(Julio 27 de 2022) Radicación 18-267612 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y, CONSIDERANDO:
PRIMERO. Mediante Resolución No. 56790 del 2 de septiembre de 2021, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación administrativa iniciada en contra de la ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÒN y la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. (en adelante ACEVEDO Y ABOGADOS), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, de TRES MILLONES DOSCIENTOS SESENTA Y SIETE MIL SETECIENTOS VEINTE PESOS M/CTE ($ 3.267.720), equivalente a NOVENTA (90) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del deber previsto en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal f) y g) del artículo 4 de la precitada Ley.
(…)
ARTÍCULO SEGUNDO: ORDENAR a la sociedad ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN, identificada con NIT. 900.477.284-7, que dentro del término de DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a la siguiente instrucción: La ESCUELA INTERNACIONAL DE COMPETITIVIDAD ESIC S.A.S. EN LIQUIDACIÓN deberá adoptar e implementar las políticas y procedimientos necesarios, pertinentes y útiles para garantizar que personas jurídicas y naturales no autorizadas por los titulares accedan a su información. (…)
ARTÍCULO TERCERO: ORDENAR a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con NIT. 901.177.568-1, que dentro del término de DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones: La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá eliminar toda información personal de la señora XXXXX XXXXXXX XXXX XXXXXXXXXX, identificada con cédula de ciudadanía No. xx.xxx.xxx, que obre en todas sus bases de datos. La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá implementar un mecanismo o medida que le permita verificar que previo al Tratamiento en calidad de Encargado, el Responsable cuenta con la autorización previa, expresa e informada del Titular en los términos previstos en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015. La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. como Encargado deberá abstenerse de llevar a cabo Tratamiento de datos personales de los cuales no cuente el Responsable con la autorización previa, expresa e informada por parte del Titular, en los términos de la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015. La sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. deberá aprobar e implementar manual(es) de política(s) y procedimiento(s) para: (i) la atención de consultas y reclamos;
(ii) la seguridad de la información y; (iii) la actualización, rectificación o supresión de los datos en términos. RESOLUCIÓN NÚMERO 48693 DE 2022 “Por la cual se resuelve un recurso de apelación”
SEGUNDO. Frente a la citada decisión, únicamente el Representante Legal de ACEVEDO Y ABOGADOS (en adelante el RECURRENTE) el 28 de septiembre de 2021 interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución No. 56790 del 2 de septiembre de 2021, en los siguientes términos: “MOTIVO DE INCONFORMIDAD CON EL ACTO ADMINISTRATIVO El motivo que me induce a recurrir la resolución referida tiene lugar en las falencias y desaciertos que cometió la SIC, pues es sabido el papel relevante que tiene la SIC al momento de proteger los derechos del consumidor además de ser conscientes de la etapa en la que nos encontramos actualmente, en la que los derechos de los consumidores han tomado mayor importancia por el papel tuitivo del estado, que debe ser el garante de sus derechos.
No obstante, lo anterior, en algunas ocasiones se plantean escenarios que afectan los derechos de los empresarios (como en el presente caso), pero que en realidad no constituyen tal resultado. Esto en virtud al artículo 52 del CPACA, “Caducidad de la facultad sancionatoria” la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, termino dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado;
Así en el caso concreto, teniendo en cuenta la fecha en que ocurrieron los hechos y la fecha de notificación de la resolución en la cual se impone sanción, en base a ello se solicita la caducidad del procedimiento sancionador”.
TERCERO. Mediante Resolución No. 70029 del 29 de octubre de 2021, la Dirección de Investigación para la Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 56790 del 2 de septiembre de 2021.
CUARTO. De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá́ a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO:
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE PROTECCIÓN DE DATOS PERSONALES. DELEGADO PARA LA El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (Modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo”.
2. DE LA CADUCIDAD DE LA FACULTAD SANCIONATORIA. Indicó el RECURRENTE, lo siguiente: “Así en el caso concreto, teniendo en cuenta la fecha en que ocurrieron los hechos y la fecha de notificación de la resolución en la cual se impone sanción, en base a ello se solicita la caducidad del procedimiento sancionador”. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”3. 1 Conforme a constancia suscrita por el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 18-267612-50 del 20 de septiembre de 2021, la Resolución No. 56790 del 2 de septiembre de 2021 fue notificada por aviso al Representante Legal de ACEVEDO Y ABOGADOS el 15 de septiembre de 2021, con lo cual el término para presentar los recursos vencía el 29 de septiembre de 2021. 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 3 Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm RESOLUCIÓN NÚMERO 48693 DE 2022 “Por la cual se resuelve un recurso de apelación” No obstante, lo anterior, la potestad sancionatoria de la administración no es perpetua, sino que debe ejercerse dentro de los términos previstos en la ley.
En línea con lo anterior, el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, establece:
ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
(…) Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. Al respecto el Consejo de Estado4 señaló que: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción5 “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce”6 En el presente caso, la conducta investigada está relacionada con el envío de la comunicación de fecha 12 de octubre de 2018, a la señora Xxxxx Xxxxxxx Xxxx XxxxxxxxxX, por parte de la sociedad ACEVEDO Y ABOGADOS, quien actuando como Encargado de la información de acuerdo con las pruebas recaudadas no conservó la información con las medidas de seguridad necesarias, de conformidad con las normas de protección de datos. 4 Consejo de Estado, Sección Sección Primera, en sentencia de 22 de mayo de 2014 (Expediente núm. AC-2013-02392-00, M.P. Marco Antonio Velilla Moreno “Dado lo anterior, quedó demostrado que esta Corporación ha realizado un análisis sobre el término de la caducidad de la facultad sancionatoria concerniente a hechos distintos, como las infracciones en materia de energía que fueron en forma continuada donde la ocurrencia del hecho se contó a partir del último acto, o en el caso aduanero que a pesar de tener norma especial que regula el tema, se parte que existe conocimiento de la falta desde que la entidad inicie el trámite administrativo…”. 5 Consejo de Estado, Sección Quinta, Sentencia del 12 de abril de 2018, M.P. Carlos Enrique Moreno Rubio, Radicación número: 25000-23-24-000-2012-00788-01, actor: ALIANSALUD ENTIDAD PROMOTORA DE SALUD S. A. 6 Consejo de Estado, Sección Primera, Sentencia del 18 de agosto de 2011, M.P. Rafael E. Ostau de Lafont Pianeta, Radicación número: 11001-03-24-000-2007-00013-00, posición reiterada en providencia del 8 de febrero de 2018, exp. 25000-23-24-000-200800045-02, M.P. Rocío Araújo Oñate, actor: Empresa de Acueducto y Alcantarillado de Bogotá (EAAB).
RESOLUCIÓN NÚMERO 48693 DE 2022 “Por la cual se resuelve un recurso de apelación” De acuerdo con lo anterior, el término de caducidad se debe empezar a computar desde el momento en que se produjo la conducta reprochable de la investigada, es decir, que, en el caso particular, el tiempo establecido en la norma vencía el 12 de octubre de 2021.
Al verificar el acto administrativo que impuso la sanción, éste fue expedido el 2 de septiembre de 2021, y notificado por aviso al Representante Legal de ACEVEDO Y ABOGADOS el 15 de septiembre de 2021, de conformidad con lo informado por parte de la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia en la certificación radicada en el sistema de trámites con el número 18-267612-50 del 20 de septiembre de 2021.
Así las cosas, tal y como lo señala la Dirección de Investigación de Protección de Datos Personales cuando resolvió el recurso de reposición, la Resolución No. 56790 del 2 de septiembre de 2021 fue expedida y debidamente notificada dentro del término establecido en el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, por lo que este Despacho confirmará el acto administrativo recurrido. 3.
CONCLUSIÓN. Sin perjuicio de lo establecido, se accederá a las pretensiones de la RECURRENTE, por, entre otras, las siguientes razones: 1. La sociedad ACEVEDO Y ABOGADOS infringió las normas sobre protección de datos personales señaladas en el acto administrativo recurrido, en su calidad de encargado. 2. La potestad sancionatoria de la administración no es perpetua, sino que debe ejercerse dentro de los términos previstos en la ley.
En línea con lo anterior, el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo establece que “salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado”.
(…) 3. Contrario a lo argumentado por parte del RECURRENTE la Resolución No. 56790 del 2 de septiembre de 2021, fue expedida y debidamente notificada dentro del término de 3 años RESOLUCIÓN NÚMERO 48693 DE 2022 “Por la cual se resuelve un recurso de apelación” establecido en el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 4.
La Resolución No. 56790 del 2 de septiembre de 2021, únicamente fue recurrida por la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. 5. La Dirección de Investigación de Protección de Datos Personales, dio aplicación al literal f) del artículo 24 de la Ley 1581 de 2012., en la medida que la sociedad investigada aceptó la comisión de la falta. 6.
La multa impuesta mediante la Resolución No. 56790 del 2 de septiembre de 2021 ($3.267.720) equivale al 0.17% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 56790 del 2 de septiembre de 2021.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR la Resolución No. 56790 del 2 de septiembre de 2021, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ACEVEDO Y ABOGADOS ASOCIADOS S.A.S., identificada con Nit. 901.177.568-1 a través de su representante legal o apoderado o quien haga sus veces, en calidad de investigada, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO: COMUNICAR la presente decisión a la señora XXXXX XXXXXXX XXXX XXXXXXXXXX, identificada con la cédula de ciudadanía No. XX.XXX.XXX., entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO: INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., Julio 27 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), Firmado digitalmente por JOHN JOHN MARCOS MARCOS TORRES CABEZAS 2022.07.27 17:38:24 TORRES CABEZAS Fecha: -05'00' JOHN MARCOS TORRES CABEZAS NTL RESOLUCIÓN NÚMERO 48693 DE 2022 “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: ACEVEDO Y ABOGADOS ASOCIADOS S.A.S. Nit. 901.177.568-1 ANDRÉS RAÚL ACEVEDO GÓMEZ C.C. 1.033.766.416 Calle 19 No. 6 – 68 Oficina 1605 Bogotá D.C. asesoju@gmail.com COMUNICACIÓN: Titular de la Información: Señor: Identificación: Correo Electrónico: XXXXX XXXXXXX XXXX XXXXXXXXXX C.C. xx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxxxx