(febrero 11 de 2022) Radicación 19-14447 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante la Resolución No. 22295 de 20 de abril de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., identificada el NIT 901.170.035 -4, de CUARENTA Y CUATRO MILLONES SEISCIENTOS CINCUENTA Y OCHO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($ 44.658.840), equivalente a (1.230) unidades de valor tributario vigentes UVT, por la vulneración del deber previsto en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.
( )"
SEGUNDO. Que mediante escrito radicado bajo el No. 19-14447-26-01 de 29 de abril de 2021, la sociedad GOELEGIDO S.A.S. (antes PIKAP S.A.S.) presentó recurso de reposición y en subisidio apelación en contra de la Resolución No. 22295 de 20 de abril de 2021.
TERCERO. Que mediante la Resolución No. 66733 de 14 de octubre de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por el recurrente, confirmando en todas sus partes la Resolución 22295 de 20 de abril de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.
CUARTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto contra la Resolución 22295 de 20 de abril de 2021. Con este propósito, iniciará con el resumen de los argumentos expuestos por la recurrente: 1.
“( ) en razón al reconocimiento o aceptación de la comisión de la infracción por parte de GOelegido, la SIC advirtió que reduciría la sanción, sin embargo y quizás por error, no aplicó la mencionada reducción: “En virtud de lo expuesto, se procederá a reducir la sanción impuesta en los cargos 1o y 2o por la vulneración al deber establecido en: (i) el literal (a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley en 615 UVT, razón por la cual la sanción por el cargo primero queda en VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a 615 unidades de valor tributario vigentes - UVT.
HOJA Nº (ii) el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, en 615 UVT, razón por la cual la sanción por el cargo segundo queda en VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a 615 unidades de valor tributario vigentes – UVT ( )” Dicho error se reiteró en la parte resolutiva toda vez que en el artículo 1 no se aplicó la reducción de la sanción cuyo otorgamiento había sido conferido por la SIC: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S.., identificada el NIT 901.170.035 -4, de CUARENTA Y CUATRO MILLONES SEISCIENTOS CINCUENTA Y OCHO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($ 44.658.840), equivalente a (1.230) unidades de valor tributario vigentes – UVT ( )” Solicitud: En consecuencia, se solicita la corrección de la resolución número 22295 de 2021 con el fin de efectivamente aplicar la reducción de la sanción sobre los cargos formulados a GOelegido. 2.
Con relación a la falta de supresión de los datos personales del reclamante a la cual se refiere la SIC en la consideración “NOVENA: Análisis del caso” quisiéramos reiterar que efectivamente GOelegido procedió a la efectiva supresión de los datos personales del reclamante de conformidad como se procurará aclarar en esta oportunidad: Sea lo primero mencionar que nuestra base de datos solo almacena información relativa al nombre, apellido, número de celular y correo electrónico de las personas que se registran como usuarios en la aplicación. La individualización de los usuarios se hace por consiguiente a partir del número de celular o correo electrónico para evitar homonimia.
A continuación, y como podrá constatar la SIC GOelegido no cuenta con datos personales del Señor Xxxxxxxxx Xxxxx en su base de datos y para tal efecto adjuntamos la correspondiente evidencia: De igual forma, y en línea con lo expuesto en la respuesta inicial del mes de junio de 2020 a la SIC, GOelegido por razones de seguridad no almacena ni tiene acceso a la información de la tarjeta de HOJA Nº De igual forma, y en línea con lo expuesto en la respuesta inicial del mes de junio de 2020 a la SIC, GOelegido por razones de seguridad no almacena ni tiene acceso a la información de la tarjeta de crédito de sus usuarios.
El enrolamiento del medio de pago se efectúa directamente en nuestra pasarela de pagos, KUSHKY, quien encripta la información de la tarjeta y solo conserva los registros de los logs de las transacciones que eventualmente se realicen. En todo caso, la pasarela tampoco tiene acceso a la información de la tarjeta de crédito. Adjuntamos certificación de la pasarela de pagos en la cual la SIC podrá constatar que tampoco se conserva información asociada al medio de pago que eventualmente hubiere registrado el reclamante.
Finalmente, GOelegido es consciente de las fallas presentadas en el presente caso, particularmente de las oportunidades de mejora que se identificaron durante el proceso de atención del requerimiento del reclamante de cara a la confirmación de la supresión de sus datos personales. No obstante, nuestro propósito en esta oportunidad es aclarar el hecho que no contamos con registros asociados a la información personal del señor Xxxxx.
En línea con lo anterior, queremos destacar que esta situación puntual no enmarca el proceder de GOelegido ni su regla general de conducta, la cual consiste en dar pleno cumplimiento a las normas que regulan su actividad. 3. GOelegido es consciente del error cometido en el presente caso, razón por la cual no solo aceptó los cargos, colaboró abiertamente durante el proceso administrativo, sino que además reforzó las medidas con el fin de evitar este tipo de situaciones.
Ahora bien, y sin perjuicio de lo mencionado en el PRIMER punto de este comunicado, respetuosamente quisiéramos solicitar a la SIC de cara a la graduación de la sanción considerar la realidad de GOelegido toda vez que una sanción del orden de CUARENTA Y CUATRO MILLONES SEISCIENTOS CINCUENTA Y OCHO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($44.658.840), equivalente a (1.230) unidades de valor tributario vigentes – UVT, luce particularmente desproporcionada en atención al tamaño y estado en el que se encuentra la compañía como emprendimiento.
La intención de GOelegido, se reitera, no es desconocer su responsabilidad frente a los cargos, sino que la sanción cumpla con el objetivo tutelado por la ley, incluso mencionado expresamente por la SIC en la parte motiva, cual no es otro que servir para fines disuasivos y no confiscatorios, efecto este último en que, creemos involuntariamente, termina convirtiéndose la sanción impuesta por la SIC.
( ) Solicitud: ( ) considerar el monto base de la sanción, teniendo en cuenta además que GOelgido se allanó a los cargos, colaboró abiertamente con la SIC y no obtuvo beneficio económico alguno derivado de los hechos objeto de la presente actuación administrativa”.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
HOJA Nº 8. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido). 2. POTESTAD SANCIONATORIA. PRINCIPIO DE PROPORCIONALIDAD. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”2. Sobre este particular, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.
De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados. En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.
Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.
Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.
De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada. Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional.
El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.
Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Por último se reitera que la implementación de medidas con posterioridad a la vulneración del derecho de habeas data no exoneran de la responsabilidad de cumplir todos y cada uno de los deberes establecidos en la Ley 1581 de 2012, y la multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz.
En segundo lugar, es claro que la Resolución No. 22295 del 20 de abril de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.
De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”3. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia4.
Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. No obstante lo anterior, una vez revisado el expediente y el contenido de la resolución recurrida se encuentra que la investigada no garantizó el pleno y efectivo ejercicio del derecho de habeas data del Titular de la información, toda vez que el 25 de diciembre de 2018 solicitó la supresión de sus Datos, y la sociedad durante el curso del proceso administrativo no acreditó la supresión de los Datos personales del señor Xxxx.
Así pues, se encuentra plenamente demostrado la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma norma. 3 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº Asimismo, tal como quedó demostrado en la resolución objeto del recurso bajo estudio y en el acto administrativo que resolvió el recurso de reposición, para la fecha de inspección, la compañía GOELEGIDO S.A.S. recolectaba Datos personales a través de los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor/ sin solicitar y conservar copia de la Autorización previa de los Titulares de la información de conformidad con lo establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.
Este punto quedó establecido de manera clara en la Resolución No. 22295 de 20 de abril de 2021: HOJA Nº Ahora, en cuanto a la graduación de la sanción la Resolución No. 66733 de 2021 consideró que se debía aclarar el artículo primero de la parte considerativa de la Resolución No. 22295 de 20 de abril de 2021 en los siguientes términos: HOJA Nº concede el recurso de apelación HOJA N 6, El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del día 17 de septiembre de 2002 y del día 11 de diciembre de 2020, reconoció la comisión de infracción al deber contemplado en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley, y lo dispuesto el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2..2.2.25.2.2. y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015, indicando expresamente:
1. ACEPTACIÓN DE LOS CARGOS FORMULADOS En primer lugar, GOelegido se permite por este medio en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012 aceptar los cargos formulados por la SIC en su contra. Posteriormente reiteró dicha aceptación de los cargos formulados en los siguientes términos: En atención a la resolución de la referencia por medio de la cual la Superintendencia de Industria y Comercio SIC corrió traslado a la sociedad GOelegido para rendir los alegatos respectivos, quisiéramos respetuosamente recordar que dicha sociedad, mediante radicado No. 19-1444715 del 17 de septiembre de 2020, en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012, aceptó expresamente los cargos formulados por la SIC en su contra.
No obstante lo anterior, en dicho comunicado nos permitimos presentar algunas aclaraciones que consideramos relevantes poner en conocimiento de la SIC en la presente actuación administrativa, frente a la cual reiteramos nuestra firme intención de colaboración. Finalmente, recibiremos notificaciones en el correo electrónico luis.miguel@goelegido.com En virtud de lo expuesto, se procederá a reducir la sanción impuesta en la mitad del monto inicialmente tasado por la vulneración los cargos primero y segundo, así: La multa impuesta por la sanción del literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 quedará en una suma de ONCE MILLONES CIENTO OCHENTA Y DOS MIL OCHOCIENTOS SESENTA Y CUATRO PESOS M/CTE ($ 11. 182.864) equivalente a 308 unidades de valor tributario vigentes - UVT.
La multa impuesta por la sanción del literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y artículo 9 de la Ley 1581 de 2012 quedará en una suma de, ONCE MILLONES CIENTO OCHENTA Y DOS MIL OCHOCIENTOS SESENTA Y CUATRO PESOS M/CTE ($ 11. 182.864) equivalente a 308 unidades de valor tributario vigentes UVT. ( ). 5.2 Efectiva supresión de los datos personales del Titular investigada en la sustentación del recurso, queLA por razones de seguridad no almacena 3.
DERECHO DEArgumenta LOS laTITULARES A SOLICITAR SUPRESIÓN DE SUS DATOS. DEBER ni tiene acceso a la información de la tarjeta de crédito de sus usuarios ya que el enrolamiento de DE RESPONDER DEBIDA Y OPORTUNAMENTE LOS RECLAMOS Y LAS CONSULTAS. medio de pagos KUSHKY encripta la información de la tarjeta y solo conserva los registros de los logs de las transacciones que se lleguen a realizar, por lo tanto, tampoco tiene acceso a la La Corte Constitucional ha de la tarjeta establecido que “el la siguiente derecho al habeas información de crédito y adjunta certificación. Veamos: data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos [sic] personales.
(…)5. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.
Dado lo anterior, este Despacho ha sido enfático en señalar que: 5 Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012). HOJA Nº “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos.
Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley. Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.” 6 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.
El Responsable y/o el Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley. La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales.
Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada. En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.
Este control, no sólo se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].
Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)7.
(Énfasis añadido) Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”8. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “ (…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.
En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del 6 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. 7 Sentencia C-748 de 2011.
Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 8 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012. HOJA Nº 10 Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización y/o supresión del dato [sic]”.
“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].
El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.
Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 20129 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.
Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado. Esto, se reitera, es censurable e inadmisible. En este caso en particular, la recurrente no solo desatendió las disposiciones legales que imponen la obligación de resolver la solicitud en el término legal establecido, sino que también vulneró indiscriminadamente el derecho del Titular, veamos algunas de las pruebas que reposan en el expediente (anexo de la queja inicial radicada bajo el No. 19-014447-00 de 23 de enero de 2019): a. El 24 de diciembre de 2018 el Titular de los Datos le solicitó a la investigada las instrucciones para eliminar la información de su tarjeta bancaria y la cuenta de pikap debido a que la aplicación no le daba la opción de supresión: 9 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” HOJA Nº 11 b. El 25 de diciembre de 2018 la investigada contestó lo siguiente: c. Frente a lo anterior el Titular de los Datos contestó: d. Al respecto, la investigada le informó al Titular de los Datos las opciones que tenía disponibles para la eliminación de su información personal: HOJA Nº 12 e. El Titular le informó a la investigada la opción que prefería para la eliminación de sus Datos: Al respecto, las opciones que le dio la investigada a al Titular de la información no atendían de ninguna manera la eliminación de sus Datos, toda vez que la respuesta se encaminó a entorpecer el pleno ejercicio del derecho de habeas data del Titular, cuya petición fue más que clara.
Igualmente, mediante el escrito radicado bajo el No. 19-14447-06-01 de 8 de junio de 2020 la investigada manifestó que por un error omitió certificar la supresión de la información del Titular: De igual manera la sociedad investigada adjuntó la siguiente certificación emitida por Kushki y que se adjuntó con la presentación del recurso bajo estudio: HOJA Nº 13 CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.
Los derechos de las personas deben garantizarse en la práctica. No respetar los derechos de los Titulares de los datos es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos humanos. 2. La recurrente no garantizó el pleno y efectivo ejercicio del derecho de habeas data del Titular de la información, toda vez que el 25 de diciembre de 2018 solicitó la supresión de sus Datos, y la sociedad durante el curso del proceso administrativo no acreditó la supresión de los Datos personales del señor Xxxxx. 3.
La Dirección de Investigación de Protección de Datos Personales disminuyó la sanción impuesta por los cargos formulados en atención a la realidad económica revelada en los estados financieros aportados por la investigada, por lo cual este Despacho se mantiene en esa decisión. 4. La multa impuesta, de acuerdo con la reducción de la sanción que hizo la Dirección de Investigación de Protección de Datos Personales mediante el acto administrativo No. 66733 de 2021, correspondiente a VEINTIDOS MILLONES TRESCIENTOS SESENTA Y CINCO MIL SETECIENTOS VEINTIOCHO PESOS M/CTE ($ 22.365.728), equivale al 1.23% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012)..
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 22295 de 20 de abril de 2021. HOJA Nº 14 En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR la Resolución No. 22295 de 20 de abril de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo, y de acuerdo con lo establecido en el ARTÍCULO PRIMERO de la Resolución No. 66733 de 14 de octubre de 2021.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la compañía GOELEGIDO S.A.S. identificada con Nit. 901.170.035-4 a través del señor Luis Miguel Zapata Herrera identificado con cédula de ciudadanía No. 1.037.579.339 en su calidad de representante legal, o a través de su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. COMUNICAR la presente decisión al señor Xxxxxxxx Xxxxx identificado con cédula de ciudadanía No. x.xxx.xxx.xxx entregándole copia de esta resolución.
ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., febrero 11 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.02.11 ANGARITA Fecha: 12:12:36 -05'00' NELSON REMOLINA ANGARITA CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: GOELEGIDO S.A.S. Nit. 901.170.035-4 Luis Miguel Zapata Herrera C.C. 1.037.579.339 luis.miguel@goelegido.com Calle 17 No. 43F-287 Medellín (Antioquia) Colombia Comunicación Señor: Xxxxxxxxx Xxxxx Identificación: C.C. x.xxx.xxx.xxx Correo electrónico: xxxxx.xxxxxxxxxx.xxx Dirección: Xxxxxxx xx XX No. xx - xx Ciudad: Xxxxxxxx (Xxxxxxxxx) País: Xxxxxxxx HOJA Nº 15