REPÚBLICA DE COLOMBIA (junio 13 de 2023) Radicación 20-30674 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y CONSIDERANDO:
PRIMERO. Que mediante Resolución No. 33153 del 31 de mayo de 2022 la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra del señor XXXXX XXXXXXXX XXXXXXX XXXXXXX, resolvió lo siguiente: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria al señor XXXXX XXXXXXXX XXXX XXXXXXX identificado con la cédula de ciudadanía número xx.xxx.xxx, correspondiente a SETENTA Y CINCO MILLONES SETECIENTOS CUARENTA Y UN MIL NOVECIENTOS SETENTA Y DOS PESOS ($75.741.972) correspondientes a MIL NOVENCIENTAS NOVENTA Y TRES (1.993) UNIDADES DE VALOR TRIBUTARIO (“UVT”), por violación en lo dispuesto en: • Principio de seguridad (L.1581/12, art. 4(g)) en concordancia con el deber de conservar la información la información bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento (L.1581/12, art. 17(d)). • Principio de seguridad (L.1581/12, art. 4(g)) en concordancia con el deber de conservar la información la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (L.1581/12, art. 17(d)). • Principio de finalidad (L.1581/12, art. 4(b)) y el deber de informar debidamente sobre la finalidad de la recolección y de los derechos que le asisten por virtud de la autorización otorgada (L.1581/12, art. 17(c)). • Principio de acceso y circulación restringida (L.1581/12, art. 4(f)) y la prohibición de transferencia de datos a terceros países (L.1581/12, art. 26), sin ninguna excepción comprobable por parte de los investigados y por no haber solicitado la declaración de conformidad ante la SIC…” “ARTÍCULO SEGUNDO: ORDENAR al XXXXX XXXXXXXX XXXX XXXXXXX identificado con la cédula de ciudadanía número xx.xxx.xxx al cierre inmediato y definitivo de cualquier operación que involucre el tratamiento de datos sensibles contenidos en las bases de datos publicitadas en el Grupo de Facebook”
SEGUNDO. Que el señor XXXXX XXXXXXXX XXXX XXXXXXX, a través de su apoderado (en adelante el RECURRENTE), interpuso recurso de reposición y en subsidio de apelación1, contra la Resolución No. 33153 del 31 de mayo de 2022, cuyos argumentos son los señalados en el escrito obrante en el consecutivo 36 con radicado No 20-30674 del 17 de junio de 2022.
TERCERO. Que mediante Resolución No. No. 61166 de 7 de septiembre de 2022, el Director de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por el recurrente, confirmando la Resolución No. 33153 del 31 de mayo de 2022, y concediendo el recurso de apelación.
CUARTO. Que este despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia. De acuerdo con el certificado suscrito por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicado bajo el número 20-30674-35 de 21 junio de 2022, la Resolución No. 33153 del 31 de mayo de 2022 fue notificada personalmente de manera electrónica al señor XXXXX XXXXXXXX XXXX XXXXXXX el 3 de junio de 2022, con lo cual el término para presentar los recursos vencía el 17 de junio de 2022.
“Por la cual se resuelve un recurso de apelación”
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho modificará el acto administrativo recurrido, conforme a los argumentos que pasan a exponerse: 5.1 RESPONSABLE DEL TRATAMIENTO DE BASES PERSONALES Y PROTECCION DEL BIEN JURÍDICO TUTELADO El argumento que pone sobre la mesa el recurrente para desvirtuar los cargos que le fueron imputados, se limita a afirmar que la razón por la cual se le sanciona, es porque esta superintendencia fundamentó su decisión en que se “dio por hecho” que el señor XXXXX XXXX, realizó la publicidad y venta de bases de datos sin la autorización de los titulares de estas.
La anterior afirmación no tiene sustento ni aceptación alguna por dos razones: 1. Si se revisa con detenimiento, los argumentos que soportan los dos actos administrativos expedidos contra el investigado, estos son, el que dio apertura a la presente actuación, y la Resolución No. 33153 del 31 de mayo de 2022 por la cual se emite la decisión sancionatoria, se sustentan en la calidad de Responsable que fue evidenciado y probado en el expediente, en los términos establecidos por el artículo 3 de la ley 1581 de 2012, concretamente en lo expresado en las definiciones de los literales e) y g): e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Efectivamente, tal y como se probó en el transcurso de la presente actuación administrativa, el aspecto determinante que reveló la calidad de Responsable, tanto del señor XXXX XXXXXXX como de la empresa COLOMBIAN TELEMARKETING CORP S.A.S. – en liquidación- (“COLOMBIAN TELEMARKETING”), fue la promoción y oferta que realizaron a través de la red social Facebook, para ofrecer en venta datos personales.
En el caso en concreto, se evidenció que COLOMBIAN TELEMARKETING y XXXXX XXXX, de acuerdo con la inspección realizada al grupo de Facebook denominado “TELEMARKETING-CALLCENTER-BASES DE DATOS - AGENTESCAMPAÑAS” con la siguiente dirección de dominio https://www.facebook.com/groups/913124438774208 / ofrecían para la venta bases de datos procedentes de otros países (tentativamente de Estados Unidos, España y México), instalación de emuladores de marcadores masivos predictivos, bases de datos de fondos de pensiones colombianos, bases de datos del Banco de Bogotá, bases de datos con información con nombre completo, identificación, créditos, cartera de vivienda, cartera bancaria, cartera financiera, estado actual de endeudamiento, endeudamiento A, número de consultas en los últimos 6 meses, ingresos, gastos, entre otros.
“Por la cual se resuelve un recurso de apelación” “Por la cual se resuelve un recurso de apelación” La anterior circunstancia fáctica, encaja a la perfección con las definiciones descritas en los preceptos de la Ley 1581 de 2012, ya que se observa de manera evidente, que al ofertar en esta red social las bases de datos descritas, los investigados cuentan en su poder con una información sobre la cual pretendían obtener algún tipo de rédito o ganancia, realizando la transferencia y, por lo tanto, decidiendo sobre la suerte y finalidad de la misma; es decir, el hecho de ofertar los datos personales en la red Facebook supone, al menos, haber realizado la “recolección y el almacenamiento”, lo que aunado a la promoción en la red, implica que adelantó operaciones de tratamiento de datos con la pretensión de obtener algún beneficio con la puesta en venta de éstos.
De ahí parten entonces las imputaciones que se realizan a estas personas, porque de la calidad de Responsable, se desprenden una serie de obligaciones que fueron trasgredidas por parte del recurrente, de modo que, la sanción impuesta no es por la publicidad o por la supuesta venta fallida de los datos personales, sino por haber incumplido las obligaciones que se generan cuando se tiene la calidad de Responsable del tratamiento de datos personales. 2.
Adicionalmente, si lo que se pretende con el argumento, es demostrar que no se materializó ninguna trasgresión a la norma, porque supuestamente no se pudieron concretar las ofertas que se realizaron en la red social, ello tampoco es suficiente para enervar los cargos formulados. La razón de ello es porque la sanción administrativa, no requiere de la lesión efectiva del bien jurídico para que se materialice la infracción; es decir, no era necesario comprobar que se transó con los datos personales de los titulares, sino que la mera oferta de los mismos, puso en peligro el bien jurídico que se pretende proteger con las normas que se infringieron, que no es otro que la protección del derecho fundamental de habeas data, por ello la jurisprudencia del Consejo de Estado al respecto a dicho: “Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma.”, de allí que se sostenga que el reproche recae sobre “la mera conducta”.
En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración. Así las cosas, el derecho administrativo sancionador se caracteriza por la exigencia de puesta en peligro de los bienes jurídicos siendo excepcional el requerimiento de la lesión efectiva.” 2 En otras palabras, para imponer una sanción por la infracción de los Responsables del tratamiento de datos personales de una obligación legal, no se requiere de la lesión efectiva del bien jurídico tutelado, sino que la sola puesta en peligro da lugar a activar la potestad sancionatoria del Estado.
Efectivamente, la sanción administrativa no requiere la violación efectiva el bien jurídico para que se materialice la infracción, por lo tanto, no era necesario comprobar que se materializó la venta de los datos personales de los titulares, sino que la mera oferta de los mismos puso en peligro el bien jurídico, y más concretamente, los principios de libertad, seguridad, finalidad y acceso y circulación, al no haberse demostrado el otorgamiento de la debida autorización de los titulares de los datos personales.
En consecuencia, el hecho de haber puesto en venta los datos personales en la red social, por sí sólo, ya configuró una acción que supuso la violación da varias obligaciones establecidas en la ley, poniendo en peligro en derecho fundamental del habeas data de las personas titulares de los Consejero ponente: ENRIQUE GIL BOTERO Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012) Radicación número: 05001-23-24-0001996-00680-01(20738) “Por la cual se resuelve un recurso de apelación” derechos que allí se encontraban involucrados. 5.2 DEBIDO PROCESO El segundo argumento expuesto por el recurrente, tampoco encuentra sustento o soporte alguno. Se afirma que el investigado está siendo condenado “como si fuera el principal responsable de la publicidad y venta de las bases de datos”, lo que, según él, supone una violación al debido proceso.
Este argumento supone, o da a entender, que la imputación de responsabilidad, dependa de la mayor o menor participación del infractor de la norma, lo que de entrada debe catalogarse como totalmente errado. En efecto, en primer lugar, según lo probado en el expediente, es claro que tanto la empresa como el señor XXXX XXXXXXX, aparecen como los ofertantes de los servicios que se muestran en la red social, allí no hay diferenciación ni identificación alguna sobre el rol distinto, o menos comprometedor que supuestamente desempeñaba el señor XXXX XXXXXXX, luego no tiene asidero afirmar o insinuar que su responsabilidad fue menor.
En segundo lugar, dado el carácter de responsable, que fue debidamente evidenciado y comprobado en el expediente, junto con la ausencia de distinción que en esta categoría realiza la norma, el señor XXXX XXXXXXX se encuentra en el mismo nivel de responsabilidad de la empresa, de modo que no puede reclamar un tratamiento distinto o una imputación diferenciada.
Así mismo, se reitera la imputación no fue por la publicidad y venta de los datos personales, sino por la inobservancia de las obligaciones que se desprenden por el carácter de responsable del tratamiento de los datos personales. Ahora bien, en lo que toca al debido proceso, donde se afirma que este fue violado porque “no hay pruebas que acrediten al señor Xxxxx Xxxx como principal responsable de la sociedad COLOMBIA TELEMARKETING CORP SAS”, es preciso aclarar que, en modo alguno, la imputación de los cargos estaba condicionada a que se probara algún tipo de vinculación entre el señor XXXX XXXXXXX y la empresa en mención, prueba de ello es que el auto de apertura es claro en asignar las conductas a la persona natural y a la persona jurídica de manera independiente, por lo que desde la imputación, es claro que el debido proceso se observó de manera rigurosa, porque se imputaron los cargos de manera clara y concisa a cada uno. Por lo demás, no se entiende el sustento de afirmar que se violó el debido proceso, porque contrario a lo afirmado por el RECURRENTE es más que evidente, que tanto la imputación de las conductas en el auto de apertura, que se ajustó a la normatividad vigente y a los hechos, como las oportunidades que se brindaron para controvertir los cargos, así como la posibilidad de aportar y solicitar las pruebas respectivas, determinaron el derrotero del proceso en ciernes, por lo tanto no se observa violación alguna del principio del debido proceso. 5.3 AMBITO TERRITORIAL Por último, aunque el recurrente no abordó el tema, sí es oportuno aclarar lo relacionado con el ámbito de aplicación de la norma en el factor espacio, toda vez que se observa que los titulares de los datos personales que fueron ofertados en la red social, al parecer, podrían corresponder a distintas nacionalidades, lo que podría suscitar dudas frente a la aplicación territorial de la norma.
Al respecto indica el artículo 2 de la ley 1581 de 2012 lo siguiente: “…La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales…” El término “Tratamiento” es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: “Artículo 3.
Definiciones. Para los efectos de la presente ley, se entiende por: “(…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia. b. El responsable o el Encargado no está domiciliado en la República de Colombia ni realiza tratamiento de datos dentro del “Por la cual se resuelve un recurso de apelación” territorio colombiano, pero existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.
La Corte Constitucional, por su parte, en relación con el ámbito de aplicación de ese artículo señaló en la Sentencia C-748 de 2011: “Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos Tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo.
En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los Tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras.
Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data”. En consecuencia, para el presente caso, no importa que los titulares de los datos fuesen o no nacionales colombianos, ni que estos se encuentren o no residiendo en el territorio colombiano, lo que importa es que el responsable del tratamiento de los datos personales, a través de cualquier medio, realice la recolección, el uso o el almacenamiento, en el territorio de la República de Colombia.
CONCLUSIONES 1. La sanción administrativa no requiere de la lesión efectiva del bien jurídico para que se materialice la infracción, por lo tanto, no era necesario comprobar que se materializó la venta de los datos personales de los titulares, sino que la mera oferta de los mismos puso en peligro el bien jurídico, y más concretamente, los principios de libertad, seguridad, finalidad y acceso y circulación, al no haberse demostrado el otorgamiento de la debida autorización de los titulares de los datos personales. 2.
El hecho de ofertar datos personales en redes, supone haber realizado la “recolección y el almacenamiento”, lo que, aunado a la promoción en la red, implica la decisión o la pretensión de obtener algún beneficio con la puesta en venta de tales efectos. 3. El ámbito de aplicación territorial de la norma, supone que quien funja como responsable del tratamiento de los datos personales, a través de cualquier medio, realice la recolección, el uso o el almacenamiento, en el territorio de la República de Colombia.
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 33153 del 31 de mayo de 2022, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente en contenido de la presente decisión a XXXXX XXXXXXXX XXXX XXXXXXX, identificado con la cédula de ciudadanía número xx.xxx.xxx, y a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., junio 13 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.06.13 18:01:41 -05'00' CIELO ANGELA PEÑA RODRIGUEZ Proyectó: HFTM Revisó: NTL “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Persona: Identificación: Correo Electrónico: XXXXX XXXXXXXX XXXX XXXXXXX xx.xxx.xxx Apoderado: Identificación: Dirección: Ciudad: Correo Electrónico: JAIME ANDRES QUINTANA CHAPARRO C.C. 1.144.061.765 Carrera 2 oeste # 2 – 21, edificio Don Juan Oficina 304 Cali (Calle del Cauca) jquintana@castilloracines.com jaimequintana.ch@hotmail.com xxxxxxxxxxxxxxxxxxxxxx