(20 OCTUBRE 2021) “Por la cual se resuelve un recurso de reposición” VERSIÓN ÚNICA Radicación 19-130128 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante Resolución N°. 27387 del 6 de mayo de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la empresa MEDINUCLEAR S.A.S., identificada con el Nit. 800.223.618-0, de VEINTINUEVE MILLONES NOVECIENTOS NOVENTA MIL CUATROCIENTOS OCHO PESOS M/CTE ($29.990.408), correspondiente OCHOCIENTOS VEINTISÉIS (826) Unidades de Valor Tributario (UVT) por la violación al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
De igual manera, mediante dicho acto administrativo ordenó a la sociedad MEDINUCLEAR S.A.S., identificada con el Nit. 800.223.618-0, lo siguiente: • La sociedad MEDINUCLEAR S.A.S., deberá adoptar una Política de Tratamiento de información conforme a lo señalado en la Ley 1581 de 2012 y, particularmente al artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. • La sociedad MEDINUCLEAR S.A.S., deberá modificar sus manuales para dar cumplimiento a lo señalado en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015, con el fin de que la recolección, almacenamiento, uso y circulación de los datos personales sean objeto de tratamiento durante el tiempo que sea razonable y necesario.
SEGUNDO: Que, el contenido de la Resolución 27387 del 6 de mayo de 2021, le fue notificada a la investigada por aviso 9793 del 19 de mayo de 2021 como consta en Certificado proferido por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia bajo radicado 19-130128--25 del 21 de mayo de 2021.
TERCERO: Que, estando dentro del término legal establecido, el día 1 de junio de 2021 mediante escrito radiado bajo el número 19-130128-00026, la sociedad investigada interpuso ante esta Superintendencia recurso de reposición y en subsidio de apelación contra la Resolución número 27387 del 6 de mayo de 2021 fundamentado los siguientes argumentos: 3.1 Señaló la investigada que en diciembre 7 de 2020 entró en vigencia la “Política de Tratamiento de Datos Personales ODSI001 – versión 2”, lo cual “deja en evidencia que con anterioridad a la expedición de la Resolución No. 27387 de fecha 6 de mayo de 2021 (…) MEDINUCLEAR S.A.S ya había procedido con la actualización de su Política de Tratamiento de Datos Personales, dando cabal cumplimiento a lo dispuesto en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.” En razón a esto, solicita revocar la sanción impuesta y la orden administrativa. 3.2 Indica que, el “Procedimiento de Seguridad y Trazabilidad de la Información PRSI002” fue modificado en diciembre de 2020 “con el fin de que incluyera de manera expresa lo correspondiente a la recolección, almacenamiento, uso, circulación y supresión de la “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” información” por lo que “actualmente cumple con los requisitos establecidos en el artículo 2.2.2.25.2.8. del Decreto Único Reglamentario 1074 de 2015.” Por lo anterior, solicitó revocar la orden administrativa “relacionada con la modificación de Manuales”, debido a que dicha orden ya ha sido acatada. 3.3 Manifestó que, en caso de que no prospere la petición de revocatoria de la sanción y de las órdenes administrativas, solicita reconsiderar el valor de la multa teniendo en cuenta los siguientes argumentos: 3.3.1 Que se tenga en cuenta lo dispuesto en el literal f del artículo 24 de la ley 1581 de 2012 toda vez que previo a la expedición de la Resolución número 27387 del 6 de mayo de 2021, la sociedad ya había actualizado su Política de Tratamiento de Datos Personales, pues señaló que: “(e)n efecto MEDINUCLEAR S.A.S. había adoptado una política de tratamiento de Datos personales que entró en vigencia el 12 de junio de 2019 y fue la que presentó en el marco de su escrito de descargos en ejercicio de su derecho de defensa, por tal motivo no acepto(sic) en su momento y de manera expresa la comisión de la infracción ( ) Sin embargo, de manera posterior y en atención a los requerimientos de la autoridad, esta sociedad evidenció la necesidad de actualizar y complementar su Política de Tratamiento de Datos Personales con el fin de cumplir cabalmente con los requisitos establecidos en el artículo 2.2.2.25.3.1 del Decreto Reglamentario 1074 de 2015 y adelantó dicha actuación antes de que la autoridad emitiera el acto administrativo por medio del cual se impuso la sanción”. 3.3.2 Indicó que, la Resolución en mención no dio cumplimiento al deber de motivación del acto administrativo, vulnerando así el debido proceso y derecho de defensa.
“El hecho de que la Política de Tratamiento de Datos Personales de la sociedad MEDINUCLEAR S.A.S., vigente para dicha fecha, no cumpliera con la totalidad de los requisitos establecidos en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 no implica per sé que se afectó de forma real y concreta los intereses jurídicos tutelados por la Ley” (negrilla y subraya del texto original) Señaló que: “La Dirección cita como sustento de la ‘afectación real y concreta de los intereses jurídicos’ un incumplimiento de carácter normativo, sin que en el presente caso se materializara un daño real y concreto.
Es importante mencionar que, hasta la fecha, no se ha configurado y demostrado la vulneración de los derechos de algún titular de la inforación respecto del cual MEDINUCLEAR S.A.S. tenga la calidad de responsable, así como tampoco se han recibido quejas en materia de protección de datos por parte de algún titular por un indebido uso de sus datos personales.
( ) 3.3.3. De igual manera, indicó que: “Revisada de manera detallada la Resolución No. 27387 de 2021, es posible concluir que no se presenta fundamentación que sustente el valor de la multa, de hecho, no es posible determinar cómo la Dirección de Investigación de Datos Personales determinó el cálculo de las 825UVT (…) La ausencia de dichos elementos impide el correcto ejercicio de defensa de MEDINUCLEAR S.A.S. debido a que con los elementos expuestos en la citada resolución no es posible presentar contraargumentos frente al valor determinado por la autoridad”. 3.3.3 Manifiesta que, teniendo en cuenta lo consagrado en el artículo 49 de la Ley 1437 de 2011 que establece que “el funcionario competente proferirá el acto administrativo definitivo dentro de los treinta (30) días siguientes a la presentación de los alegatos” y que los “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” alegatos de conclusión se presentaron el 30 de octubre de 2019, “la autoridad debió proferir acto administrativo el 13 de diciembre de 2019” y por tanto la autoridad debió tomar en cuenta el valor de los UVT para el año 2019 y no el valor de los UVT para el año de expedición de la Resolución número 27387 de 2021, solicitando así “la aplicación de la normativa vigente a la fecha en que se debió imponer la sanción (año 2019)” Como señala “si la autoridad hubiera fallado en cumplimiento de los términos de ley era viable la aplicación del SMLMV del año 2019” y “no existe justificación fáctica frente a la dilación del trámite para decidir el presente proceso sancionatorio”. 3.4 A continuación, se indican las pretensiones planteadas por el recurrente: 3.4.1 PRINCIPALES: “REPONER PARA REVOCAR el artículo primero de la Resolución 27387 de 2020 por medio de la cual se impone una sanción y en su lugar ARCHIVAR LA ACTUACIÓN adelantada en contra de la sociedad MEDINUCLEAR S.A.S, titular NIT. 800223.618-0, de acuerdo con los argumentos expuestos en el numeral 1 del acápite II del presente recurso” “REPONER PARA REVOCAR el artículo segundo de la Resolución No. 27387 de 2020 por medio del cual se imparten dos órdenes administrativas y en su lugar ARCHIVAR LA ACTUACIÓN adelantada en contra de la sociedad MEDINUCLEAR S.A.S, titular NIT. 800223.618-0, de acuerdo con los argumentos expuestos en el numeral 1 y 2 del acápite II del presente recurso.” 3.4.2 SUBSIDIARIAS: En caso de no prosperar la pretensión principal 2.2. solicitamso respetuosamente: REPONER EN EL SENTIDO DE MODIFICAR arl artículo primero de la Resolución No. 27387 de 6 de mayo de 2020, disminuyendo el valor de la multa impuesta como sanción de conformidad con los argumentos expuestos en el numeral 3 del acápite II del presente recurso.
En ningún caso hacer la situación más gravosa, en virtud del principio de non reformatio in peius.
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición se halla contemplado en los artículos 74 al 82 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, que al respecto expresan lo siguiente: “Artículo 74. Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1.
El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. “Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez…” “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” “Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)”
QUINTO: Que la Ley 1266 de 2008 establece que la Superintendencia de Industria y Comercio, a través de la Dirección para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
SEXTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 6.1 El recurso fue interpuesto por MEDINUCLEAR S.A.S., dentro del término legal, y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 6.1.1 Que, MEDINUCLEAR S.A.S., fue notificada del contenido de la Resolución N°. 27387 del 6 de mayo de 2021, por aviso 9793 del 19 de mayo de 2021 como consta en Certificado proferido por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia bajo radicado 19-130128--25 del 21 de mayo de 2021. 6.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el día 1 de junio de 2021 mediante escrito radiado bajo el número 19-130128-00026, encontrándose presentado dentro del término legal. 6.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución N°. 27387 del 6 de mayo de 2021.
SÉPTIMO: ANÁLISIS DEL CASO Previa verificación del cumplimiento de los requisitos contemplados en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, procede este Despacho a estudiar los argumentos de la sociedad MEDINUCLEAR S.A.S. expuestos mediante recurso de reposición y en subsidio apelación, bajo las siguientes consideraciones: 7.1 Respecto a la implementación de la Política de Tratamiento de Datos Personales con el lleno de los requisitos legales.
Argumenta el recurrente que, durante el año 2020, desplegó sus esfuerzos para que la política en materia de datos personales diera cumplimiento a las normas vigentes sobe la materia, y las recomendaciones dadas por esta Superintendencia Igualmente, señala el recurrente que, el 7 de diciembre de 2020 entró en vigencia la “Política de Tratamiento de Datos Personales ODSI001 – versión 2”, lo cual “deja en evidencia que con anterioridad a la expedición de la Resolución No. 27387 de fecha 6 de mayo de 2021 (…) MEDINUCLEAR S.A.S ya había procedido con la actualización de su Política de Tratamiento de Datos Personales, dando cabal cumplimiento a lo dispuesto en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015”.
“Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Y continúa afirmando, “lo anterior deja en evidencia que con anterioridad a la rexpedición de la Resolución No. 27387 (…), MEDINUCLEAR S.A.S., ya había procedido con la actualización de su Política de Tratamiento de Datos Personales, dando cabal cumplimiento a lo dispuesto en el artículo 2.2.2.25.3.1 del Decreto único Reglamentario 1074 de 2015.” Finalmente solicita, revocar la sanción impuesta mediante la Resolución requerida.
Respecto de lo manifestado por el recurrente, es importante poner de presente lo siguiente: En Colombia, la protección de datos personales es un derecho constitucional fundamental previsto en el artículo 15 de la Carta Política de 1991, y cuyo texto es el siguiente: “Todas las personas tienen derecho (…) a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.
En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” En segundo lugar, en el curso de la actuación administrativa o incluso antes de iniciada la misma, es posible que la sociedad investigada adecue sus procedimientos y realice las acciones pertinentes para que cesen las circunstancias que motivaron el inicio de la investigación, que amenazan y ponen en riesgo el derecho fundamental, y por consiguiente demuestran el cumplimiento de los deberes endilgados por la Ley.
Evento en el cual las órdenes impartidas por la administración encaminadas a salvaguardar dicho derecho resultarían innecesarias. Sin embargo, esto no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido la recurrente. Esta Dirección ha sido enfática en señalar de manera reiterada que el hecho de que una organización corrija sus errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales.
En tercer lugar, esta entidad no solamente está facultada para adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data, en virtud del artículo 23 de la Ley 1581 de 2012, “la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó (…)”.
Esto quiere decir, que esta Superintendencia está facultada para adelantar la investigación correspondiente para determinar si existe responsabilidad administrativa por parte de los Responsables del Tratamiento, derivada del incumplimiento de la citada normatividad, y, si es del caso, imponer las sanciones a que haya lugar. Esto fue precisamente lo que ocurrió en el presente caso, dentro del cual se demostró que la sociedad MEDINUCLEAR S.A.S. no cumplió con el deber especial contemplado en al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
De esta manera, si bien dentro de las actuaciones administrativas y en las acciones de tutela es posible aducir la ocurrencia de hechos que pueden dar lugar a la extinción del objeto jurídico sobre el que recae la misma, para que se dé por terminado el proceso mediante la declaratoria de un “hecho superado”, tal argumento no surte igual efecto dentro de las investigaciones administrativas Sancionatorias adelantadas por esta entidad cuando en el curso de las mismas se comprueba la violación de las disposiciones consagradas en la Ley 1581 de 2012 y, por ende, la responsabilidad de los Responsables y Encargados del Tratamiento, según sea el caso.
En el caso bajo estudio como se indicó en la Resolución número 27387 del 6 de mayo de 2021: “La sociedad investigada conocía de su deber de registrar sus bases de datos, a partir del correo electrónico enviado por esta Superintendencia en fecha: 6 de noviembre de 2018 a las 04:02 pm, desde el usuario ‘soporternbd2@sic.gov.co’ y con tema ‘comunicado 30 de noviembre 2018 Vencimiento plazo de inscripción en el Registro Nacional de Bases de Datos’;
Correo en el que se advierte que cumple con los parámetros de tener más de 100.000UVT para el año fiscal 2017 y que debe registrar sus bases de datos a más tardar el 30 de noviembre del 2018. “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” En vista de que la sociedad en cuestión hizo caso omiso al correo enviado por esta Superintendencia, el 10 de junio de 2019 se le envió el comunicado con radicado 19-130128-0 a la sociedad investigada a fin de que la misma explicara las razones por las cuales no llevó a cabo el proceso de inscripción de sus bases de datos en el Registro Nacional de Bases de Datos- RNBD; entendiéndose entonces que la sociedad no realizó el proceso de registro dentro de los plazos legales establecidos por el Decreto 090 de 2018.
La investigada intentó realizar el registro de sus bases de datos el día 17 de junio de 2019. Para ello, envío correo electrónico el día 17 de junio de 2019 a las 8:48 am para efectos de restablecer la contraseña. (…) el intento de acceso para efectuar el registro de las bases de datos es extemporáneo, de acuerdo con el plazo que señala el Decreto 090 de 2018.
Así las cosas, queda demostrado que la sociedad investigada aun conociendo de los plazospara efectuar el registro de sus bases de datos ante el Registro Nacional de Bases de Datos-RNBD, hizo caso omiso a las comunicaciones realizadas por esta autoridad para que la misma efectuase el registro pertinente”. Es de resaltar que, la sociedad MEDINUCLEAR S.A.S. se creó en 1994 y que la Ley 1581 de 2012 fue promulgada el 18 de octubre del 2012 y entró en vigor hasta el 17 de abril del 2013, de acuerdo con el régimen de transición dispuesto en el artículo 28 de la misma norma.
Así mismo, es de recordar que mediante el Decreto 1377 de 2013 (hoy compilado por el Decreto Único Reglamentario 10742015) entró en vigencia desde el 27 de junio de 2013, por lo cual la recurrente debía adecuar sus procedimientos desde las mencionadas fechas, para efectos de cumplir con la normatividad mencionada. No obstante, y a pesar de los reiterados requerimientos elevados por esta Dirección a la recurrente con el fin de que la sociedad investigada ajustara sus Políticas de Tratamientos de Datos Personales dando cumplimiento a la normativa vigente, entre los cuales se destaca la Resolución número 30194 del 24 de julio de 2019 que dio inicio a la investigación, y que le fue notificada de manera personal el 26 de julio de 20191, la recurrente sólo implementó dicha Política, el 7 de diciembre de 2020, lo que quiere decir que el incumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, se mantuvo en el tiempo aproximado de siete (7) años.
Tiempo en el cual se vio afectado el derecho fundamental de los Titulares de información como: los accionistas, candidatos a vacantes, aprendices, practicantes, trabajadores, profesionales de salud, estudiantes, residentes, candidatos a proveedores de bienes y servicios, contratistas/proveedores de bienes o servicios, clientes, pacientes, usuarios y visitantes, incluyendo menores de edad, entre otros.
Por lo expuesto, el argumento de la recurrente en relación con el desarrollo e implementación de una Política de Tratamiento de Datos Personales previa a la expedición de la Resolución sanción número 27387 del 6 de mayo de 2021, no desvirtúa el cargo por el cual fue sancionado. 7.2 Respecto de la orden de adecuar la Política de Tratamiento de Datos Personales implementada por la sociedad investigada.
El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos (…)” 1 Certificación proferida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia bajo radicado 4 del 26 de julio de 2019. 19-130128— “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ”
ARTÍCULO 25. DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.
PARÁGRAFO. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.” Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.3.1. POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.
Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.
Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” Con base en la normativa citada, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos y políticas que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.
En este punto, es importante mencionar que el Gobierno Nacional incluyó en su normativa el principio de “accountability” o “responsabilidad demostrada”, desarrollado en el literal k) del artículo 17 de la Ley 1581 de 2012 y los artículos 11, 26 y 27 del Decreto 1377 de 2013, este último Decreto derogado y compilado por el Decreto Único Reglamentario 1074 de 2015.
Este principio consiste en que todo Responsable o Encargado del tratamiento de datos personales, a solicitud de la Superintendencia de Industria y Comercio, debe demostrar que ha implementado (i) una política y manuales internos para el tratamiento adecuado de datos personales, (ii) procedimientos para la recolección, tratamiento y supresión de datos, (iii) mecanismos suficientes para conservar la confidencialidad y seguridad de la información, (iv) una estructura administrativa responsable para la adopción e implementación de la política, y (v) un sistema eficaz para la atención y respuesta de PQR (peticiones, quejas y reclamos) conforme a las exigencias legales.
“Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Ahora bien, una vez explicado el porqué está Superintendencia tiene la facultad de solicitar en cualquier tiempo a los Responsables las políticas y manuales internos para el adecuado tratamiento de los datos personales, este Despacho realizará el estudio de la Política de Tratamiento de la Información allegada junto con el recurso por la sociedad MEDINUCLEAR S.A.S., para determinar si se confirma la orden impartida mediante la Resolución 27387 del 6 de mayo de 2021.
A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITO LEGAL 1. ¿La PTI consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). COMENTARIO SI La Política se encuentra disponible en el RNBD. 2. ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
SI La PTI fue redactada con un lenguaje claro y sencillo y la organización de la misma en subtemas permite que sea fácil identificar los temas que abarca. 3. ¿La PTI ha sido puesta en conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SI La política se encuentra a disposición de los Titulares, en el Registro Nacional de Bases de Datos. 4.
¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 5. ¿La PTI señala el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
SI La PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. tal como se evidencia el en numeral “2 Alcance de la Política”. SI La sociedad informó que el Tratamiento es automatizado. SI La PTI informa la finalidad del Tratamiento de los Datos, tal como se evidencia el en numeral “6.
Finalidades de la información”. 6. ¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” 7.
¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). SI La PTI menciona de manera completa los derechos del Titular del Dato. 8. ¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) SI La PTI informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado” 9. ¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012) SI La PTI informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada a MEDINUCLEAR; salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” 10.
En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012) SI La PTI informa al Titular que tiene derecho a “Recibir información sobre el uso que le están dando MEDINUCLEAR, directa o indirectamente, a sus datos personales”. 11.
¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la L 1581 de 2012) SI La PTI informa al Titular que tiene derecho a Presentar quejas ante la Comercio (SIC) por incumplimientos de MEDINUCLEAR a la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen”.
“Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” 12. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012) SI La PTI informa al Titular del dato que “tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales”. 13.
¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012) SI La PTI informa al Titular del dato que “tiene derecho a acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”. 14.
¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013).
SI La PTI en el numeral 13 señala “quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización.” 15. ¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013).
SI La PTI en el numeral 13 describe “el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización.” 16. ¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 SI La PTI en el numeral 16 indica la fecha de entrada en vigencia de la política de Tratamiento de la información. “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). 17.
¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SI La PTI en el numeral 16 se informa el período de vigencia de la Base de Datos. De lo anterior esta Dirección encuentra que la política cumple con lo establecido en el Decreto 1074 de 2015, por lo cual concluye que el recurrente cumplió con la orden impartida mediante la Resolución recurrida y por tanto y, aunque dicho acto administrativo fue emitido en derecho y observando el debido proceso, carece de sentido confirmar la orden contenida en el numeral primero del artículo segundo de la Resolución 27387 del 6 de mayo de 2021 toda vez que el objeto de dicha orden fue materializado al acreditarse su cumplimiento. 7.3 Respecto de la implementación del manual para la recolección, almacenamiento, uso, circulación y supresión de la información Con motivo del recurso interpuesto, la sociedad MEDINUCLEAR S.A.S., aportó el documento denominado “Procedimiento de Seguridad y Trazabilidad de la Información PRSI002” que incluye todo lo relativo a la recolección, almacenamiento, uso, circulación y supresión de la información, en los términos de del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem, es decir que incluye entre otras cosas: - El método de recolección de la información; - La forma de almacenamiento de la información; - Los múltiples usos que puede tener la información dependiendo de la(s) finalidad(es) especificadas por la empresa; y - La forma en que la información circula al interior de la empresa y/o si la misma es remitida a un Encargado para su Tratamiento Lo anterior, permite demostrar que la recurrente cumplió lo ordenado por la Resolución número 27387 del 6 de mayo de 2021, en el numeral 2, literal 2.
Por ende, aunque dicho acto administrativo fue emitido en derecho y observando el debido proceso, carece de sentido confirmarlo porque el objeto de este fue materializado en la medida que se acreditó su cumplimiento. 7.4 Respecto a la vulneración del debido proceso y derecho de defensa, por falta de motivación sobre el cálculo de la multa y falta de justificación de la materialización de un daño real y concreto.
Manifiesta la recurrente que la Resolución 27387 del 6 de mayo de 2021 no dio cumplimiento al deber de motivación del acto administrativo, vulnerando por tanto el debido proceso y derecho de defensa, en palabras de la recurrente: “El hecho de que la Política de Tratamiento de Datos Personales de la sociedad MEDINUCLEAR S.A.S., vigente para dicha fecha, no cumpliera con la totalidad de los requisitos establecidos en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 no implica per sé que se afectó de forma real y concreta los intereses jurídicos tutelados por la Ley (…) La Dirección cita como sustento de la ‘afectación real y concreta de los intereses jurídicos’ un incumplimiento de carácter normativo, sin que en el presente caso se materializara un daño real y concreto.
Es importante mencionar que, hasta la fecha, no se ha configurado y demostrado la vulneración de los derechos de algún titular de la inforación respecto del cual MEDINUCLEAR S.A.S. tenga “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” la calidad de responsable, así como tampoco se han recibido quejas en materia de protección de datos por parte de algún titular por un indebido uso de sus datos personales”.
Frente al procedimiento para imponer sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
(…)”. El artículo 232, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”3, la Corte Constitucional en Sentencia C- 748 de 2011 ha señalado, lo siguiente: “El poder sancionador estatal ha sido definido como un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, por lo que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”. En el mismo sentido, y en relación con los principios en mención, dicha Corporación por medio de las Sentencia C-827 de 2001, C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina4 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción 2 ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva. 3 La potestad sancionatoria definida por Santi Romano como: “―[…] el poder jurídico para imponer decisiones a otros para el cumplimiento de un fin.
La potestad entraña, así, un poder otorgado por el ordenamiento jurídico de alcance limitado o medido para una finalidad predeterminada por la propia norma que la atribuye, y susceptible de control por los tribunales. La potestad no supone, en ningún caso, un poder de acción libre, según la voluntad de quien lo ejerce, sino un poder limitado y controlable.
Dentro de las potestades, las de la Administración Pública son potestades-función, que se caracterizan por ejercerse en interés de ‗otro‘, esto es, no de quien la ejerce, sino del interés público o general.” Cosculluela Montaner, Luis, Manual de Derecho Administrativo, tomo I, 17ª ed., Madrid, Thomson Civitas, 2006, p. 336. Juan Alfonso Santamaría Pastor.
Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios) ( )” Ahora, al hacer referencia al Principio de Legalidad en materia de protección del Derecho de Habeas Data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”5(Énfasis añadido) Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí, donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte de legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”6. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.” Así las cosas, lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio.
Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data. Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente, vulneró el deber especial como Responsable del Tratamiento de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos, en los términos del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: (i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; (ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa; y (iii) los documentos que contienen los estados financieros de la sociedad investigada.
El cual, pese a no ser el único aspecto que se tiene en cuenta al momento de tasar el monto de las sanciones, sí requiere ser valorado a fin de garantizar la proporcionalidad en la imposición de estas. 5 Sentencia C-406 de 2004. 6 Ibídem. “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis en conjunto y sistemático de los criterios mencionados.
Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. En este punto vale destacar, que la Resolución número 27387 del 6 de mayo de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Los cuales están contemplados en el artículo 3 del Código General del Procedimiento Administrativo y de lo Contencioso Administrativo así: “el debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad.” De ahí que la decisión emitida, se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209 Constitución Política de Colombia).
Asimismo, y como ya se mencionó, también fue el resultado de la valoración fáctica y probatoria de esta instancia que llevó a concluir y comprobar la vulneración al derecho de Habeas Data. En el mismo sentido, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los titulares por el tratamiento ilegal de su información. Es decir, las normas que protegen el derecho de Habeas Data y al debido tratamiento de los datos personales no se refiere a la responsabilidad civil de los encargados o responsables del tratamiento de datos.
Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental a la protección de los datos. En este sentido, la vulneración del derecho de Habeas Data y al debido tratamiento de los datos personales no sólo afecta al titular, también pone en riesgo los derechos de toda la sociedad, razón por la cual, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios, toda vez que, existe de por medio una transgresión a un derecho fundamental, - recordemos que la recurrente mantuvo el incumplimiento del deber consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 por más de 7 años, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad innegable, cual es la del quebrantamiento de derechos constitucionales.
Es importante destacar, que esta autoridad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. No debe perderse de vista que la Ley 1581 de 2012 es de naturaleza estatutaria, cuyo rango legal especial pone de presente la protección especial que tiene el Habeas Data, la protección de datos personales o el debido tratamiento de esa información. Por eso los Responsables o Encargados del Tratamiento de Datos Personales no pueden prescindir de su observancia, o escapar a su cumplimiento.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa. 7.5 Respecto al incumplimiento de los términos dispuestos para que la autoridad expida una decisión Sobre este punto manifiesta la recurrente que, teniendo en cuenta lo consagrado en el artículo 49 de la Ley 1437 de 2011 que establece que “el funcionario competente proferirá el acto administrativo definitivo dentro de los treinta (30) días siguientes a la presentación de los alegatos” y que los “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” alegatos de conclusión se presentaron el 30 de octubre de 2019, “la autoridad debió proferir acto administrativo el 13 de diciembre de 2019” y por tanto la autoridad debió tomar en cuenta el valor de los UVT para el año 2019 y no el valor de los UVT para el año de expedición de la Resolución número 27387 de 2021, solicitando así “la aplicación de la normativa vigente a la fecha en que se debió imponer la sanción (año 2019)” En el mismo sentido señala que, “si la autoridad hubiera fallado en cumplimiento de los términos de ley era viable la aplicación del SMLMV del año 2019” y “no existe justificación fáctica frente a la dilación del trámite para decidir el presente proceso sancionatorio”.
Teniendo en cuenta los argumentos expuestos por la recurrente, esta Dirección encuentra pertinente traer a colación la jurisprudencia del Consejo de Estado respecto de los términos procesales. a través de la cual se ha determinado que: “La Sala reitera que, en general, los términos procesales que tiene el Estado para proferir las decisiones correspondientes son términos de tipo perentorio pero no necesariamente preclusivos.
Es decir que, así esté vencido un plazo, la decisión correspondiente resulta válida y eficaz, salvo que el legislador expresamente haya consagrado otra disposición como cuando estipula la preclusión del término en el sentido de indicar que la Administración pierde competencia para decidir y que, en su lugar, surja el acto ficto o presunto favorable al administrado.
El vencimiento de los plazos meramente perentorios puede implicar la responsabilidad personal del agente que se ha demorado en tomar la decisión pero no afecta la validez de la decisión misma. Ese tipo de plazos son los más comunes en el derecho procesal, como por ejemplo, el plazo para dictar la sentencia que instituye tanto el C.C.A. como el C.P.C. Así esté vencido el plazo, la sentencia es válida y eficaz, sin perjuicio de que pueda existir en un momento dado responsabilidad personal del funcionario judicial si el vencimiento del plazo ocurrió injustificadamente.
En general, las normas de competencia temporal, esto es, por razón del tiempo, que es el tema que subyace en un plazo legal para producir una decisión, deben interpretarse a favor de la competencia misma. Así, sólo cuando está expresamente previsto otro efecto, el vencimiento del plazo no comporta siempre y necesariamente un caso de silencio administrativo positivo y mucho menos de nulidad de los actos administrativos”7 Con fundamento lo anterior, es necesario precisar que el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo indica que “la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado”, motivo por el cual, en el presente caso este Despacho no perdió la facultad sancionatoria por no emitir la decisión dentro de los 30 días siguientes a la radicación del escrito de alegatos de conclusión. En el mismo sentido y en relación con el argumento expuesto por la recurrente, de que esta Dirección debió tener en cuenta los valores de UVT y SMLMV disponibles para el año de 2019, fecha en la cual debió haber proferido una decisión de fondo, no se acogerán toda vez, que el artículo 23 de la Ley 1581 de 20128 es claro en establecer que el valor que se debe tomar es aquel vigente al momento de la imposición de la sanción y no aquel valor que se encuentre vigente a los 30 días de radicados los alegatos de conclusión por parte de la investigada.
Por todo lo anterior, esta Dirección no accederá a la pretensión del recurrente mediante la cual solicita la disminución del valor de la multa impuesta como sanción. 7 CONSEJO DE ESTADO. SALA DE LO CONTENCIOSO ADMINISTRATIVO. SECCION CUARTA. C.P.: HUGO FERNANDO BASTIDAS BARCENAS. Radicación número: 25000-23-27-000-2006-01364-01(17497) del 12 de abril de 2012 8 ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
(…) “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ”
OCTAVO: CONCLUSIONES - La Ley Estatutaria 1581 de 2012 ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012 y no analizando casos seleccionados por la recurrente. - Las sanciones que se imponen en esta clase de procesos no se derivan de los daños o perjuicios causados a los Titulares por el tratamiento indebido de su información. Esto quiere decir que, las normas que protegen el Derecho Fundamental de Habeas Data, no se refieren a la responsabilidad civil de quienes recolectan o usan datos personales. - La sanción impuesta obedece a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data. - Las sanciones impuestas se deben determinar con base a los salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. - Se confirmó que la sociedad MEDINUCLEAR S.A.S.., incurrió en el incumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, por un tiempo de siete (7) años, siete (7) mes y veintiún (21) días, por lo cual las pretensiones, pues no fue sino hasta el 7 de diciembre de 2020 que la recurrente puso en vigencia la respectiva Política de Tratamiento de Datos Personales, por lo cual no se accederá a las pretensiones de la recurrente relacionadas con el monto de la multa. - La sociedad MEDINUCLEAR S.A.S.., con ocasión del recurso de reposición, aportó evidencia para demostrar que cumplió las órdenes impartidas por la Dirección de Investigación de Protección de Datos Personales.
Por ende, aunque la Resolución N°. 27387 del 6 de mayo de 2021 fue proferida en derecho, carece de sentido confirmar las órdenes allí impartidas porque el objeto de estas fue materializado en la medida que se acreditó su cumplimiento.
NOVENO: Que, analizadas todas las cuestiones planteadas, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la sanción impuesta mediante la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la sanción impuesta y revocará las ordenes impartidas en la Resolución N°. 27387 del 6 de mayo de 2021.
DÉCIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad MEDINUCLEAR S.A.S., identificada con el Nit. 800.223.618-0, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su representante legal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@grupomedinuclear.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, precisando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad investigada considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a la dirección de correo contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando su número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. “Por la cual se resuelve un recurso de reposición” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” En mérito de lo anterior, esta Dirección
RESUELVE
ARTÍCULO PRIMERO: REVOCAR el artículo segundo de la Resolución número 27387 del 6 de mayo de 2021 porque la sociedad MEDINUCLEAR S.A.S. identificada con el Nit. 800.223.618-0 acreditó prueba de su cumplimiento con ocasión del recurso de reposición.
ARTÍCULO SEGUNDO: CONFIRMAR en sus demás partes la Resolución número 27387 del 6 de mayo de 2021, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MEDINUCLEAR S.A.S. identificada con el NIT. 800.223.618-0, a través de su representante legal o quién haga sus veces, y/o apoderado, entregándole copia de la misma.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 20 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.20 13:27:25 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: CARF Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo Electrónico: MEDINUCLEAR SOCIEDAD POR ACCIONES SIMPLIFICADA MEDINUCLEAR S.A.S NIT. 800.223.618-0 JAVIER JESÚS PAZ MORA C.C. No. 12.981.687 Carrera 34 N°. 11 A – 12 Barrio la Aurora San Juan de Pasto, Nariño gerencia@grupomedinuclear.com