Resolución sancionatoria N° 53415 de 2022

(agosto 10 de 2022) Radicación 19-79100 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 56651 de 1 de septiembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($ 50.831.200), equivalente a MIL CUATROCIENTAS (1400) UNIDADES DE VALOR TRIBUTARIO-UVT, por la violación de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

( )"

SEGUNDO. Que mediante escrito radicado bajo el No. 19-79100-34 de 28 de septiembre de 20211, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. presentó recurso de reposición y en subsidio de apelación en contra de la Resolución No. 56651 de 1 de septiembre de 2021.

TERCERO. Que mediante la Resolución No. 70033 de 29 de octubre de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 56651 de 1 de septiembre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 56651 de 1 de septiembre de 2021, con base en los siguientes argumentos2: “( ) 1. Frente a la valoración probatoria del Régimen Integral de Protección de Datos Personales de Los Coches, como un acto probado del deber de diligencia en observancia a las disposiciones legales y bajo los postulados de los valores y reglas del Principio de la Buena Fe Objetiva.

( ) En efecto, en el caso concreto se ejercieron los actos de diligencia que exige la Buena Fe Objetiva, esto es, en general todo lo que corresponde al Régimen Corporativo de Protección de Datos Personales que comprende el Programa Corporativo Integral de Protección de Datos Personales de la compañía y los actos diligentes adicionales, adquiridos por la compañía como ejercicio de buenas prácticas y compromiso corporativo.

Actos y compromisos que han identificado el gobierno corporativo y que se han implementado a lo largo de los años al interior de la compañía. Recordando así, que el caso en concreto objeto de investigación constituye un caso aislado que escapó de la esfera de control de la compañía. Evidenciando al respecto que en todo momento de las etapas de sostenibilidad del programa sostenibilidad del programa corporativo de protección de datos personales de los Coches, se ha actuado conforme lo exige el Principio de Buena Fe, cumpliéndose los requisitos del acto de Buena Fe Exenta de Culpa ejercidos por la compañía. De las consideraciones efectuadas por el Despacho, se colige que la prueba consistente en todo el Régimen Corporativo de Protección de Datos Personales diseñado, aprobado e implementado por la compañía, en 1 De acuerdo con el certificado suscrito por el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicado bajo el número 19-79100-32 de 22 de septiembre de 2021, la Resolución No. 56651 de 1 de septiembre de 2021 fue notificada por aviso a Distribuidora los Coches la Sabana S.A.S. el 15 de septiembre de 2021, con lo cual el término para presentar los recursos vencía el 29 de septiembre de 2021. 2 Recurso de reposición en subsidio apelación, comunicación No. 19-79100-34 de 28 de septiembre de 2021.

HOJA Nº desarrollo así del Programa Corporativo Integral de Protección de Datos personales. Este es un aspecto que se debe valorar como un acto de debida diligencia, con fundamento en el principio de buena fe, tan así es que, para el efecto Los Coches diseño y adoptó un programa integral de protección de datos personales para el cumplimiento integral de cada obligación adquirida como compañía y como sujeto del estado social de derecho.

Lo anterior, constituye un acto demostrado de proceder conforme a los criterios de la Buena Fe Objetiva. Por tanto, en cumplimiento de las obligaciones de la Ley 1581 de 2012 y cada norma complementaria, se presentó como una prioridad de la compañía establecer un Programa Corporativo de Protección de Datos Personales. ( ) el Despacho debe evaluar y valuar el contenido probatorio del Régimen Integral de Protección de Datos Personales de la compañía, que no solo incluye el Programa Corporativo Integral de Protección de Datos Personales, sino todos los actos y gestiones adicionales y los compromisos de la compañía en dar cumplimiento a la Constitución y la Ley.

Valorando en ese sentido, tanto la contratación de un equipo consultor y asesor para el diseño, aprobación e implementación del Programa Corporativo Integral de Protección de Datos Personales, como, asimismo, cada acto seguido del programa e iniciativa corporativa en la protección del derecho de habeas data y el régimen general de protección de datos personales establecido por la Ley.

( ) La Compañía ha desplegado un conjunto de acciones orientadas a la implementación de un programa corporativo integral de protección de datos personales que ha diseñado y adoptado de manera efectiva en su operación, acreditando una diligencia demostrada conforme a los postulados de la normatividad y los lineamientos de esta Superintendencia para la acreditación del principio de “Accountability” ( ).

La Compañía aportó desde la etapa de investigación los elementos necesarios para demostrar su debida diligencia antes, durante e incluso con posterioridad a la ocurrencia del incidente de seguridad, llevando a cabo las siguientes actuaciones generales: • • • Etapa de indagación: La Compañía recolecta la información técnica asociada al evento presentado con la información de contacto del Sr. Xxxxx Xxxxx Xxxxxx, confirmando el efectivo registro involuntario de su información en el campo del formato de facturación correspondiente a la información de la Compañía. Etapa de Análisis: La Compañía inicia un análisis integral desde la perspectiva técnica y jurídica para determinar las causas e impactos del evento de seguridad, estableciendo adicionalmente las medidas de corrección, prevención y mitigación descritas en la información suministrada a esta Superintendencia. Etapa de gestión: Se adelantan las medidas técnicas necesarias para la corrección, prevención y mitigación de todos los impactos derivados del mismo, identificando las lecciones aprendidas con miras a adoptar acciones efectivas para evitar su nueva ocurrencia en el futuro.

La Compañía ha reconocido el error en los procesos internos y la consecuente afectación a la expectativa del servicio del Sr. Xxxxx Xxxxx Xxxxxx, por lo que no solo consideró el evento como un incidente de seguridad de la información, sino que además realizó el reporte del mismo ante esta Superintendencia, adelantando todos los procedimientos internos y acciones necesarias para la corrección, prevención y mitigación de los impactos ocasionados conforme a las medidas y acciones oportunamente desplegadas, las cuales no solo fueron informadas en el reporte de incidente y demás información complementaria suministrada, sino que además también fueron concertadas y definidas con el propio titular de información, el cual desempeño un papel activo en el trabajo realizado por la Compañía con miras a garantizar la defensa y garantía de sus derechos y libertades como eje central de toda la gestión adelantada por la Compañía. Dentro de las medidas efectivas de mitigación adoptadas se destacan: • • • • • • Despliegue de acciones de contacto directo con cada uno de los clientes receptores de la información equivocada, utilizando para ello el servicio de contact center de la empresa Táctica Consultores, para lo cual se procedió a asignar recursos y definir un alcance específico y adecuado para el despliegue de esta gestión de mitigación y corrección. Gestiones directas con el titular de información a través de diversos espacios de concertación y conciliación en donde se realiza una valoración objetiva, responsable y razonable del impacto generado como consecuencia del error de la Compañía. Se socializó y concertó con el titular de información las acciones adelantadas por la Compañía, definiendo adicionalmente acciones complementarias para la corrección, prevención y mitigación del incidente, tomando como único criterio de acción la satisfacción plena del titular de información. Se definió adicionalmente una compensación económica a favor del titular de información con el objeto de compensar la afectación derivada de la falla del servicio de la Compañía, buscando una compensación integral y mitigando de manera razonable y adecuado los efectos adversos sufridos por el titular de información. Las acciones y compromisos adelantados por la Compañía fueron valorados y aceptados por el titular de información como medidas conducentes, pertinentes y efectivas para la mitigación del impacto derivado del mencionado error, lo cual se refleja no solo en el retiro de la queja presentada por el titular de información ante esta Superintendencia con ocasión a los hechos objeto de análisis sino adicionalmente por la cesación definitiva de las acciones de contacto recibidas por el titular de información con ocasión al error previamente descrito.

Finalmente, como resultado adicional de las gestiones concertadas con el titular de información, el Sr. Xxxxx Xxxxx Xxxxxx procedió a la eliminación efectiva e integral de la información recibida de los clientes de la Compañía que por error establecieron algún tipo de contacto a través de su correo electrónico. ( ) 2. Frente a la acreditación del principio de responsabilidad demostrada como causal de inaplicación de medidas sancionatorias: ( ) La sola ocurrencia de un incidente de seguridad de la información no puede ser considerada como una causal o situación objetiva que conlleve a la imputación de responsabilidad administrativa para Coches, ya que ello desconocería los principios y fundamentos de los estándares y prácticas de seguridad de información, así como el sentido y espíritu de la normatividad de protección de datos personales.

En donde la eventual responsabilidad por HOJA Nº la eventual vulneración del cargo objeto de investigación, solo debería materializarse en el evento de comprobar un elemento subjetivo de dolo o culpabilidad en el actuar del responsable del tratamiento. Si bien la materialización del incidente de seguridad objeto de la presente investigación pudo haber sido prevenido, se destaca que esta es una conclusión común y general cuando se realiza un análisis retrospectivo de cualquier incidente de seguridad de la información, es decir, no existencia incidentes que tras un análisis posterior de los hechos no haya podido tener una medida de control que lo hubiera evitado.

( ) 3. Frente a la incongruencia en las consideraciones y decisiones adoptadas por las direcciones de la En este punto, es pertinente precisar que debe ser tenida en cuenta por el Despacho la decisión tomada por esta misma Superintendencia mediante resolución 19-6831-0, del día 14 de enero de 2019. ( ) Conforme a lo señalado por la Corte Constitucional, el Despacho de adoptar una decisión que guarde correspondencia, identidad y congruencia con la decisión adoptada por esta Superintendencia hace unas semanas atrás. En el caso concreto, no hay similitud, hay algo más grande, identidad, son los mismos presupuestos, luego no hay lugar a adoptar una decisión diferente.

La decisión del 14 de enero de 2019 encontró fundamento en el hecho de que durante el proceso de investigación se pudo constatar por parte de esta entidad, que la actuación de Los Coches se encontraba enmarcada dentro de las exigencias legales y no se identificaron elementos de responsabilidad frente a la vulneración del régimen normativo de protección de datos personales.

( ) Siendo así vinculante y de obligatorio cumplimiento tomar decisiones conforme al precedente horizontal. Solicitando de esta forma al Despacho, tener en cuenta los elementos facticos y probatorios que cursan en el presente expediente, así como aquellos tomados en consideración por esta Superintendencia, y que sirvieron de fundamento para el archivo de la investigación adelantada por los mismos hechos.

De igual forma, la decisión adoptada debe ser tenida en cuenta como prueba de los actos diligentes de la compañía, asimismo, comprueba la eficacia del Régimen Corporativo de Protección de Datos Personales, el Programa Corporativo Integral de Protección de Datos Personales y cada acto adicional adoptado por Los Coches. ( )”.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20113 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señala que “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 4, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. 3 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 4 Artículo 23. Sanciones.

“La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: HOJA Nº Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”5 En el mismo sentido, y en relación con los principios6 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina7 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta8), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas” 9. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de imponer una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 5 Corte Constitucional.

Sentencia C-748 de 2011. 6 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 7 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 8 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. 9 Corte Constitucional. Sentencia C-406 de 2004. HOJA Nº sancionable. Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”10.

Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad corresponde a un total de mil cuatrocientas (1400) UVT (Unidades de Valor Tributario), equivalentes a CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($50’831.200).

La cual, representa aproximadamente el 2,8% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 3. VALORACIÓN PROBATORIA, BUENA FE Y DEBIDA DILIGENCIA Al respecto, la recurrente considera que todo el Régimen Corporativo de Protección de Datos Personales diseñado, aprobado e implementado por su parte, y en desarrollo de su Programa Corporativo Integral de Protección de Datos Personales, es un aspecto que se debe valorar por parte de esta autoridad como un acto de debida diligencia, con fundamento en el principio de buena fe objetiva: Igualmente, frente al incidente de seguridad de la información, la recurrente manifestó: “( ) Frente a la acreditación del principio de responsabilidad demostrada como causal de inaplicación de medidas sancionatorias: La sola ocurrencia de un incidente de seguridad de la información no puede ser considerada como una causal o situación objetiva que conlleve a la imputación de responsabilidad administrativa para Coches, ya que ello desconocería los principios y fundamentos de los estándares y prácticas de seguridad de información, así como el sentido y espíritu de la normatividad de protección de datos [sic] personales.

En donde la eventual responsabilidad por la eventual vulneración del cargo objeto de investigación, solo debería materializarse en el evento de comprobar un elemento subjetivo de dolo o culpabilidad en el actuar del responsable [sic] del tratamiento [sic]. Si bien la materialización del incidente de seguridad objeto de la presente investigación pudo haber sido prevenido, se destaca que esta es una conclusión común y general cuando se realiza un análisis retrospectivo de cualquier incidente de seguridad de la información, es decir, no existencia [sic] incidentes que tras un análisis posterior de los hechos no haya podido tener una medida de control que lo hubiera evitado.

Sin embargo, más allá de este 10 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº análisis retrospectivo que ha sido esencial para los procesos de mejora y lecciones aprendidas, no existen elementos que permitan inferir que Coches vulneró bajo una conducta omisiva su deber de seguridad de los datos [sic] personales, por el contrario, se ha constatado a lo largo del presente proceso de investigación, que la acción de la Compañía ha estado enmarcada dentro de los parámetros de una conducta diligente, caracterizada por la asignación y aplicación de los medios y recursos razonables en función del tamaño y naturaleza de la operación de Coches”.

Sobre lo anterior y con base en las pruebas que reposan en el expediente, es importante tener en cuenta, tal como se hizo en el acto administrativo que impuso la sanción, y así como se estableció en sede de reposición que, con anterioridad a la ocurrencia de los hechos, la investigada no adoptó medidas de seguridad necesarias, útiles y con miras a evitar que su asesor comercial fuera precavido y no adelantara cambios en el sistema de registro de la compañía, que efectivamente evitaran el error cometido por éste el 17 de noviembre de 2018.

Error que provocó la divulgación no autorizada de los Datos personales del quejoso y otros clientes, y que derivaron en la investigación administrativa en curso. Tampoco tiene asidero el argumento de la recurrente en el que afirma que se trata de un hecho aislado, ya que, así no se traten de hechos o casos sistemáticos, debe evaluar la efectividad del Programa Corporativo Integral de Protección de Datos Personales que reiteradamente menciona, pues es evidente que presenta fallas que lo hacen ineficiente frente a la protección necesaria y especial del Derecho Fundamental de habeas data.

4. DEL PRINCIPIO Y DEL DEBER DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES Sin seguridad no existe debido Tratamiento de Datos personales. Es por eso que la regulación señala, entre otras, lo siguiente: Literal g) del artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá́ manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) del artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Nótese que la redacción del Principio de Seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas.

La relevancia y alcance del deber de seguridad ha sido puesto de presente en los siguientes términos: “La seguridad es un proceso dinámico en constante evolución y prueba. Se quiere que exista un nivel de seguridad apropiado en las diferentes etapas del tratamiento de datos personales en donde las medidas de seguridad sean objeto de evaluación y revisión. Dichas medidas deben estar enfocadas para mitigar los siguientes riesgos: acceso no autorizado a los datos personales, pérdida, destrucción (accidental o no autorizada), contaminación (por virus informático) uso fraudulento, consulta, copia, modificación, adulteración, revelación, comunicación, o difusión no autorizados.

Para establecer las medidas se deben tener en cuenta, entre otras, las técnicas de seguridad existentes en general y para sectores específicos, los riesgos que presente el tratamiento y la naturaleza de los datos que deban protegerse, la probabilidad y severidad del daño obtenido, la sensibilidad de la información y el contexto en el que es realizado el tratamiento y las eventuales consecuencias negativas para los titulares de los datos.

( ) Proteger la información es una condición crucial del tratamiento de datos personales. Una vez recolectada debe ser objeto de medidas de diversa índole para evitar situaciones indeseadas que pueden afectar los derechos de los titulares y de los mismos Responsables y Encargados del tratamiento de los datos. El acceso, la consulta y el uso no autorizado o fraudulento así́ como la manipulación y pérdida de la información son los principales riesgos HOJA Nº naturales y humanos que se quieren mitigar a través de medidas de seguridad de naturaleza humana, física, administrativa o técnica”11.

Por su parte, la Corte Constitucional ha establecido que: “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(..) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”12. (Subrayado fuera de texto). Es así como, desde hace algunas décadas se ha afirmado que la confianza es factor crucial para el crecimiento y consolidación de cualquier actividad que involucre el Tratamiento de Datos personales.

Por eso, se ha sostenido que “las actividades continuas de creación de confianza deben ser una de las prioridades estratégicas más importantes para cada organización”13. La confianza se entiende como la expectativa de que “se puede contar con la palabra del otro” y de que se emprenderán acciones positivas y beneficiosas entre las partes de manera recíproca.

La seguridad genera confianza, si falla, es clave estar muy bien preparados y entrenados para actuar frente a los incidentes de seguridad de manera inmediata, profesional e inteligente. De ahí el llamado que hace el Despacho a la recurrente para que adopte medidas efectivas, útiles y demostrables que garanticen, en la práctica, la seguridad de los Datos personales de los Titulares sobre los que realiza Tratamiento de la información.

5. CARGA DE LA PRUEBA La jurisprudencia colombiana, en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”14 En correspondencia con lo anterior, este Despacho considera importante resaltar que LOS COCHES, en ningún momento, aportó la prueba esperada en esta actuación administrativa.

Pues, no logró demostrar que adoptó las medidas idóneas, pertinentes, eficientes y útiles para que su asesor comercial no hubiese incurrido en el error mencionado el 17 de noviembre de 2018. Lo anterior, a pesar de haber contado con las oportunidades legales para tal fin. En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto.

La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales. Contra el acto que decida la solicitud de pruebas no proceden recursos.

El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las 11 REMOLINA ANGARITA, Nelson. 2013. Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012. 1 ed. Bogotá: Legis Editores.

Págs. 216-217 12 Corte Constitucional. Sentencia C – 748 del 2011. 13 Cfr Edelman Trust Barometrer de 2019 https://www edelman com/trust-barometer 14 Corte Constitucional, Sentencia T-733 de 2013. HOJA Nº partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes.” 15; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”16 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”17 Así las cosas, es inocultable el actuar de la recurrente, en el sentido de no haber aportado la prueba que permitiera, al menos, determinar de manera exacta y sin lugar a duda que su asesor comercial estaba capacitado sobre el manejo del sistema y el debido Tratamiento de los Datos personales de sus clientes.

Pues de haberlo estado, en ningún momento habría cambiado la información en el sistema de la compañía, y más aún, el sistema no se lo debería haber permitido. Por lo expuesto, se reitera que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no cumplió el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma norma.

6. DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA “ACCOUNTABILITY” Manifiesta la investigada que, dentro de la estructura administrativa de la compañía no solo el oficial de privacidad cuenta con un rol definido, sino que todas las áreas son partícipes mediante la figura de delegados de privacidad. Adicionalmente, informa que sus actuaciones se adelantan bajo los criterios de debida diligencia y buena fe, además de llevar a cabo: “( ) la corrección o ajuste en la parametrización del sistema informático de facturación de la Compañía [sic], evitando que este tipo de incidentes o situaciones similares se pudieran presentar en el futuro ( ) acción operativa a través de redes sociales, correo electrónico y contactabilidad directa a través de medio telefónico para aclarar y corregir la información del titular de información que equivocadamente fue expuesta ( ) un proceso de conciliación con el titular [sic] de información el cual culminó con un acuerdo compensatorio de tipo económico, con el propósito de contribuir de forma razonable a la mitigación y compensación de la afectación derivada del incidente de seguridad ( ) continúa desarrollando de manera continua su plan anual de protección de datos personales liderado por el oficial de privacidad, con miras a seguir desplegando y asegurando las acciones de cumplimiento y mejora continua, desarrollando acciones gestión de riesgo, monitoreo, verificación, capacitación, divulgación, entre otras.

En este punto vale la pena recordar lo señalado por la Dirección de Investigación de Protección de Datos Personales en el acto administrativo No. 70033 de 2021, al mencionar lo expresado en la Resolución No. 12192 de 2 de abril de 2012: 15 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 16 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 17 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. HOJA Nº En virtud de lo anterior, no se disminuyó el valor de la sanción con base en el principio alegado. Lo anterior considerando que las medidas a las que se ha referido la investigada a lo largo de esta actuación administrativa no se adoptaron antes de 17 de noviembre de 2018, fecha de ocurrencia del incidente de seguridad, sino en una fecha posterior.

7. SOBRE LAS DECISIONES ADOPTADAS POR LAS DIRECCIONES DE LA En el recurso bajo estudio la recurrente señala que la decisión tomada por esta autoridad administrativa el 14 de enero de 2019 en la actuación No. 19-6831, debe ser tenida en cuenta en este proceso por parte de este Despacho. Frente a esto se reitera que, el expediente señalado correspondió a la gestión de un incidente de seguridad en cumplimiento del literal n) del artículo 17 de la Ley 1581 de 2012, lo cual dista de la actuación administrativa (investigación) de naturaleza sancionatoria que está en curso (19-79100) en razón de la vulneración del deber contenido en el literal d) del mismo artículo el cual consiste en conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Así, no le asiste la razón a DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., pues no estamos ante una identidad de presupuestos como equivocadamente lo afirma. Esto también se puso de presente en la Hoja No. 24 de la Resolución No. 70033 de 29 de octubre de 2021 por medio de la cual se resolvió el recurso de reposición de esta actuación administrativa: “En consecuencia, el radicado 19-6831-00005 del 7 de febrero de 2020 corresponde a una respuesta frente a dicha gestión por parte de la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección y no a una decisión de naturaleza sancionatoria.

Incluso, si la sociedad DISTRIBUIDORA LOS COCHES HOJA Nº 10 LA SABANA S.A.S. no hubiese dado cumplimiento al mentado literal n) a través de la presentación del incidente de seguridad, hubiese sido susceptible a la formulación de cargos también por dicho deber”.18

8. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”19. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia; el cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

De esta manera, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido. Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y, en general, ninguna persona, sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la que no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data no pueden prescindir de su observancia, o escapar de su cumplimiento, 18 Dirección de Investigación de Protección de Datos Personales.

Resolución No. 70033 de 29 de octubre de 2021. Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 11 dado que su obligatoriedad es garantizada por la voluntad del Estado, lo que impide dejar un espacio de valoración subjetiva de casos concretos.

Asimismo, es importante recordar que los criterios contenidos en los literales b), c), d) y e) del mencionado artículo 24, son agravantes y se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la recurrente beneficio económico alguno por la comisión de la infracción; Reincidencia en la comisión de la conducta;

Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, al momento de imponer la sanción se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas En segundo lugar, es claro que la Resolución No. 56651 de 1 de septiembre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental20 a la protección de Datos21. En cuarto lugar, es relevante tener presente que de acuerdo con la última información reportada por DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. en el Registro Nacional de Base de Datos, dicha sociedad realiza Tratamiento de Datos personales de aproximadamente doscientos ochenta y cinco mil seiscientos veinticuatro (285.624) ciudadanos, lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o 20 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 21 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 12 teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”22.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia23. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.

9. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Por lo antes señalado, la actividad económica realizada por DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. debe tener en consideración este llamado constitucional a ser respetuosa de los derechos fundamentales y humanos de los ciudadanos, incluido el derecho fundamental al debido Tratamiento de los Datos Personales consagrado en el precitado artículo 15 de la Constitución Política. 22 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº 13

10. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Ahora, según el artículo 22 de la Ley 222 de 1995 24 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y, además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 25 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”26.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. En virtud de lo expuesto, se exhorta a la Representante Legal de DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. para que adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.

Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; 4. Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”27.

Especial 24 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 25 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 26 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 27 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf HOJA Nº 14 énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos personales; 5.

Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. realizó divulgación no autorizada del número de teléfono del denunciante y a su vez, este recibió a su correo electrónico Datos no autorizados de los clientes de la investigada; 2.

La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. incumplió el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma norma; 3. Así el quejoso hubiera desistido de la denuncia presentada ante esta autoridad, es un deber verificar si hubo o no una infracción al Régimen General de Protección de Datos colombiano; 4.

El criterio de atenuación de la sanción previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, fue analizado y aplicado en debida forma, tal y como se estableció en la Resolución No. 56651 de 1 de septiembre de 2021; 5. El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. 6.

La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Datos personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia;

7. DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no aportó la prueba que permitiera, al menos, determinar de manera exacta y sin lugar a duda que su asesor comercial estaba capacitado sobre el manejo del sistema y el debido Tratamiento de los Datos personales de sus clientes. Pues, de haberlo estado, en ningún momento habría cambiado la información en el sistema informático de la compañía, y, mucho menos, el sistema se lo habría permitido.

Por esta razón, la investigada no demostró el cumplimiento del Principio de Responsabilidad Demostrada con anterioridad a 17 de noviembre de 2018, fecha de ocurrencia del incidente de seguridad objeto de estudio; 8. La multa impuesta por parte de esta entidad corresponde a un total de mil cuatrocientas (1400) UVT (Unidades de Valor Tributario), equivalentes a CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($50’831.200).

La cual, representa aproximadamente el 2,8% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012;

9. DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., de acuerdo con la última información que reportó en el Registro Nacional de Bases de Datos, realiza Tratamiento de Datos personales de aproximadamente doscientos ochenta y cinco mil seiscientos veinticuatro (285.624) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos;

10. DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la eximen de cumplir la Constitución Política Nacional y la ley. HOJA Nº 15 De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 56651 de 1 de septiembre de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 56651 de 1 de septiembre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con Nit. 860.052.634-2, a través de su representante legal o su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxxx Xxxxx Xxxxxx Xxxxxxxxxx, identificado con la Cédula de Ciudadanía No. xx.xxx.xxx o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., agosto 10 de 2022 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), digitalmente CRISTINA Firmado por CRISTINA CORZO RODRIGUEZ RODRIGUEZ Fecha: 2022.08.10 14:48:30 -05'00' CORZO CRISTINA RODRÍGUEZ CORZO CGC HOJA Nº 16 Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. Nit. 860.052.634-2 Ricardo Salazar Arias C.C. No. 10.137.586 contabilidad@loscoches.com.co Av El Dorado No. 77-04 Bogotá D.C. Colombia Comunicación Señor: Identificación: Correo electrónico: Xxxxx Xxxxx Xxxxxx Xxxxxxxxxx C.C. No. xx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxxxxxx