comunicado oportunamente a los titulares de una manera eficiente, antes de implementar las nuevas políticas. Así las cosas, se le reitera a la sociedad INVERSIONES E2 S.A.S., que las Políticas de Seguridad de la Información no solo son independientes a las Políticas de Tratamiento de la Información, sino que buscan impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales de los titulares de la información. Ahora bien, frente a la aclaración de la investigada, en la que sostiene que por negligencia de la parte administrativa de la compañía con ocasión de la pandemia no se dio cumplimiento oportuno a los requerimientos de este Despacho, pero la empresa alega que cumple con lo establecido en la Ley 1581 del 2012, es evidente no solamente su propia negligencia, sino el desajuste al interior de la compañía en materia de protección de datos personales.
Además, dichos argumentos no son de índole jurídico razón por la cual no son de recibo para este Despacho. De hecho, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.
Justamente, para claridad de la recurrente, esta Dirección actuó conforme a las reglas de la sana critica en la medida en que se concluyó, de manera lógica, y con base en los elementos probatorios que obran en el expediente. Sumado a esto, es importante advertir que la Superintendencia de Industria y Comercio administra el Registra Nacional de Bases de Datos – RNBD y es responsabilidad de los usuarios obligados a registrar su información hacerlo en debida forma.
Esto es, de manera completa y sin errores. De esta manera, se desvirtúan cada uno de las razones de derecho que a juicio de la recurrente le asiste. 4.2. FRENTE A LA PRETENSIÓN SUBSIDIARIA En el escrito del recurso, el apoderado de la recurrente solicita sea reducida la sanción con base en los argumentos por ella desarrollados. Dicho argumento se enmarca en la proporcionalidad de la sanción impuesta, por lo que esta Dirección le aclara a la investigada que al momento de proferir la Resolución N°. 71102 de 2021 tomó en cuenta los criterios dispuestos en el artículo 19 de la Ley 1581 de 2012, los cuales son: “ARTÍCULO
19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-0114 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.
Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso si se envió una comunicación al titular, pero esa comunicación no atendió los requisitos previstos en la Ley 1581 de 2012.
Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la entidad investigada vulneró la regla contenida en el deber legal señalado y contenido en el literal o) del artículo 17 de la Ley 1581 d 2012 en concordancia con el literal f) del artículo 21 de la misma ley.
Dicha vulneración se concretó al no dar cumplimiento con la orden administrativa proferida por este Despacho. Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.
Se analizó la dimensión del daño o peligro a los intereses jurídicos tutelados, teniendo en cuenta el tamaño de la empresa, sus ingresos patrimonio y en general su información financiera, determinando que para las vulneraciones especificas corresponde la suma de 176 Unidades de Valor Tributario. Por ende, es claro que al momento de imponer la sanción e impartir la orden administrativa se analizaron los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012, y para el caso en específico se encontró que, de los criterios agravantes de la sanción, el literal e) era aplicable al caso y que, en la medida en que no hubo reconocimiento de la infracción previa a la imposición de la sanción, el literal f) no fue tenido en cuenta.
Puntualmente, cabe recordarle al apoderado de la recurrente que la Ley 1581 de 2012 no estableció en el artículo 24 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Habeas Data. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.
Así las cosas, la multa impuesta a la sociedad INVERSIONES E2 S.A.S. fue de 176 Unidades de Valor Tributario Vigentes (UVT), lo cual porcentualmente corresponde al 0,35% del rango previsto por la Ley 1581 de 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. 14 Consejo de Estado, sentencia 25000-23-24-000-2002-00524-01.
Consejero de Ponente: Rafael E. Ostau de Lafont Pianeta HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.
QUINTO: CONCLUSIONES (i) Está Dirección evidenció que las inconsistencias alegadas que expone la recurrente no se configuran, ya que, se demostró que la sociedad INVERSIONES E2 S.A.S. sí trataba datos sensibles en sus bases de datos y archivos debido a sus propias afirmaciones. (ii) Sumado a esto, luego de la valoración de las pruebas en el expediente esta Dirección evidenció que la recurrente no aportó la certificación de cumplimiento suscrita por el representante legal exigida en la Resolución N°. 71102 de 05 de noviembre de 2021.
(iii) Por último, el desarrollo de la actuación administrativa que terminó con la expedición de la Resolución N°. 71102 de 05 de noviembre de 2021 se respetaron todas las garantías por lo que la sanción impuesta es legal y de ningún modo desproporcionada.
SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 15 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo. Con fundamento en lo anterior, este Despacho procederá a confirmar la Resolución N°. 71102 del 05 de noviembre del 2021.
SÉPTIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad INVERSIONES E2 S.A.S., con Número de Identificación Tributaria 900.731.430-5, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad rosaura.beltran@losreblujosdepati.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad INVERSIONES E2 S.A.S., identificada con número de Nit. 900.731.430-5, considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto, este Despacho 15 ARTÍCULO
80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N°. 71102 del 05 de noviembre del 2021, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad INVERSIONES E2 S.A.S. identificada con NIT. 900.731.430-5, a través de su representante legal y apoderado, entregándole copia de esta.
ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 18 FEBRERO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2022.02.18 14:58:27 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: BFPL Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante legal: Identificación: Correo electrónico: Dirección: Ciudad: INVERSIONES E2 S.A.S. NIT. 900.731.430-5 Diana Patricia Pérez Escobar C.C. N°. 1.144.028.843 rosaura.beltran@losreblujosdepati.com CL 5 # 46 - 83 LC 239 Cali, Valle del Cauca.
Apoderado: Identificación: Correo electrónico: Claudio Castrillón Zuluaga 1.053.791.706 claudiocastrillonz@gmail.com