Resolución sancionatoria N° 19190 de 2021

(29 ABRIL 2021) ““Por la cual se impone una sanción administrativa” Radicación 19-59689 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad SEGURIDAD SUPERIOR LTDA, identificada con Nit.860.066.946-6, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el denunciante: 1.1 Refiere, el denunciante que el “día XXXXXXXXX el señor XXXXXXXXXXXXXXXXXX del área de Operaciones de la empresa Seguridad Superior, me cito el día siguiente a las 06:00 AM en el barrio XXXXXXXXXXXXXXXXXX.

Allí me (sic) reunió con todos los supervisores que nos encontrábamos en el lugar, ordeno parquear las motocicletas en orden y nos tomó, estas fotografías también las me la tomo dentro del barrio en mención”. 1.2 Así mismo, informa que: “XXXXXXXXXXXXXXXXXX, me percate que La empresa Seguridad Superior publicó 04 Fotografías donde aparezco (sic) Sin mi consentimiento ni autorización, en la red Social Facebook Seguridad superior limitada”, agregando que dichas fotografías pueden ser descargadas por cualquier persona que ingrese a la página de Facebook, por lo que considera que la empresa no tomó las medidas necesarias para evitar este hecho.

En tal sentido, relaciona los links donde aparecen las fotografías publicadas por la empresa Seguridad Superior en la red social Facebook: XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXX XXXXX XXXXXXXXXXXXXXXXXXXXXX Adicionalmente, indica que: “(…) XXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX XXX”, fue: “Seguimos creciendo con nuevas oportunidades laborales que protegen a más y más familias.

Un gran saludo a nuestros compañeros de la familia Superior en la instalación del servicio de vigilancia móvil para la zona de XXXXXX XXXXXXXXXXXXXXXXXX en Bogotá. En Seguridad Superior creamos constantemente innovadoras maneras de proteger a las personas que confían en nosotros, sus familias, sus propiedades y todo lo que es importante para ellos.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, la contenida en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el “Por la cual se impone una sanción administrativa” HOJA N, artículo 9 de la misma Ley, así como los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, se inició la presente investigación administrativa mediante la expedición de la Resolución 44634 del 4 de agosto de 20201 por medio de la cual se formuló un (1) cargo a la sociedad SEGURIDAD SUPERIOR LTDA identificada con Nit.860.066.946-6.

TERCERO: Que la Resolución 44634 del 4 de agosto de 2020 fue notificada mediante Aviso No. 18433 al señor GERMAN DUQUE MORALES, en representación de la sociedad SEGURIDAD SUPERIOR LTDA el día 19 de agosto de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-59689- -14 del 25 de agosto de 2020.

CUARTO: Que, por conducto de su Representante legal para Asuntos Judiciales, la investigada encontrándose dentro del término establecido para el efecto, mediante escrito radicado bajo el número 19-59689- -00016-0001 del 14 de septiembre de 2020, presentó los correspondientes descargos en los cuales manifestó, entre otras cosas, lo siguiente: 4.1 Para comenzar, la sociedad investigada presenta sus argumentos de defensa en los siguientes términos: “Seguridad Superior Ltda., dando alcance a lo previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, reconoce y acepta expresamente el único cargo imputado, en lo que respecta a la situación presentada de manera particular con el señor…” anónimo 4.2 Acto seguido, hace mención a la oportunidad para presentar pruebas, citando el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, para posteriormente aludir a la aplicación de la teoría del hecho superado, y en ese sentido trae a colación algunos extractos de la sentencia T-481 de 2010 proferida por la Corte Constitucional, y de la sentencia con número de radicación 11001-03-15-000-2011-01664- 00(AC), proferida por el Consejo de Estado, para concluir indicando: “Es claro que el hecho superado, se presenta cuando en el trámite de una investigación administrativa sancionatoria, la conducta omisiva que se reprocha del administrado y/o vigilado es corregida, de manera que desaparece, en estricto sentido el motivo que obligo a la Administración a iniciar la actuación administrativa y, en consecuencia, carecería de objeto el pronunciamiento de fondo por parte del Ente Sancionador, en razón de que la actuación administrativa pierde cualquier motivo que la justifique o razón que la sustente.

Como al efecto sucede en el caso de Seguridad Superior Ltda., ya que el motivo que originó el presente proceso sancionatorio, como son la autorización del tratamiento de datos personales, se encuentran (sic) debidamente acreditados (sic), con los formatos que allegamos con el presente memorial, así como aquellos aportados en etapa previa, demostrando así, que la investigada viene cumpliendo de manera satisfactoria con las normas que regulan la materia”. 4.3 Por otro lado, se refiere a la aplicación del principio de oportunidad en los siguientes términos: “Solicito dar aplicación al Principio de Oportunidad, llamado también "criterio de oportunidad", entendido como la facultad de no adelantar un proceso penal, administrativo y/o sancionatorio contra alguien, porque bajo determinadas circunstancias se considera que hay más ventajas en la renuncia a la acción sancionatoria que en el enjuiciamiento o sanción de una persona, principio que la postre ha sido aplicado en reiterados procesos administrativos.

El ordenamiento administrativo sancionatorio está presidido por el principio oportunidad, por tanto, los órganos de control estatal están expresamente autorizados, ante determinadas faltas que no revisten especial gravedad, a provocar el favorecimiento, basados en razones como la escasa lesión social, la no causación de un daño, ni la afectación o puesta en peligro del bien jurídico tutelado, la economía procesal o la resolución del investigado. orientado hacia una política de desprocesamiento, evitando que faltas de poca gravedad, impacto social y afectación al bien jurídico, sea objeto de investigación administrativa, como en el caso Seguridad Superior Ltda. En otras palabras, el principio de oportunidad se aplica cuando se hayan subsanado los hallazgos encontrados antes de la decisión, como sucede en el caso Seguridad Superior Ltda., donde Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 19-59689-7 “Por la cual se impone una sanción administrativa” HOJA N, claramente opera este principio, puesto que con los documentos que se aportan demuestra que hoy Seguridad Superior Ltda., da cumplimiento a lo consagrada en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, así como los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015”. 4.4.

Igualmente alude a los principios de antijuricidad y eficiencia así: “El artículo 50 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo reza: "Graduación de las sanciones. Salvo lo dispuesto en leyes especiales, la gravedad de las faltas y el rigor de las sanciones por infracciones administrativas se graduarán atendiendo a los siguientes criterios, en cuanto resultaren aplicables: 1.

Daño o peligro generado a los intereses jurídicos tutelados " Como quiera que la empresa Seguridad Superior Ltda, viene actuando de manera diligente es procedente la aplicabilidad de los principios de antijuridicidad y eficiencia, en razón a que la infracción que nos ocupa, tampoco lesionó ni puso en peligro ningún bien jurídicamente tutelado, todo lo contrario, el principal interés ha sido cumplir con las normas que regulan el tratamiento y protección de datos personales, tanto así, que Seguridad Superior Ltda., ya implemento los formatos de autorización de datos personales”. 4.4 Así mismo, se refiere a lo siguiente: “Ausencia de beneficio económico: La infracción no representa un beneficio económico para Seguridad Superior Ltda., como quiera que las fotografías que motivan la presente, ni siquiera fueron utilizadas como parte de una compaña publicitaria de Seguridad Superior Ltda., lo cual se colige de las pruebas que reposan en el proceso.

No reincidencia: A la fecha, Seguridad Superior Ltda., adopto los correctivos del caso, tanto así que, con los presentes descargos, se allega a la entidad una muestra de los formatos de autorización para el tratamiento de datos personales, que otorgan nuestros trabajadores. Falta de resistencia, negativa u obstrucción a la acción investigadora.

Seguridad Superior Ltda., procurado por facilitar la actuación de la Entidad, tanto que la información requerida fue aportada de manera oportuna, así mismo, por medio del presente memorial se acepta los cargos imputados. Falta de renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. Seguridad Superior Ltda., ha sido tan acuciosa, que previo a la formulación de los cargos, adopto los correctivos del caso, implementando los formatos de autorización de datos personales para sus trabajadores, tanto así que, a la fecha, Seguridad Superior Ltda., retiro de sus redes sociales, cualquier contenido similar al que nos ocupa”. 4.5 Finalmente, solicita “tener en cuenta al momento de resolver la presente actuación, que para el caso que nos ocupa, se cumple con cada uno de los criterios de graduación de la sanción.

QUINTO: Que mediante Resolución 70721 del 6 de noviembre de 2020 2, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-59689, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 70721 del 6 de noviembre de 2020 fue comunicada al señor ANDRES HERNANDO RINCON FLOREZ en representación de la sociedad SEGURIDAD SUPERIOR LTDA., identificada con Nit.860.066.946-6 el 9 de noviembre de 2020, según consta en la certificación Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se incorporan pruebas y se corre traslado para alegar”, radicada bajo el Número 19-59689-17 HOJA N, “Por la cual se impone una sanción administrativa” expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 1959689- -20 del 14 de diciembre de 2020.

SÉPTIMO: Que, una vez vencido el término de diez (10) días hábiles, concedido en la Resolución 70721 del 6 de noviembre de 2020 para que presentara los respectivos alegatos de conclusión, la sociedad SEGURIDAD SUPERIOR LTDA., identificada con Nit.860.066.946-6 guardó silencio.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, contempla el deber que le asiste al responsable del tratamiento de solicitar y conservar la respectiva autorización otorgada por el titular.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente No. 19-59689. 9.2 Valoración probatoria y conclusiones 9.2.1 Consideraciones preliminares: Previo a analizar el cargo objeto de investigación, es necesario mencionar el alcance que tienen las fotografías publicadas en la red social Facebook del denunciante por la sociedad SEGURIDAD SUPERIOR LTDA, veamos: La palabra “foto” hace referencia a una “imagen4” de cosas, paisajes, personas, etc., mientras que la expresión “fotografía” es usada como sinónimo de foto y es definida de la siguiente manera: “procedimiento o técnica que permite obtener imágenes fijas de la realidad mediante la acción de la luz sobre una superficie sensible o sobre un sensor” o “imagen obtenida por medio de la fotografía.5” (Negrita fuera del texto original) El análisis jurídico de una foto puede hacerse desde varias perspectivas como, entre otras: (i) (ii) (iii) (iv) La foto y los derechos de autor.

La foto y los actos de competencia desleal La foto y el derecho a la imagen: La foto como documento que contiene datos personales Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub. Cfr. Real Academia Española (RAE). Diccionario de la lengua española. https://dle.rae.es/foto?m=form Cfr. Real Academia Española (RAE). Diccionario de la lengua española. https://dle.rae.es/fotograf%C3%ADa#7z5EURG “Por la cual se impone una sanción administrativa” HOJA N, Para los efectos de este caso y la competencia de esta Delegatura es pertinente analizar la última faceta jurídica de la foto.

De conformidad con el artículo 243 de la Ley 1564 de 2012, “son documentos los escritos, impresos, planos, dibujos, cuadros, mensajes de datos, fotografías, cintas cinematográficas, discos, grabaciones magnetofónicas, videograbaciones, radiografías, talones, contraseñas, cupones, etiquetas, sellos y, en general, todo objeto mueble que tenga carácter representativo o declarativo, y las inscripciones en lápidas, monumentos, edificios o similares”.(Negrita fuera del texto original) Como se observa, la definición legal de documentos es muy amplia y comprende, entre otras, las fotos y las videograbaciones.

Estos documentos pueden contener diferentes tipos de información dentro de los cuales están los datos personales. Por ende, si mediante una fotografía se obtienen datos personales, entonces se deben observar las reglas de la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. Ahora bien, no toda foto es, per se, un dato personal. Sólo lo serán aquellas que contengan “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables6”.

Por eso, la foto será dato personal en la medida que permita establecer la identidad de una o varias personas naturales en particular. Si, por ejemplo, la foto contiene la imagen de personas con máscaras en su rostro o que están de espaldas de tal forma que no se pueda establecer la identidad de cada una de ellas, pues esa fotografía no es un dato personal.

Adicionalmente, nótese que algunas fotos captan la imagen del rostro o la cara de las personas, las cuales son consideradas como información biométrica. Los datos biométricos, a su vez, son un ejemplo de dato sensible7 tal y como se puede constatar en la definición legal del artículo 5 de la Ley Estatutaria 1581 de 2012. Los «datos biométricos»: incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y “comportamentales” (forma de firmar, tono de voz) sobre las personas.

En la regulación europea son definidos como: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos8” Para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del Decreto 1377 de 2013 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012.

La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.

De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización9”, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular10” En suma, quien toma o usa una fotografía a personas naturales determinadas o determinables está tratando datos personales.

Por eso, debe cumplir las normas señaladas y usar las fotos sólo para los fines autorizados por el Titular del dato o por la ley. Así pues, dejando claro lo anterior, a continuación, se analizará el incumplimiento objeto de investigación con el fin de emitir una decisión que en derecho corresponda. Esta definición se encuentra en el literal c) del artículo 3 de la Ley 1581 de 2012. 7 Los datos sensibles fueron definidos en la ley 1581 de 2012 y en el decreto 1377 de 2013 como “ aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos” (Artículo 5 de la ley 1581 de 2012, repetido en el numeral 3 del artículo 3 del decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015). 8 Cfr. Numeral 14 del artículo 4 del Reglamento europeo de protección de datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 10 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. “Por la cual se impone una sanción administrativa” HOJA N, 9.2.2 Del deber de solicitar y conservar la respectiva autorización otorgada por el titular. Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15.

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto, la Corte Constitucional ha señalado lo siguiente: “ Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática11” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Igualmente, es importante indicar que en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada, normatividad transcrita anteriormente.

Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub HOJA N, “Por la cual se impone una sanción administrativa” ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…) Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) “ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

Una vez mencionada la normatividad aplicable al caso concreto, es menester aludir a los hechos que se encuentran en el plenario. La presente investigación se originó por la denuncia presentada por anónimo bajo el radicado número 19-59689- -00000-0000 del 11 de marzo de 2019, en contra de la sociedad SEGURIDAD SUPERIOR LTDA, identificada con Nit.860.066.946-6, por presuntas infracciones al Régimen General de Protección de Datos Personales, y respecto del cargo que nos ocupa señaló: 1.

Que el “día XXXXXXXXX el señor XXXXXXXXXXXXXXXXXX del área de Operaciones de la empresa Seguridad Superior, me cito el día siguiente a las 06:00 AM en el barrio XXXXXXXXXXXXXXXXXX. Allí me (sic) reunió con todos los supervisores que nos encontrábamos en el lugar, ordeno parquear las motocicletas en orden y nos tomó, estas fotografías también las me la tomo dentro del barrio en mención”. 2.Que “El XXXXXXXXXXXXXXXXXX, me percate que La empresa Seguridad Superior publicó 04 Fotografías donde aparezco (sic) Sin mi consentimiento ni autorización, en la red Social Facebook Seguridad superior limitada”, agregando que dichas fotografías pueden ser descargadas por cualquier persona que ingrese a la página de Facebook, por lo que considera que la empresa no tomó las medidas necesarias para evitar este hecho.

En tal sentido, relaciona los links donde aparecen las fotografías publicadas por la empresa Seguridad Superior en la red social Facebook: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX HOJA N, “Por la cual se impone una sanción administrativa” XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX Adicionalmente, señala que: “(…) el comentario que realizó la empresa superior a esta publicación de las fotografías realizada el XXXXXXXXXXXXXXXXXXXXXXXXXXXX”, fue: “Seguimos creciendo con nuevas oportunidades laborales que protegen a más y más familias.

Un gran saludo a nuestros compañeros de la familia Superior en la instalación del servicio de vigilancia móvil para la zona de XXXXXX en Bogotá. En Seguridad Superior creamos constantemente innovadoras maneras de proteger a las personas que confían en nosotros, sus familias, sus propiedades y todo lo que es importante para ellos.” En este punto, es importante traer a colación las imágenes aludidas por el anónimo en la denuncia en comento, veamos: “Por la cual se impone una sanción administrativa” HOJA N, “Por la cual se impone una sanción administrativa” HOJA N, En atención a las circunstancias denunciadas por anónimo, el Grupo de Trabajo de Investigaciones administrativas de esta Dirección, bajo radicado número 19-59689- -5-1 del 29 de julio de 2019, solicitó a la sociedad SEGURIDAD SUPERIOR LTDA entre otras cosas lo siguiente: “(…)1.

Sírvase manifestar si cuenta con la autorización previa e informada por parte de los titulares de los cuales se publican fotografías en el perfil que tiene la empresa en la red social Facebook. 2. Allegue copia del formato implementado para obtener la autorización del tratamiento de datos personales ” En respuesta al anterior requerimiento, la sociedad SEGURIDAD SUPERIOR LTDA informó, mediante comunicación con radicado número 19-59689- -00006-0001 del 20 de agosto de 2019, entre otras cosas, lo siguiente: “A la pregunta 1 realizada por esta Superintendencia respondió: “Sí. Además se aclara que las imágenes de perfil de nuestras redes sociales, son resultado de campañas contratadas con firmas especializadas en publicidad y mercadeo”.

A la pregunta 2 realizada por esta Superintendencia respondió: “Me permito allegar con la presente, copia simple de los formatos elaborados e implementados por SEGURIDAD SUPERIOR LTDA., para solicitar a terceros su consentimiento para el tratamiento de datos personales, así: ✓ Autorización para el tratamiento de datos personal de clientes y/o usuarios.

Cod. GE-P-010. ✓ Autorización para el tratamiento de datos (sic) personal de proveedores. Cod. GE-P-011. ✓ Autorización para el tratamiento de datos personal de trabajadores. Cod GE-P-012…” ✓ En consecuencia, una vez agotadas las averiguaciones preliminares dispuestas en el artículo 4712 “ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. “Por la cual se impone una sanción administrativa” HOJA N, del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 44634 del 4 de agosto de 202013, y sustentó este cargo en las siguientes consideraciones: “En el caso bajo estudio, se advierte que el señor anónimo presentó una denuncia ante esta Entidad, argumentando que: “El viernes 01 de Marzo (sic) de 2019, me percate que La empresa Seguridad Superior publicó 04 Fotografías donde aparezco (sic) Sin mi consentimiento ni autorización, en la red Social Facebook Seguridad superior limitada”.

De acuerdo con lo anterior, esta Dirección en virtud de las facultades legales, a través del Grupo de Trabajo de Investigaciones administrativas de esta Dirección, bajo radicado número 19-59689- -5-1 del 29 de julio de 2019, requirió a la sociedad SEGURIDAD SUPERIOR LTDA para que informara dentro de otras cosas “si cuenta con la autorización previa e informada por parte de los titulares de los cuales se publican fotografías en el perfil que tiene la empresa en la red social Facebook”; a lo cual, dicha sociedad mediante radicado número 19-59689- -00006-0001 del 20 de agosto de 2019, contestó: “Sí. Además se aclara que las imágenes de perfil de nuestras redes sociales, son resultado de campañas contratadas con firmas especializadas en publicidad y mercadeo”.

No obstante lo anterior, se tiene que una vez revisada la información y los documentos anexos allegados por la sociedad en comento, dentro del plenario no se observa copia de la autorización otorgada por el denunciante, desconociendo presuntamente el deber como responsable del tratamiento de datos de “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”, lo cual se subsume típicamente en un presunto incumplimiento al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074”.

Sobre el particular, la sociedad investigada como argumentos de defensa manifiesta:“Es claro que el hecho superado, se presenta cuando en el trámite de una investigación administrativa sancionatoria, la conducta omisiva que se reprocha del administrado y/o vigilado es corregida, de manera que desaparece, en estricto sentido el motivo que obligo a la Administración a iniciar la actuación administrativa y, en consecuencia, carecería de objeto el pronunciamiento de fondo por parte del Ente Sancionador, en razón de que la actuación administrativa pierde cualquier motivo que la justifique o razón que la sustente.

Como al efecto sucede en el caso de Seguridad Superior Ltda., ya que el motivo que originó el presente proceso sancionatorio, como son la autorización del tratamiento de datos personales, se encuentran (sic) debidamente acreditados (sic), con los formatos que allegamos con el presente memorial, así como aquellos aportados en etapa previa, demostrando así, que la investigada viene cumpliendo de manera satisfactoria con las normas que regulan la materia”.

Como prueba de las anteriores afirmaciones la sociedad investigada junto con su escrito de descargos14 aportó lo siguiente: 1.Imágenes correspondientes al perfil de la sociedad SEGURIDAD SUPERIOR LTDA., en la red social Facebook, publicadas el 9 de septiembre de 2020. 2.“AUTORIZACIÓN DE USO DE DERECHOS DE IMAGEN, FOTOGRAFÍAS Y OTROS. FORMULARIO DE AUTORIZACIÓN DE USO DE DERECHOS DE IMAGEN SOBRE FOTOGRAFÍAS Y FIJACIONES AUDIVISUALES (VIDEOS) Y DE PROPIEDAD INTELECTUAL OTORGADO A SEGURIDAD SUPERIOR LTDA”, suscrito por los titulares de la información. 3.

“FORMATO AUTORIZACIÓN PARA EL USO DE FOTOGRAFÍA(S) DE MAYORES”, 4. “CESIÓN DE DERECHOS DE IMAGEN SOBRE FOTOGRAFÍAS Y FIJACIONES AUDIVISUALES (VIDEOS) Y DE PROPIEDAD INTELECTUAL OTORGADO A SEGURIDAD SUPERIOR LTDA”, suscrito por los siguientes titulares de la información: - XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.

Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo (…)” Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 19-59689-7 Escrito radicado bajo el número19-59689- -00016-0001 del 14 de septiembre de 2020.

“Por la cual se impone una sanción administrativa” - HOJA N, XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX De acuerdo con los argumentos planteados por la sociedad investigada, en primer lugar, es necesario aclararle que no es posible hablar de hecho superado toda vez que para los hechos materia de investigación, es claro que la infracción objeto de análisis se configuró cuando la sociedad SEGURIDAD SUPERIOR LTDA realizó el tratamiento de los datos personales del denunciante, sin contar con la correspondiente autorización, tal como fue demostrado en la denuncia que dio origen al presente procedimiento administrativo sancionatorio.

En este sentido, es menester anotar que al margen que se hubiesen retirado las fotografías del titular de la red social “Facebook”, es evidente que para el caso bajo estudio no fue aportado documento idóneo alguno que pueda constituirse como la autorización previa otorgada por el denunciante a la sociedad SEGURIDAD SUPERIOR LTDA. Ahora bien, una vez estudiados los documentos enlistados anteriormente, esta Dirección no visualiza la autorización previa otorgada por el denunciante a la sociedad SEGURIDAD SUPERIOR LTDA, pues si bien se encuentran ciertas autorizaciones es respecto de otros titulares más no la del denunciante, motivo por el cual, esta documental no tiene el alcance de desvirtuar el cargo que nos ocupa, y en ese sentido, queda demostrado que la sociedad incumplió el deber que le asiste como responsable del tratamiento, al no contar con la correspondiente autorización otorgada por el titular.

De igual manera, la sociedad investigada realiza la siguiente afirmación: “la autorización del tratamiento de datos personales, se encuentran debidamente acreditados, con los formatos que allegamos con el presente memorial, así como aquellos aportados en etapa previa”, para referirse a este argumento, es necesario especificar la documental allegada en el curso de las averiguaciones preliminares,15 veamos: 1.

Copia del documento denominado “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONAL DE CLIENTES O USUARIOS” con código GE-P-010 con fecha del 02-05-19. 2. Copia del documento denominado “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONAL DE PROVEEDORES Y/O CONTRATISTAS” con código GE-P-011 con fecha del 0205-19. 3. Copia del documento denominado “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONAL DE TRABAJADORES” con código GE-P-012 con fecha del 02-05-19. 4.

Copia del documento denominado “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES” con código GE-P-009 con fecha del 02-05-19. 5. Copia del documento denominado “ATENCIÓN DE PETICIONES, QUEJAS, RECLAMOS” con código GE-P-009 con fecha del 22-08-18. 6. Copia del documento denominado “MANUAL DE POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN” con código SI-P-002 con fecha del 17-01-17.

Una vez analizados los documentos enlistados anteriormente, se evidencia que los mismos son formatos implementados por la sociedad investigada para recaudar la autorización previa de los clientes y/o usuarios, del personal de proveedores y de los trabajadores sobre los cuales realiza el tratamiento de los datos personales; sin embargo, dicha documental no puede configurarse como la autorización previa otorgada por el denunciante para el tratamiento de sus datos personales, pues no se visualiza dicho consentimiento otorgado por el señor anónimo. 15 Documental que fue allegada mediante radicado No. 19-59689- -00006-0001 del 20 de agosto de 2019.

“Por la cual se impone una sanción administrativa” HOJA N, Así mismo, se visualiza que la política de tratamiento de datos personales, el sistema para la atención de peticiones, quejas, reclamos de la compañía y el manual de política de seguridad de la información, tampoco puede considerarse como la autorización previa otorgada por el denunciante a la sociedad investigada, pues dichos documentos demuestran el cumplimiento de otras disposiciones establecidas en la Ley 1581 de 2012 más no la contenida en el literal b) del artículo 17 de la ley en comento.

De conformidad con lo anterior, es claro que el material probatorio en mención no desvirtúa el incumplimiento bajo estudio, ello en virtud de lo dispuesto en el literal c) del artículo 4 de la Ley 1581 de 2012, “El Tratamiento sólo puede ejercerse con consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.” (Negrita y Subrayado fuera del texto original) Por otra parte, solicita aplicar el “Principio de Oportunidad, llamado también "criterio de oportunidad", entendido como la facultad de no adelantar un proceso penal, administrativo y/o sancionatorio contra alguien, porque bajo determinadas circunstancias se considera que hay más ventajas en la renuncia a la acción sancionatoria que en el enjuiciamiento o sanción de una persona, principio que la postre ha sido aplicado en reiterados procesos administrativos.

El ordenamiento administrativo sancionatorio está presidido por el principio oportunidad, por tanto, los órganos de control estatal están expresamente autorizados, ante determinadas faltas que no revisten especial gravedad, a provocar el favorecimiento, basados en razones como la escasa lesión social, la no causación de un daño, ni la afectación o puesta en peligro del bien jurídico tutelado, la economía procesal o la resolución del investigado. orientado hacia una política de desprocesamiento, evitando que faltas de poca gravedad, impacto social y afectación al bien jurídico, sea objeto de investigación administrativa, como en el caso Seguridad Superior Ltda. En otras palabras, el principio de oportunidad se aplica cuando se hayan subsanado los hallazgos encontrados antes de la decisión, como sucede en el caso Seguridad Superior Ltda., donde claramente opera este principio, puesto que con los documentos que se aportan demuestra que hoy Seguridad Superior Ltda., da cumplimiento a lo consagrada en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, así como los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015”.

De conformidad con las anteriores afirmaciones, esta Dirección le recuerda a la sociedad investigada que debido a que la presente investigación se encuentra bajo los parámetros de la Ley 1581 de 2012, es esta normatividad la que establece de manera particular cuales son los criterios para graduar las sanciones por la infracción al régimen de protección de datos personales.

En este orden de ideas, en el acápite correspondiente de este proveído se estudiarán cada uno de los criterios para graduar la sanción dispuestos en el artículo 24 de la ley en comento, y así imponer la multa pecuniaria que en derecho corresponda. En suma, es palmario que la sociedad SEGURIDAD SUPERIOR LTDA. incumplió los deberes que le asisten en calidad de responsable del tratamiento de datos, al no obtener y conservar copia previa, expresa e informada del denunciante, pues no obra prueba en el plenario, y tampoco fue allegada en esta instancia documental alguna encaminada a desvirtuar el cargo que nos ocupa, vulnerando de esta manera el derecho de libertad y consentimiento expreso del titular del dato, donde es importante recalcar que quedó debidamente probado que la sociedad investigada no se cercioró si contaba con dicha autorización para hacer uso de la misma.

Así las cosas, es evidente que la sociedad SEGURIDAD SUPERIOR LTDA incumplió los deberes que le asiste en calidad de responsable, al no contar con la autorización previa para el tratamiento de datos personales del titular, lo cual reviste una importancia significativa, debido a que uno de los pilares fundamentales de la regulación en materia de protección de datos personales, es la exigencia de contar con la autorización previa, expresa e informada del Titular, ya que esta es la expresión de la voluntad inequívoca otorgada por el mismo para que sus datos personales sean recolectados y divulgados.

En este punto, es menester anotar que la sociedad investigada aceptó expresamente la comisión de la infracción bajo análisis, confirmándose de esta manera la violación a la Ley estatutaria 1581 de 2012. “Por la cual se impone una sanción administrativa” HOJA N, Así pues, se impondrá sanción pecuniaria correspondiente a cuarenta y un millones seiscientos ocho mil novecientos sesenta y ocho pesos M/CTE ($ 41.608.968), equivalente a mil ciento cuarenta y seis (1.146) UVT, al demostrarse la infracción de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015, por parte de la sociedad SEGURIDAD SUPERIOR LTDA identificada con Nit.860.066.946-6.

DÉCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 201216 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201517.

Sobre el particular, una vez mencionados los hechos materia de investigación, y haberse probado la transgresión del derecho de habeas data del Titular, es importante manifestar lo siguiente: Los protocolos internos de las organizaciones deben estar en pro de garantizar los derechos de los titulares de los datos, particularmente para el caso que nos ocupa el de habeas data, en este sentido el Decreto Único Reglamentario 1074 de 2015 ordenó lo siguiente: “Artículo 2.2.2.25.3.6.

Procedimientos para el adecuado tratamiento de los datos personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información." Nótese que los procedimientos para ejercer los derechos deben ser fácilmente accesibles a los titulares para que la materialización de los derechos sea real y efectiva, más no formal o solemne.

Esto es precisamente lo que exige el principio de demostración (accountability). Igualmente, esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implican que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante” 18.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acetada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. Corte Constitucional, Sentencia T-227 de 2003. HOJA N, “Por la cual se impone una sanción administrativa” En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada.

El artículo 2619 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”20. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un programa integral de gestión de datos (en adelante PGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, lleva a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una mirco, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “Por la cual se impone una sanción administrativa” HOJA N, En este orden, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 8.1.

Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad SEGURIDAD SUPERIOR LTDA identificada con Nit.860.066.946-6, para que adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales.

HOJA N, “Por la cual se impone una sanción administrativa” 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 21.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

HOJA N, “Por la cual se impone una sanción administrativa” ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional22 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”23 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012, con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir, no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” HOJA N, tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 24.

La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”25.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia26. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2327 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa” HOJA N, f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.2 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”28 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados29.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad SEGURIDAD SUPERIOR LTDA. realizó el tratamiento de datos personales del denunciante a sin que medie autorización alguna, vulnerando de esta manera el derecho de habeas data, infracción contenida en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.

Así las cosas, se impondrá una sanción por el monto de cuarenta y un millones seiscientos ocho mil novecientos sesenta y ocho pesos M/CTE ($ 41.608.968), equivalente a mil ciento cuarenta y seis (1.146) UVT. 11.3 Otros criterios de graduación En este ítem, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa” HOJA N, la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. 11.4 Literal f) el reconocimiento o aceptación expreso sobre la comisión de la infracción La investigada acepta expresamente la comisión de la infracción objeto de análisis en su escrito de descargos30, y en ese sentido solicita la aplicación del criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012 en los siguientes términos: “dando alcance a lo previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, reconoce y acepta expresamente el único cargo imputado, en lo que respecta a la situación presentada de manera particular con el señor” anónimo.

De conformidad con la anterior afirmación, para aplicar el criterio de graduación de la sanción dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012 “El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”, es necesario señalar lo siguiente: La Corte Constitucional en la Sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Así pues, en cuanto a los argumentos expuestos por la sociedad investigada en su escrito de descargos31, en torno a la aplicación del criterio de atenuación contenido en el literal f) del artículo en cita y habida cuenta de la aceptación del cargo objeto de investigación, en los términos expuestos en líneas precedentes, este criterio de atenuación se tendrá en cuenta para graduar la sanción de dicho cargo, de conformidad con lo dispuesto en el artículo 24 de la Ley 1581 de 2012.

Como quiera que la sociedad investigada incumplió el deber que le asiste en calidad de responsable dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de cuarenta y un millones seiscientos ocho mil novecientos sesenta y ocho pesos M/CTE ($ 41.608.968), equivalente a mil ciento cuarenta y seis (1.146) UVT.

No obstante lo anterior y habida cuenta la aceptación del cargo objeto de investigación por parte de la sociedad SEGURIDAD SUPERIOR LTDA, en los términos expuestos en párrafos anteriores, esta Dirección aplicará el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 y, en consecuencia, procederá a reducir la sanción impuesta a veinte millones ochocientos cuatro mil cuatrocientos ochenta y cuatro pesos M/CTE ($ 20.804.484), equivalente a quinientos setenta y tres (573) UVT.

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la sociedad SEGURIDAD SUPERIOR LTDA identificada con Nit.860.066.946-6 infringió abiertamente los deberes que le asisten en calidad de responsable del tratamiento de datos en virtud de la ley estatutaria, en tanto, no demostró por ningún medio que contaba con la autorización previa, expresa e informada del denunciante para publicar las fotografías en donde aparece el denunciante en la red Social Facebook Seguridad superior limitada, incumpliendo el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Escrito radicado bajo el número19-59689- -00016-0001 del 14 de septiembre de 2020.

Escrito radicado bajo el número19-59689- -00016-0001 del 14 de septiembre de 2020. “Por la cual se impone una sanción administrativa” HOJA N, misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la investigada una sanción por el monto de veinte millones ochocientos cuatro mil cuatrocientos ochenta y cuatro pesos M/CTE ($ 20.804.484), equivalente a quinientos setenta y tres (573) UVT, por la violación al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable del tratamiento de solicitar y conservar la respectiva autorización otorgada por el titular.

DÉCIMO TERCERO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad SEGURIDAD SUPERIOR LTDA identificada con Nit.860.066.946-6 debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho.

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad SEGURIDAD SUPERIOR LTDA, identificada con Nit.860.066.946-6 de veinte millones ochocientos cuatro mil cuatrocientos ochenta y cuatro pesos M/CTE ($ 20.804.484), equivalente a quinientos setenta y tres (573) UVT, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad SEGURIDAD SUPERIOR LTDA, identificada con Nit.860.066.946-6, para que adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: HOJA N, “Por la cual se impone una sanción administrativa” 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad SEGURIDAD SUPERIOR LTDA, identificada con Nit.860.066.946-6 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía número XXXXXXXXXXXXXXel contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 09 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.04.09 15:31:24 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DAD Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: SEGURIDAD SUPERIOR LTDA Identificación: Nit.860.066.946-6 Representante legal: Andrés Hernando Rincón Flórez Identificación: C.C. No. 1.022.940.402 Correo electrónico: info@seguridadsuperior.co Dirección: Cr 50 No. 96-09 Ciudad: Bogotá D.C COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C XXXXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXXX HOJA N,