(29 MARZO 2022) “Por la cual se resuelve un recurso de reposición” Radicación 19-88694 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante Resolución N°82622 del 17 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con Nit. 860.032.330-3, de TRESCIENTOS UN MILLONES TRESCIENTOS CINCUENTA Y SEIS MIL CUATROCIENTOS PESOS M/CTE ($301.356.400), equivalentes a OCHO MIL TRESCIENTOS UNIDADES DE VALOR TRIBUTARIO (8300), por el incumplimiento de los deberos establecidos en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.
(ii) El literal c) del artículo 17 de a Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
SEGUNDO: Que con ocasión a la queja presentadas por el señor XXXX XXXXXXX XXXXXXXX XXXXX este Despacho decidió iniciar investigación administrativa mediante Resolución N°60989 del 06 de noviembre de 2019, contra la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A.
TERCERO: Que la Resolución N° 82622 del 17 de diciembre de 2021 fue notificada a la sociedad de forma electrónica el 17 de diciembre de 2021, así mismo, se comunicó al titular 17 de diciembre de 2021, según consta en certificación de la Secretaría General Ad-hoc, visible en el expediente con radicado N°19-88694- -39 del 19 de enero de 2022.
CUARTO: Que mediante comunicación recibida el 30 de diciembre de 2021, con número de radicado 19-88694- -38, la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., interpuso recurso de reposición y en subsidio de apelación contra la resolución aludida, manifestando lo siguiente: 4.1. Manifestó que, se formularon dos (2) cargos para lo que consideran se debió tipificación en una sola conducta. 4.2.
Señaló que a través de los descargos presentados el 11 de diciembre de 2019 aportaron el procedimiento para atención de peticiones, quejas y reclamos, junto con la respuesta favorable al señor xxxx xxxxxxx xxxxxxxx xxxxx frente a la solicitud de eliminación de su información personal. 4.3. Adicionalmente indicó que aportaron las pruebas donde consta el cumplimiento de la orden impartida y aplicación del principio de responsabilidad demostrada el cual consideran no se valoró en debida forma por parte del Despacho al considerar que “se debe valorar en el Sistema Integral de Protección de Datos Personales en su conjunto reconociendo el compromiso y responsabilidad asumido por la organización frente a la privacidad y seguridad de la información personal.
De esta manera se aportó por mi representada en su “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” escrito de descargos, evidencias que acreditan de manera enunciativa las acciones desarrolladas. Dicha documentación tiene como fin evidenciar a la autoridad, que TUYA ha venido adoptando procedimientos, políticas y lineamientos claros frente al cuidado y manejo de información persona”.
Por tal motivo citan los controles ya portan las evidencias implementados de acuerdo a lo establecido por esta Superintendencia en la Guía de Responsabilidad demostrada. 4.4. Indicó que “(…) el mismo procedimiento determina que bajo ninguna circunstancia se informa del estado de obligación a la referencia. Evidencia del correcto actuar de TUYA frente al uso y finalidades de las referencias, pues no son un instrumento de cobro ni se comparte información sobre el detalle de la obligación del titular originario.
Puede afirmarse que TUYA no expuso inadecuadamente datos personales y tampoco usó el dato recolectado para un propósito distinto al relacionado con la gestión del riesgo crediticio. En este sentido, ante una duda probatoria de sí el titular afirma que se le informó determinada situación, o es TUYA quien realizó el procedimiento bajo su rigor organizacional sin dar mayor detalle del titular originario, debe la autoridad bajo toda obligación examinar el material probatorio del expediente.
Y, en la medida en que las pruebas aportadas no sean contundentes de si TUYA realmente entregó información de la obligación detalle al titular, aplicar el principio de in dubio pro administrado, principio fundamental del derecho administrativo sancionatorio, que como se ha dicho por la Jurisprudencia, consiste en: ‘Si el Estado no cumple con la carga probatoria que le corresponde y existen dudas razonables respecto de la responsabilidad de quien está siendo objeto de investigación, la única respuesta posible es la exoneración’ 4.5 Afirmó que “que el señor xxxxxxxx xxxxx deja al descubierto en sus aseveraciones iniciales que sí conocía de su calidad de referencia, pues sabía bien que no tenía otra calidad de fiador o codeudor, sino de propia referencia de las señoras titulares del crédito en cuestión”.
Adicionalmente indican que en cumplimiento del procedimiento de análisis de crédito contactaron al denunciante únicamente con el fin de informarle que el titular estaba en mora sin indicarle el detalle de la obligación. “(…) en esta medida, para las entidades financieras los datos personales de terceros que son aportados por los titulares de un crédito constituyen información necesaria para garantizar el mismo cumplimiento de los compromisos suscritos y es responsabilidad inicial de los titulares suministrar información certera y veraz, de quienes consideren que pueden ejercer la calidad de referencia personal y que tienen todo el conocimiento necesario para servir como tales.
Acá se reitera, TUYA no obtuvo por vías distintas al titular originario los datos de la referencia. Quien los suministra, tiene la carga de informar tal propósito. Estos elementos superan los análisis estrictamente normativos y trascienden al ámbito privado de los particulares”. 4.6. Insistió que, se imputaron cargos por un mismo hecho, sin embargo, la multa tasó de forma independiente por lo que considera hubo una indebida formulación de cargos toda vez que “es evidente que, de un solo hecho, la Superintendencia equivocadamente impuso dos cargos distintos que finalmente versan sobre el mismo hecho, y esto perjudica notoriamente a TUYA en la medida en que cada uno de ellos genera la imposición de una multa”. 4.7.
Afirmó que se debe dar aplicación al principio de buena fe y “debe extenderse el elemento de graduación de la sanción a estos puntos como faros interpretativos de una ley positiva que cambió la forma en que la autoridad desarrolla el ejercicio sancionador desde una nueva postura de diligencia -medio- antes que de resultado” 4.8 Solicitan se declare que la sociedad cumplió con el principio de responsabilidad demostrada de que trata el decreto 1074 de 2015. 2, y se revoque en su totalidad la Resolución No. 82622 de 2021.
QUINTO: ANÁLISIS DEL CASO Previa verificación del cumplimiento de los requisitos contemplados en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, procede este Despacho a estudiar los argumentos de la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., expuestos mediante recurso de reposición y en subsidio apelación, bajo las siguientes consideraciones: “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” 5.1.
Frente al cumplimiento de los deberes contemplados en los literales b) y literal c) del artículo 17 de la Ley 1581 de 2012. En relación con el recurso presentado, la sociedad sancionada manifestó que contactó al señor XXXX XXXXXXX XXXXXXXX XXXXX bajo los parámetros del procedimiento de análisis de crédito, gestión de cobro y lineamientos de la Superintendencia Financiera de Colombia sin que se le informara en ningún momento el estado de la obligación del titular.
Al respecto nos permitimos recordar que el número de teléfono asociado a una persona es un datos personal, inclusive si este es suministrado bajo la calidad de “referencia personal”, tal como se presenta en el caso objeto de análisis donde este funge como referenciado de las Titulares XXXXX XXXXXX XXXXXX y XXXXX XXXX XXXXXXX XXXXXX tal como se muestra a continuación: Por lo aquí evidenciado, es claro que su número telefónico fue suministrado por un tercero para que se tenga como referencia personal.
Dado lo anterior, resulta pertinente recordar que si una persona va a suministrar a terceros los datos contenidos en sus bases de datos o archivos para fines personales o domésticos, deberá previamente informarles de ello al Titular del dato y solicitar la autorización del mismo para entregar esa información a terceros, sin embargo, dentro de la presente actuación administrativa no se allego al expediente autorización alguna donde conste que el denunciante otorgó autorización para que XXXXXX XXXXXX XXXXXX y XXXXX XXXXX XXXXXXX XXXXXX utilizaran sus datos como referencia personal.
Este Despacho se permite recordad qué cuando una persona accede a los servicios financieros de la sociedad suministra datos de referencia personal y quien suministra dicha información debe entregar la autorización respectiva, por lo tanto el Responsable debe asegurarse de que la “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” persona que le suministre información de terceros este legitimada para ello, pues no solo basta trasladar la responsabilidad del suministro de la información a la persona solicitante del crédito, sino que en este caso la entidad financiera debe ser diligente y adaptar mecanismos eficientes para recolectar la autorización del referido o abstenerse de hacer el tratamiento de los datos si no logra la obtención del consentimiento del mismo ya que esto no obedece a un actuar diligente por parte de la sociedad, toda vez que a pesar de no haber suministrado datos de la obligación si realizó un contacto y los almacenó en sus bases de datos lo que evidenció un tratamiento sin el cumplimiento de los requisitos legales.
Es necesario precisar que los Responsables del tratamiento de datos no pueden destinar a lo que estos consideren la información de las personas, sino sólo lo que les permite la ley o lo que ellas le autoricen, la vulneración del derecho fundamental de habeas data no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.
Por eso dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Por tal motivo si un tercero recibe información deberá tener en cuenta desde un principio que está en la obligación de solicitar la autorización en los términos señalados en la ley. 5.2 Frente a la aplicación del principio de in dubio pro administrado Al respecto, manifiesta la recurrente que “ante una duda probatoria de sí el titular afirma que se le informó determinada situación, o es TUYA quien realizó el procedimiento bajo su rigor organizacional sin dar mayor detalle del titular originario, debe la autoridad bajo toda obligación examinar el material probatorio del expediente.
Y, en la medida en que las pruebas aportadas no sean contundentes de si TUYA realmente entregó información de la obligación detalle al titular, aplicar el principio de in dubio pro administrado”. Este principio está encaminado en resolver a favor del investigado la presunción de inocencia, sin embargo esto no obedece a un derecho absoluto, al respecto la sentencia C-225/17 señala: “A pesar de tratarse de una garantía esencial del derecho fundamental al debido proceso, la presunción de inocencia, como los otros derechos y garantías constitucionales, no constituyen potestades absolutas reconocidas a un individuo (…) Así, la jurisprudencia de este tribunal constitucional, desde muy temprano ha reconocido el carácter relativo del derecho al debido proceso, sobre todo cuando se trata de garantías aplicables al desarrollo de procedimientos administrativos.
Ha explicado que la extensión del derecho al debido proceso a los procedimientos administrativos, que realizó el Constituyente colombiano en el artículo 29 de la Constitución, no significó un traslado automático y con el mismo rigor de todas las garantías judiciales, al procedimiento administrativo, o de las garantías reconocidas en materia penal, a los procedimientos administrativos sancionatorios.
Por esta razón, la jurisprudencia constitucional ha explicado la necesaria flexibilización o la aplicación matizada de las garantías del debido proceso, a las actuaciones administrativas” De igual manera, mediante sentencia proferida por la Sección Tercera del Consejo de Estado 1 del 22 de octubre de 2012, mediante la cual se dispone lo siguiente: “La presunción de inocencia va acompañada de otra garantía: ‘el in dubio pro administrado, toda vez que si el Estado no cumple con la carga probatoria que le corresponde y existen dudas razonables respecto de la responsabilidad de quien está siendo objeto de investigación, la única respuesta posible es la exoneración. No obstante lo anterior, es indispensable señalar que los principios de presunción de inocencia y de ‘in dubio pro administrado’, admiten modulaciones en derecho administrativo sancionatorio que incluso podría conducir a su no aplicación, es decir procedimientos administrativos sancionatorios en los que se parte de la regla inversa: se presume la culpabilidad, de forma tal que la carga de la prueba se desplaza al presunto infractor y para que éste no sea declarado responsable debe demostrar durante la actuación administrativa que actuó diligentemente o que el acaecimiento de los hechos se dio por una causa extraña (fuerza mayor, caso fortuito o intervención de un tercero).
No se trata de un régimen de responsabilidad objetiva sino de una reasignación de la carga probatoria, la responsabilidad sigue siendo subjetiva porque como se 1 Consejo de Estado. Sentencia # 05001-23-24-000-1996-00680-01 (20738), del 22 de octubre de 2012. C.P.: Enrique Gil Botero “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” desprende de lo afirmado existe la posibilidad de exoneración comprobando un comportamiento ajustado al deber objetivo de cuidado”.
Ahora bien, en el presente caso se ha dejado claro, tanto en la Resolución N° 82622 del 17 de diciembre de 2021 como en el análisis del presente recurso el incumplimiento de la sancionada en calidad de Responsable del tratamiento de datos personales, toda vez que trató los datos del titular sin contar con su autorización previa, y por lo tanto este Despacho no cuenta con una duda razonable para indicar que dicho tratamiento no fue realizado, cuando dentro de la misma investigación la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. ha reconocido que sí contactó al titular, además, tampoco existe duda respecto al hecho de que no contó con la autorización del titular, afirmaciones que también son reconocidas por la compañía investigada, pese a que no reconozca el incumplimiento de los deberes que ostenta en su calidad de responsable de la información. De esta manera, no se aceptan las afirmaciones de la sociedad investigada puesto que dentro de la resolución recurrida se señalaron todas las pruebas y argumentos jurídicos que ratifican el incumplimiento a los deberes establecidos en la Ley 1581 de 2012. 5.3 Aplicación del principio de responsabilidad demostrada.
Ahora bien, dentro del escrito del recurso la sociedad allega un amplio listado de pruebas y controles establecidos al interior de la entidad con el fin de poner en conocimiento de este Despacho la aplicación del principio de responsabilidad demostrada, sin embargo no ha tomado ninguna medidas para garantizar que el suministro de datos de referidos (terceros) se realice conforme a la ley, toda vez que en su calidad de Responsable debe asegurar que quien le suministra información está legitimado para ello, de lo contrario, se estaría avalando que terceros suministren datos de otras personas a empresas sin observar lo que ordena la ley.
Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de estos como consecuencia del almacenamiento en sus Bases o archivos. En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada.
Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos. En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada.
El artículo 262 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de 2 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la la implementación efectiva de las medidas de seguridad apropiadas” “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”3 Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.
Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza4 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. El mismo, exige que los responsables y encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales.
El éxito de este dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Ahora bien, una vez realizado el análisis de las pruebas allegadas por la recurrente a través de las cuales pretende hacer énfasis a al cumplimiento del principio de responsabilidad demostrada, este Despacho se permite aclara que el mismo está enfocada en el cumplimiento de los deberes de contar con la autorización previa expresa e informada así como informar previamente la finalidad para poder tratar sus datos y ser contactado como referido, frente a lo que encontramos lo siguiente: PRUEBA ALLEGADA Políticas de tratamiento de datos personales.
Ley de Protección de Datos Back Office Formato Solicitud de Crédito OBSERVACIÓN dentro de la misma no se hace mención a la autorización para realizar contacto de referidos conforme a la Ley 1581 de 2012 Procedimiento interno encaminado al adecuado manejo de peticiones quejas y reclamos No asegura que cuentan con el consentimiento previo e informar la finalidad del tratamiento de los datos ¿ES UNA MEDIDA NECEARIA PARA EVITAR RIESGO FRENTE A LA CONDUCTA SANCIONADA? NO NO NO 3 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 4 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Reglamento Interno de No aplica para el caso bajo Trabajo –RIT estudio Contrato de trabajo. Material de capacitación realizada en el año 2019. Material de capacitación “Semana de Cumplimiento” realizada a finales del mes de octubre y principios del mes de noviembre de 2019.
Informe y evidencias de la “Semana de Cumplimiento” realizada en el año 2019. Material de capacitación “Semana de Cumplimiento” realizada en el año 2020 Informe y evidencias de capacitación “Semana de Cumplimiento” realizada en el año 2021. Encuestas y control de asistencia de los empleados a las capacitaciones realizadas durante el 2020.
Encuestas y control de asistencia de los empleados a las capacitaciones realizadas durante el 2021. Política de Seguridad de la Información y Ciberseguridad No aplica para el caso bajo estudio no hace mención a la obtención de la autorización previa de las referencias no hace mención a la obtención de la autorización previa de las referencias no hace mención a la obtención de la autorización previa de las referencias no hace mención a la obtención de la autorización previa de las referencias N/A N/A NO NO NO NO no hace mención a la obtención de la autorización previa de las referencias NO no hace mención a la obtención de la autorización previa de las referencias NO no hace mención a la obtención de la autorización previa de las referencias NO No aplica para el caso bajo estudio NO Por todo lo anterior, este Despacho se permite señalar que para tener en cuenta las pruebas allegadas y dar aplicación al principio de responsabilidad demostrada como criterio de la sanción, no es necesario que la investigada allegue al expediente todas las implementaciones y medidas tomadas al interior de la organización frente al cumplimiento general de la Ley 1581 de 2012, lo que se busca con la aplicación de este principio es que demuestre que frente al incumplimiento de la conducta sancionada tomo todas las medidas diligentes y posibles para evitar la violación al derecho y que a pesar de haberlas implementado se presentó el evento.
De acuerdo a lo señalado, es claro que si bien el principio de Responsabilidad demostrada se está aplicando par el cumplimiento de algunos deberes contemplados el Ley 1581 de 2012, para el presente caso la sociedad no ha implementado ninguna medida encaminada a recolectar la autorización de forma previa y expresa para el suministrado de datos en calidad de “referencia personal” de acuerdo lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, así mismo deberá informar la finalidad para la cual será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención. 5.4 Respecto a la indebida formulación de cargos por la misma omisión fáctica Sostiene la recurrente que, dentro de la presente investigación se formularon dos (2) cargos en una investigación donde se configura un solo hecho “Si bien en el recuento fáctico investigado pueden destacarse diferentes hechos, como, por ejemplo, la llamada que se realizó al señor xxxx xxxxxxx xxxxxxxx xxxxx previo a su reclamo para que se eliminaran sus datos de las bases de almacenamiento de TUYA, y por supuesto, como otro hecho independiente, la supresión del dato que fue confirmada mediante comunicación enviada al titular es sólo una unidad fáctica la que constituye sanción. Esto claramente atenta contra otros principios supremos del debido proceso e “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” igualdad, ya que, examinando con detalle la motivación de los actos administrativos de la Superintendencia, los cargos que se imputan no obedecen o se originan en distintos hechos que constituyen incumplimientos autónomos de la normatividad”.
En primer lugar, considera este Despacho importante aclarar que en la resolución N° 29637 del 22 de julio de 2019, mediante la cual se resolvió iniciar investigación administrativa contra la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., se explicó claramente el motivo por el cual se encontró una presunta violación a los deberes contemplados en los literales b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 y literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, y con los artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 al encontrar que las pruebas aportadas al expediente antes del inicio de la investigación no permitían determinar que la sociedad contaba con los documentos que permitieran determinar que solicitaron la autorización previa expresa e informada para realizar tratamiento de datos personales del señor XXXX XXXXXXX XXXXXXXX XXXXX e informar la finalidad de dicho tratamiento.
Al respecto la Ley contempló que no solo basta con obtener la autorización para realizar el tratamiento de datos personales, sino que también debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. Además, del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos. En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas. Los derechos que tiene el titular de la información. La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos.
Por lo indicado, es claro que corresponde a deberes independientes y frente a los cuales el legislador considero que cada uno debería ser analizado por separado, toda vez que a pesar de recolectarse en algunos caso la autorización, el Responsable no siempre cumple con el deber de informar la finalidad del tratamiento, así las cosas es claro que la Ley 1581 de 2012 contemplo que cada deber debería ser clasificado en aras de garantizar a los titulares una adecuada protección de sus datos personales.
Así las cosas, se aclara que justo debido a la valoración que se le dio a cada una de las pruebas aportadas a la presente investigación, la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., de acuerdo a los deberes contemplados por la Ley 1581 de 2021 en su calidad de Responsable de Tratamiento de datos personales, debe contar con la autorización previa e informada del titular y que el respectivo consentimiento se debe obtener a más tardar al momento de la recolección de la información, de igual forma en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;
(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Por lo señalado, es claro que de acuerdo a la los hechos denunciados por el señor XXXX XXXXXXX XXXXXXXX XXXXX la Ley contempla dos deberes diferentes de relevancia frente a la Protección de Datos Personales parra realizar tratamiento de datos personales toda vez que se comprometen “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” el principio de libertad y finalidad de los titulares de información, no solo frente al denunciante sino también todos aquellos que estén relacionados como referencia personal dentro de sus bases de datos.
Por lo aquí señalado no es de recibo el argumento de la sociedad investigada ya que no solo basta con contar con la autorización, sino que esta cuente con una finalidad legítima y que haga referencia frente al destino que se le dará a la información lo cual debe realizarse de una forma clara y previa y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.
Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. 5.5 Frente a la aplicación del principio de la buena fe Al respecto la recurrente alegó que se debe dar aplicación al principio de buena fé y “debe extenderse el elemento de graduación de la sanción a estos puntos como faros interpretativos de una ley positiva que cambió la forma en que la autoridad desarrolla el ejercicio sancionador desde una nueva postura de diligencia -medio- antes que de resultado” Al respecto, este Despacho debe aclarar que los argumentos esbozados no justifican la conducta infractora de la investigada, pues dentro de laactuación desplegada por esta Dirección se realizó atendiendo los principios propios de la función administrativa, no solo el de buena fe según el cual las autoridades y los particulares presumirán el comportamiento leal y fiel de unos y otros en el ejercicio de sus competencias, sus derechos y deberes, sino también garantizando los demás principios consagrados en el artículo 3º de la Ley 1437 de 2011 y en el artículo 209 de la Constitución Política.
De esta forma, se reitera lo expuesto en el acápite anterior en cuanto a que durante la actuación fueron escuchados y valorados todos los argumentos y medios de prueba expuestos por la recurrente; sin embargo, con base en los estándares de prueba aplicados, la sancionada no logró desvirtuar los cargos formulados con base en la defensa planteada dentro de la actuación. En este sentido, que no se le haya dado la razón a la sancionada no significa que esta Superintendencia haya actuado desconociendo el principio de buena fe, sino que a partir de la valoración total de los medios de prueba allegados al proceso, se logró demostrar la infracción cometida por la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., quien a su vez no aportó elementos probatorios ni argumentativos suficientes para desvirtuarla, y por el contrario dentro del acervo probatorio se encuentran pruebas conducentes que conllevan a este Despacho a determinar el incumplimiento de las disposiciones legales contempladas en la Ley 1581 de 2012.
En el mismo sentido, se reitera que para realizar tratamiento de cualquier dato personal, estos deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad debe hacer referencia a la información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada, de manera que la simple entrega de información de sus titulares al momento de acceder a un crédito, no los convierte en dueños de la información, el titular (referido) debe manifestarlo a través de la respectiva autorización, por lo tanto esto, no es un argumento, para eximir a la investigada de la responsabilidad por la infracción de los deberes sancionados en la resolución N° 82622 del 17 de diciembre de 2021. 5.6 Frente a los criterios de graduación de la sanción Frente a tal consideración, este Despacho advierte que, contrario a lo señalado por la sociedad recurrente, en la citada Resolución se expuso con detalle la relevancia frente a la Protección de Datos Personales representa realizar tratamiento de datos personales sin contar con el consentimiento previo, expreso e informado así como la finalidades informadas al titular en virtud de la autorización otorgada por la adquisición de un servicio adquirido previamente.
A partir de ello y de conformidad con las pruebas suministradas en el escrito de descargos y lo señalado en los alegatos de conclusión se pudo concluir que la sociedad recurrente en calidad de Responsable de información no desvirtuó el incumplimiento de los deberes contenidos lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, así mismo deberá informar la finalidad para la cual “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención de acuerdo a lo argumentado en la Resolución No. 82622 del 17 de diciembre de 2021.
De esta manera, el derecho Administrativo Sancionador “es un instrumento de realización de los fines que la Carta atribuye a estas autoridades, pues permite realizar los valores del orden jurídico institucional, mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye indudablemente a la realización de sus cometidos”5, Así pues, dicha potestad sancionadora ejerce una finalidad preventiva que va encaminada a asegurar el cumplimiento de los fines del Estado.
Lo anterior adquiere mayor relevancia si se tiene en cuenta que el ejercicio de vigilancia y control asignado a esta Superintendencia mediante las disposiciones consagradas en la Ley 1581 de 2012 por parte de los Encargados de Tratamiento o Responsables del Tratamiento de información, según sea el caso, siendo necesario, al comprobar el incumplimiento de una norma, imponer la sanción correspondiente.
Por su parte dicha potestad sancionatoria no puede estar sujeta a la mera liberalidad del fallador, ni ser de aquellas de naturaleza subjetiva y arbitraria, en tanto que así ejercida contraría los fines y principios del Estado Social de Derecho. En ese orden de ideas, la facultad sancionadora del Estado está sujeta a los principios que limitan su actuación y configuran el derecho sancionador, tales como el debido proceso, principio de legalidad, y el principio de tipicidad, y criterios de proporcionalidad y razonabilidad.
Respecto de los dos últimos, éstos le permiten al órgano sancionador tener un marco de referencia para la determinación de la sanción, en tanto que dichos criterios deben estar presentes entre la conducta o hecho que se sanciona y la sanción que pueda imponerse. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Honorable Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005.
“(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional al hecho (…)”.
Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales6 por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro y violó el derecho fundamental de habeas data de la titular.
Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo estipulado en la Ley 1581 de 2012. Así las cosas, este Despacho advierte que precisamente por no haberse evidenciado la concreción de los criterios previstos en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2012 la sanción impuesta mediante la Resolución No. 44029 del 25 de junio de 2018 no fue superior a la prevista.
Lo anterior teniendo en cuenta que en virtud de lo previsto en el artículo 12 de la ley en cita, las multas de carácter personal e institucionales que por violación a la presente ley pueden ser impuestas hasta por al equivalente a dos mil (2.000) salarios mínimos legales mensuales 5Corte Constitucional, Sentencia C 406 de 2004, M.P. Jaime Araújo Rentería 6 “ARTICULO 36.
DECISIONES DISCRECIONALES. <Código derogado por el artículo 309 de la Ley 1437 de 2011. Rige a partir del dos (2) de julio del año 2012. El texto vigente hasta esta fecha es el siguiente:> En la medida en que el contenido de una decisión, de carácter general o particular, sea discrecional, debe ser adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa”.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” vigentes para el momento de la imposición de la sanción. Es preciso aclarar que la dosificación de la sanción obedeció al resultado probado en la investigación, es decir la vulneración de los deberes contenidos en lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, así mismo deberá informar la finalidad para la cual será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención.
SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo7, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución, por lo cual será confirmada.
SÉPTIMO: CONCLUSIONES Sin perjuicio de lo ya expresado no se accederá a las pretensiones de la recurrente por las siguientes razones: 1) A pesar de las pruebas aportadas a través de las cuales pretendió demostrar el cumplimiento del principio de responsabilidad demostrada, las mismas no fueron suficientes para desvirtuar el incumplimiento de los deberes sancionados. 2) Se ratifica el incumplimiento de los cargos formulados y se aclara por que las conductas se analizan de forma independiente. 3) El recurrente no logró desvirtuar o allegar pruebas nuevas que permitan desvirtuar las multas impuestas por la vulneración de los deberes contenidos en lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, así mismo deberá informar la finalidad para la cual será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención. 4) Se indica que la aplicación del principio de la buena fe no puede ser aplicado en el presente caso toda vez que la recurrente debe cumplir con las exigencias de la ley. 5) El recurrente no logró desvirtuar el motivo por el cual esta Dirección impartió la orden de “para que implemente medidas internas técnicas y administrativas, que sean pertinentes, útiles y efectivas para que se obtenga el consentimiento previo e informado de los Titulares de información relacionados como “referencia”, cuando se recolecte a través de los formularios dispuestos para solicitudes de crédito y/o cualquier otro medio de recolección de información”.
OCTAVO: Que, analizadas todas las cuestiones planteadas, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho revocará parcialmente la decisión contenida en la Resolución Nº. 47226 del 28 de julio de 2021 y en consecuencia se procederá a confirmar el monto de la sanción con base a lo expuesto en la parte motiva de la presente resolución.
NOVENO: Que como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Ley 1437 de 2011. Norma vigente al momento de iniciar la actuación administrativa.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Representante Legal Judicial Suplente vinculado al correo electrónico de notificación judicial de la sociedad jcorreal@tuya.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad investigada considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo anterior, esta Dirección
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR íntegramente la Resolución N°. 82622 del 17 de diciembre de 2021 por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por el recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente la presente decisión a la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A., identificada con el Nit. 860.032.330-3 en calidad de recurrente, a través de su representante legal y/o apoderado, entregándole copia de este acto administrativo.
ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,29 MARZO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.03.29 14:34:41 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: YLAC Revisó: AMCC Aprobó: CESM “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” NOTIFICACIÓN: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico 1: Correo electrónico 2: Correo electrónico 3: COMPAÑÍA DE FINANCIAMIENTO TUYA S.A Nit. 860.032.330-3 XXXXXXXXXXXXXXXXXXXXXXXXXXXX C.C. NoXXXXXXX CALLE 4 SUR 43 A 109 PISO 3 Medellín- Antioquia jcorreal@tuya.com.co jvelasquez@tuya.com.co notificacionesjudiciales@tuya.com.co 8 8 Información reportada al expediente bajo radicado 19-22694 - -38 pagina 3 folio 22.