Decisión 72803 de 2020 — SIC

(17 NOVIEMBRE 2020) “Por la cual se resuelve un recurso de reposición” Radicación 19-8025 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y 21 de la Ley 1581 de 2012, y los numerales 7 y 9 del artículo 17 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución 56699 del 16 de septiembre de 20201, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad CRC OUTSOURCING S.A.S. identificada con el Nit. 830.109.862-3 de CIENTO VEINTICUATRO MILLONES TRESCIENTOS TREINTA Y NUEVE MIL SEISCIENTOS CUARENTA Y CUATRO PESOS M/CTE ($124.339.644) equivalentes a TRES MIL CUATROCIENTAS NOVENTA Y DOS (3.492) Unidades de Valor Tributario, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17 de la Ley 1581 de 2013, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015, según lo expuesto en la presente resolución. (…)

ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la sociedad CRC OUTSOURCING S.A.S. identificada con el Nit. 830.109.862-3 de abstenerse de utilizar la información obtenida con ocasión de la gestión de recuperación de cartera, para finalidades que no hayan sido previamente autorizadas por los titulares. De esta manera, deberá cerciorarse de contar con la autorización previa, expresa e informada para revelar a terceros, datos relativos al cumplimiento de las obligaciones que administra.”

SEGUNDO: Que, la Resolución 56699 del 16 de septiembre de 2020 se notificó mediante el Aviso 25358 al señor JUAN MANUEL CASASBUENAS MORALES, en representación de la sociedad CRC OUTSOURCING S.A.S., el 29 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 198025- -26 del 07 de octubre de 2020.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-8025-27-1 del 13 de octubre de 2020, la sociedad CRC OUTSOURCING S.A.S., a través de apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 56699 del 16 de septiembre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: 3.1 En primer lugar, el recurrente hace referencia a los antecedentes de la presente actuación administrativa, así: “1.)

ANTECEDENTES PROCESALES. Actuación radicada el 18 de septiembre de 2020, bajo el número 19-8025-20-1. “Por la cual se resuelve un recurso de reposición” HOJA N 2, 1.1. La sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A., presentó denuncia en contra de la sociedad CRC OUTSOURCING SAS, ante la Superintendencia Financiera de Colombia. Esta denuncia fue trasladada a la Superintendencia de Industria y Comercio el 15 de enero del 2019, quedando radicada bajo el número 198025.

La denuncia se fundamentó en los siguientes hechos: “El 16 de mayo del 2017 la sociedad CRC OUTSOURCING SAS, nos hace llegar a nuestro correo institucional un derecho de petición en donde solicita información personal de XXXXX XXXXXXXX XXXX XXXXXXXX…la (sic) cual tiene contrato de trabajo con nuestra empresa. Ante esta solicitud, GESTION Y DISEÑOS ELECTRICOS S.A, envió respuesta en el término de ley el 18 de mayo del mismo año, en donde la respuesta fue negativa especialmente por la imposibilidad legal de entregar datos que están protegidos por la ley…El (sic) 24 de octubre del 2017 nos llega la misma petición (el mismo modelo de carta de derecho de petición) a lo cual el 7 de noviembre se remite respuesta formal.

El 28 de diciembre del mismo año, nuevamente se recibe un nuevo derecho de petición con la misma solicitud, a lo que se respondió que se atuviera a lo contestado en la comunicación del 7 de noviembre del 2017. Nos llega a nuestro correo institucional un nuevo derecho de petición, fechado el 10 de enero de 2018, y respondido en debida forma el 24 de enero del 2018, en donde se le mencionan las respuestas ya enviadas por lo que debe atenerse a lo respondido.

El 20 de septiembre del 2018, se emite respuesta al quinto derecho de petición donde solicita lo mismo que en las cuatro oportunidades anteriores, respondiéndole las respuestas que se han emitido. El 8 de enero del 2019, por sexta ocasión se recibe el mismo derecho de petición, enviando la respuesta el mismo 8 de enero; aparte de responde (sic) en debida forma se les hace un llamado de atención para que por favor dejen de abusar del derecho de petición y tomen las medidas necesarias para que esta situación no se vuelva a presentar.” 1.2.

El 29 de noviembre del 2019 al Superintendencia de Industria y Comercio – Dirección de Investigación de Protección de Datos Personales, profirió la Resolución N° 68522 por medio de la cual dispuso: “ARTÍCULO PRIMERO.- FORMULAR PLIEGO DE CARGOS contra la sociedad CRC OUTSOURCING SAS, identificada con NIT 830.109.862.-3 por la presunta contravención de lo dispuesto en: “(i) El literal (b) del artículo 17 de la Ley 1581, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015; y “(ii) el literal (c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b.) del artículo 4 y el literal a.) del artículo 12 de la misma Ley, así como con el inciso primero del artículo 2.2.2.25.2.2. del Decretó Único Reglamentario 1074 del 2015… 1.3.) El primer cargo se fundamentó así: Luego de citar las disposiciones contenidas en el artículo 17 literal b.), el artículo 4 literal c.) y el artículo 9 de la Ley 1581 de 2012 de una parte, y los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 del 2015, indicó: “Una vez se analizó la respuesta aportada por CRC OUTSOURCING SAS, se tiene que la sociedad solicitó en varias oportunidades, mediante derechos de petición de fecha 18 de mayo de 2017, 7 de septiembre de 2017, 4 de enero del 2018, 24 de enero del 2018, 20 de septiembre del 2018 y 8 de enero del 2019, a la sociedad GESTION Y DISEÑOS ELÉCTRICOS S.A, información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin que se evidenciara que la sociedad haya acreditado la obtención de la autorización previa expresa e informada por parte de XXXXX XXXXXXXX XXXX XXXXXXXX para el tratamiento de sus datos personales.

De igual forma, tampoco se evidenció la obtención de la autorización, previa expresa e informada para tratar los datos personales, correspondientes a direcciones de correo electrónico, XXXXXXXXXXXXX (sic) (vinculado al señor XXXXXXXXXXXXXXX) y XXXXXXXXXXXXX, para realizar gestiones de cobranza a través del envío de comunicaciones. “En ese sentido, esta Dirección encuentra que la sociedad CRC OUTSOURCING SAS., presuntamente habría incumplido su deber de solicitar y conservar la autorización, en los términos de los artículos 9 y 12 de la Ley 1581 para el tratamiento de los datos personales, contemplado en el literal b.) del artículo 17 de la misma ley.” 1.4.) El segundo cargo se fundamentó así: Luego de citar las disposiciones contenidas en el artículo 17 literal c.) y el artículo 4 literal b.) de la Ley 1581 de 2012 de una parte, y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015, indicó: “ Dentro de la información y pruebas remitidas por CRC OUTSOURCING SAS en la respuesta con radicado 19-8025-00006-0001 del 14 de mayo del 2019, no se evidencia que se haya informado de manera previa, clara y expresa a la titular XXXXX XXXXXXXX XXXX XXXXXXXX acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales para contactar a su empleador GESTION Y DISEÑOS ELECTERICOS S.A, en lo relativo a un crédito adquirido previamente por la titular, ni para realizar gestiones de cobranza a través del envió de comunicaciones.

De igual forma, tampoco está “Por la cual se resuelve un recurso de reposición” HOJA N 3, acreditada en la actuación administrativa, que CRC OUTSOURCING SA (sic), haya informado de manera previa las finalidades a las cuales serían sometidos los datos de las personas naturales que usan las direcciones de correo electrónico XXXXXXXXXXXXXX (vinculado al señor XXXXXXXXXXXXXXXXXXX) y XXXXXXXXXXXXXXXX” 1.5.) El 30 de diciembre del 2019, la sociedad investigada a través de si apoderado presentó descargos. 1.6.) Por medio de Resolución N° 56699 del 16 de septiembre del 2020 se impuso sanción a la sociedad CRC OUTSOURCING SAS.

Los artículos PRIMERO y SEGUNDO de dicha resolución dispusieron, en su parte pertinente: “ARTÍCULO PRIMERO.- Imponer una sanción pecuniaria a la sociedad CRC OUTSOURCING SAS.,…de (sic) CIENTO VEINTICUATRO MILLONES TRESCIENTOS TREINTA Y NUEVE MIL SEISCIENTOS CUARENTA Y CUATRO PESOS MCTE ($124.339.644) equivalente a TRES MIL CUATROSCIENTOS NOVENTA Y DOS (3492) Unidades de Valor Tributario, por la violación a lo dispuesto en el literal b.) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2. 25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y el literal c.) del artículo 17 de la Ley 1581 de 2013, en concordancia con el literal b.) del artículo 4 y el literal a.) del artículo 12 de la misma ley, así como con el inciso primero 2.2.2.25.2.2. del Decretó Único Reglamentario 1074 de 2015, según lo expresado en la presente resolución.” … “ARTÍCULO SEGUNDO.- IMPARTIR una orden administrativa a la sociedad CRC OUTSOURCING SAS…de (sic) abstenerse a utilizar la información obtenida con ocasión de la gestión de recuperación de cartera, para finalidades que no haya sido previamente autorizadas por los titulares.

De esta manera, deberá cerciorarse de contar con la autorización previa, expresa e informada para revelar a terceros, datos relativos al cumplimiento de las obligaciones que administra.” 1.7.) La Resolución N° 56699 del 16 de septiembre del 2020, se fundamentó en las siguientes razones: 1.7.1.) Dice que el artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los responsables del tratamiento de datos.

Indica que el incumplimiento de tales mandatos genera la aplicación de sanciones previstas en la misma normatividad. 1.7.2.) Afirma que en virtud del principio de libertad informática el legislador impuso a los Responsables del Tratamiento de datos la exigencia de requerir autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y además el deber de solicitar y conservar copia de la autorización otorgada, según lo dispuesto en el literal b.) del artículo 17 de la misma ley. 1.7.3.) Cita el aparte de los descargos en el que se manifiesta que “El solo hecho de solicitar la información, sin que se hubiese suministrado dicha información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del responsable del dato.” Sobre lo transcrito, indica que no se comparte tal postura, por cuanto el cumplimiento de las disposiciones aplicables al negocio jurídico, no resultan excluyentes ni exime del deber de acatar lo regulado por el régimen general de protección de datos personales. 1.7.4.) Refiriéndose al primero de los cargos, aduce que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados, razón por la cual, no es de recibo, que “…la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada.” Para sustentar su posición cita la sentencia C.-748 de 2011 en la parte relativa a los principios a que está sometido el poder sancionador del Estado. 1.7.5.) Señala que “resulta imperioso para esta Dirección resaltar que el objeto de la presente investigación administrativa consiste en determinar la ilegalidad del tratamiento de datos de la señora XXXXX XXXXXXXX XXXX XXXXX, y no de la dirección de correo electrónico vinculada a la empresa al cual fueron remitidas las peticiones que dieron lugar a la denuncia presentada por la sociedad GESTIÓN Y DISEÑOS ELECTRICOS.” 1.7.6.) En torno al primero de los cargos asevera que la investigada solicitó en varias oportunidades información personal de la señora XXXX XXXXXXX, “sin que se evidenciara que la sociedad investigada haya acreditado la obtención de la autorización, previa expresa e informada por parte de la Titular de la información para revelar su comportamiento crediticio a terceros, en el particular, a su empleador.” (Negrilla y sub rayado fuera del texto)(Se (sic) resalta que este aparte no corresponde estrictamente con la formulación de cargos.) Agrega que el dato crediticio es un dato semiprivado, cuyo conocimiento o divulgación se encuentra sujeto al cumplimiento de los preceptos expuestos en la Ley Estatutaria.

“Por la cual se resuelve un recurso de reposición” HOJA N 4, 1.7.7.) En cuanto al segundo de los cargos cita el artículo 12 literales a,b,c, y d.), el artículo 17 literales a,b,c y d, de la Ley 1581 de 2012, así como aparte de la sentencia C-748 del 2011, relativa a la necesidad de solicitar y conservar la autorización para el tratamiento de datos y la de informar al titular la finalidad de esa autorización y actuar en consecuencia. Pone de presente que frente al segundo de los cargos, la sociedad investigada aceptó la comisión de la conducta endilgada.

Afirma que “…se (sic) observa que no obra prueba que demuestre que la sociedad CRC OUTSOURCING SAS le haya informado a la Titular acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales, así como tampoco pieza probatoria que acredite que la sociedad investigada le informó a la señora XXXX XXXXXXX que sus datos iban a ser expuestos con el fin de enviar comunicaciones, entre terceros, en este caso a su empleador para gestión del cobro de la obligación a su cargo, situaciones que van en contravía directa de los dispuesto en el literal a.) del artículo 12 de la Ley 1581 de 2012 y que, adicionalmente, viola de manera clara el derecho a la intimidad de la ciudadana.” “No obstante lo anterior, esta Dirección encuentra que la sociedad investigada aceptó la comisión de la infracción frente al deber establecido en el literal c.) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b.) del artículo 4 y el literal a.) del artículo 12 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.” 1.7.8.) Refiriéndose a los criterios para graduar las sanciones establecidos en el artículo 24 de la ley 1581 de 2012, indica que se tendrán en cuenta en cuanto los mismos resulten aplicables, aclarando que los criterios establecidos en los literales b),c),d), (sic) y e), son de carácter negativo, esto es que atañen a conductas contrarias que agravan la sanción. Afirma que la sociedad investigada no incurrió en ninguna de las causales de agravación de la sanción por lo que no las tendrá en cuenta para efectos de tasar el monto final de la sanción. Dice que habida cuenta de la aceptación del segundo cargo este criterio se considerará para graduar la sanción. En este orden de ideas, y, en relación con el primer cargo reduce la sanción de $82.893.096 a $41.446.548.

Habiéndose relacionado los argumentos en que se fundamenta la decisión sancionatoria es necesario entrar a examinarlos:” 3.2 A continuación, presenta el primer motivo de inconformidad, el cual denomina “LA FORMULACIÓN DE CARGOS Y LA TIPICIDAD COMO LIMITANTES DEL PODER SANCIONATORIO.”, manifestando que: “2.) MOTIVOS DE INCONFORMIDAD 2.1.) LA FORMULACION DE CARGOS Y LA TIPICIDAD COMO LIMITANTES DEL PODER SANCIONATORIO.

Las atribuciones sancionatorias en un caso específico presentan dos limitantes: por un lado, el acto de formulación de cargos, y, por el otro el principio de legalidad de las faltas y las sanciones, concretado en el de la tipicidad de la infracción. Por un lado la formulación de cargos delimita fáctica y jurídicamente las faltas atribuidas al investigado, respecto de las cuales le corresponde ejercer su defensa.

Como puede evidenciarse, la claridad y exactitud del cargo es un requisito sine qua non para el adecuado ejercicio del derecho de defensa. Solo mediante cargos inequívocos y entendibles podrá ejercerse eficazmente la actividad de contradicción. Es por ello que la ley ha exigido precisión, exactitud, claridad, y minuciosidad en la atribución de los hechos constitutivos de la infracción y de la determinación de las normas vulneradas con la conducta.

Dice el artículo 47 inciso 2 del C.PACA (sic) que “concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo en el que se señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.” (Negrillas fuera del texto) Consideramos que la minuciosidad y detalle en la determinación de los hechos además cobra relevancia, si de otra parte se tiene en cuenta que la sanción solo es viable cuando la conducta enjuiciada ha sido prevista como infracción, a través de “tipos” integrados por diversos elementos (sujeto activo, sujeto pasivo, verbo rector, elementos normativos y subjetivos del tipo.) Debido a la importante función que desempeña la formulación de cargos en el adecuado ejercicio del derecho de defensa, la resolución que defina la investigación administrativa debe guardar congruencia con aquéllos.

La falta de esa congruencia constituye una violación al derecho de defensa, y, de contera al debido proceso, pues supondría sorprender al investigado con unos cargos frente a los cuales ejercería su labor defensiva, para, a la postre modificarlos y sancionarlo por otros diferentes, respecto de los cuales no ejerció su actividad de contradicción. Es por tal motivo que los cargos solo pueden ser variados por error en la calificación jurídica o por prueba sobreviniente, caso en el cual la variación se notifica en la misma forma que el pliego de cargos y se debe brindar al investigado un plazo adicional para solicitar y practicar otras pruebas.

(Ley 734 del 2002 “Por la cual se resuelve un recurso de reposición” HOJA N 5, artículo 165) En el presente caso los cargos no fueron modificados, por lo que atan al funcionario investigador. La otra limitante a la facultad sancionadora lo (sic) constituye la propia ley, que define las conductas punibles. Dice el artículo 29 de la Constitución Nacional que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa”.

A su vez el artículo 3 Numeral 1 inciso 2 del CPACA advierte que “en materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones…” (Negrilla fuera del texto) Como se indicará, en el presente caso se desconoció abiertamente el principio de legalidad respecto del primero de los cargos.

Esto por cuanto la conducta, atribuida en dicho cargo no se subsume en la ley como infracción, y, por ende mal podía acarrear una sanción. Refiriéndose al principio de tipicidad en materia administrativa la Corte Constitucional en la sentencia C-748 del 2011 indicó que “el principio e (sic) tipicidad que, que si bien no es igual de riguroso al penal, si (sic) obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción.” La garantía en comento presenta una doble faceta, toda vez que la conducta punible no solo debe estar previa y minuciosamente descrita, sino que el órgano estatal encargado de definir las faltas cuya comisión acarrea la sanción, no es otro que el legislativo.

Los deberes cuyo desconocimiento puede dar lugar a la aplicación de sanciones por parte del ente administrativo de control, son los establecidas en los artículos 17 y 18 de la Ley 1581 de 2012, que atañen a los responsables y encargados del tratamiento, respectivamente. Aunque el derecho fundamental al habeas data puede aparejar otros deberes, para todas las personas involucradas en el tratamiento de datos, es el desconocimiento de los enlistados en estos artículos el relevante para efectos sancionatorios.

En otras palabras, son los deberes establecidos en los mencionados artículos 17 y 18 los que definen las conductas prohibidas para efectos sancionatorios. (Tipicidad y legalidad) Sobre el particular la Corte Constitucional en la sentencia C-748, que resolvió sobre la exequibilidad de la Ley Estatutaria 1581 de 2012, indicó: “No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, si operan como una listas taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a sanciones administrativas previstas por el mismo proyecto de ley.” 3.3 Luego, expone argumentos en torno a la presunta ausencia de tipicidad y legalidad respecto del primer cargo, afirmando lo siguiente: “2.2.) AUSENCIA DE TIPICIDAD Y LEGALIDAD RESPECTO DEL PRIMER CARGO.

El primero de los cargos se concretó a que la sociedad investigada solicitó en varias oportunidades, “a la sociedad GESTION Y DISEÑOS ELÉCTRICOS S.A, información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin que se evidenciara que la sociedad haya acreditado la obtención de la autorización previa expresa e informada por parte de XXXXX XXXXXXXX XXXX XXXXXXXX para el tratamiento de sus datos personales.” En la forma en que se formuló el cargo, la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica.

El solo hecho de solicitar la información sin que se hubiese suministrado dicha información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del responsable del dato. Si lo que se reprochaba era la circulación de información, para fines diferentes a los inicialmente autorizados, ha debido formularse el cargo bajo la preceptiva del artículo 18 literal b.) o j.), lo que no se hizo.

La autorización se requiere cuando efectivamente se adelanta alguna actividad, que implica tratamiento de datos, como lo es la recolección, el almacenamiento, uso o circulación de la información. Debe resaltarse que los cargos se concretan a solicitar información a un tercero, sin autorización de la titular. No se refieren a suministrar información del titular al tercero, excediendo la autorización conferida para el tratamiento de datos o desconociendo la finalidad de dicha autorización. No existiendo el tratamiento de datos mal puede exigirse autorización alguna.

Lo anterior se concluye de la misma definición de “autorización” que trae el literal a.) del artículo 3 de la Ley 1581 de 2012. Esta norma indica que la autorización es “el consentimiento previó, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.” La “autorización” tiene una relación de finalidad con el tratamiento.

En otras palabras se da la autorización para que pueda efectuarse válidamente el tratamiento. Si no existe “Por la cual se resuelve un recurso de reposición” HOJA N 6, tratamiento no es posible predicar la necesidad de autorización alguna por lo que la conducta atribuida a CRC OUTSOURCING SAS resulta atípica y en consecuencia no punible.” 3.4 Posteriormente, afirma que la conducta simplemente “peligrosa” no es sancionable, al no estar contenida en un tipo que defina la infracción, así: “2.3.) LA CONDUCTA SIMPLEMENTE “PELIGROSA” NO ES SANCIONABLE SINO (sic) ESTÁ CONTENIDA EN UN TIPO QUE DEFINA LA INFRACCION.

En el acto sancionatorio se afirma que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados, razón por la cual, no es de recibo, que “…la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada.” En torno a tal aseveración debe señalarse, que el “peligro” de la conducta para el bien jurídico tutelado no puede sustentar la sanción. Ello echaría por la borda el principio de legalidad y tipicidad ya comentados.

Lo que sustenta dicha sanción es la tipificación de la conducta como infracción, independientemente de que la descripción efectuada por el legislador exija un resultado específico o simplemente un “peligro” para el bien jurídico. En tal sentido resulta ilustrativa la distinción efectuada por el tratadista ALFONSO REYES ECHANDÍA entre tipos de lesión y de peligro, que en ambos casos supone una adecuación de la conducta a una descripción abstracta, previamente realizada por el legislador: “Tipos de lesión son los que protegen bienes jurídicos cuya integridad desaparece o sufre mengua con la conducta del agente:…Son tipos de peligro los que describen conductas cuya ejecución amenaza o pone en peligro el bien jurídico que se ha querido proteger; se trata por lo general de intereses colectivos de tal importancia que el legislador no espera a que sean destruidos para sancionar al infractor, sino que los defiende incluso de conductas que tengan poder suficiente para afectarlos; en estos casos basta, pues, que el comportamiento del actor sea idóneo para amenazar el bien jurídico, sin que se requiera efectivamente lo haya lesionado…” (REYES ECHANDÍA. Alfonso.

DERECHO PENAL. Bogotá. Segunda reimpresión de la undécima edición. Editorial Temis. 2000.Pg 115).” 3.5 Manifiesta la investigada que operó el fenómeno jurídico de la caducidad, debido a que: “2.4.) CADUCIDAD DE LA ACCION SANCIONATORIA. En relación con el segundo de los cargos se habría producido la caducidad de la acción sancionatoria, lo que implica la pérdida de competencia por parte de la Superintendencia de Industria y Comercio para la imposición de la sanción. Cabe señalar que la circunstancia de que se haya aceptado el segundo de los cargos, no impide formular a su favor la caducidad.

Esto por dos motivos: (i) La aceptación de cargos es aceptación de la conducta, mas no de la responsabilidad administrativa, (ii) La caducidad, por ser instituto (sic) de orden publico (sic) opera sin que intervenga la voluntad de los sujetos concernidos. Hechas estas precisiones corresponde examinar los motivos por los cuales se predica la caducidad de la facultad sancionatoria en el caso bajo examen. 2.4.1.) LA CADUCIDAD DE LA FACULTAD SANCIONATORIA CONLLEVA PERDIDA (sic) DE COMPETENCIA La competencia, podría definirse como la facultad que tiene el funcionario público para proferir el acto administrativo, entendido éste como la manifestación de voluntad unilateral de la Administración tendiente a producir efectos jurídicos con carácter vinculante.

La competencia es determinada por varios factores, como lo son el territorial (ratio loci), el material o asunto objeto del acto (ratio materie), el grado jerárquico, el factor subjetivo (ratio personae), y, finalmente el factor temporal (ratio temporis). Aunque en principio la competencia de la administración es permanente, en ocasiones está limitada temporalmente como sucede con la facultad sancionatoria.

Por razones que no es del caso examinar aquí, la potestad sancionatoria ha sido limitada temporalmente de tal forma que si no se ejerce en el plazo señalado por el ordenamiento jurídico se produce la pérdida de competencia del funcionario que la ostentaba. Al respecto el tratadista LUIS ENRIQUE BERROCAL GUERRERO, señala sobre el factor temporal de la competencia lo siguiente: “Si bien lo corriente es que la competencia sea permanente, no obstante puede ocurrir que esté limitada en el tiempo, como cuando es otorgada para ser ejercida por una sola vez y dentro de un término cualquiera, o con sujeción a períodos regulares (períodos de sesiones de las corporaciones públicas), o como cuando solo se puede ejercer en oportunidades delimitadas por el ordenamiento jurídico, v. gr. la elección o designación de funcionarios de período fijo…., o cuando la facultad respectiva está sujeta a “Por la cual se resuelve un recurso de reposición” HOJA N 7, prescripción, como la potestad sancionatoria de la administración.” (Negrilla y subrayado fuera del texto) “----De (sic) modo que frente al factor tiempo, existe una competencia permanente e ilimitada, que no se agota con su ejercicio ni siquiera por período alguno, la cual es la regla general; una temporaria que a su vez puede ser por una sola vez (pro tempore), o periódica, y una circunstancial, en la que la circunstancia de que se trate puede operar como condición que hace nacer la competencia, o como condición extintiva de la misma.

(Subrayado fuera del texto) (Op. cit BERROCAL GUERRERO. Luis Enrique. MANUAL DEL ACTO ADMINISTRATIVO SEGÚN LA LEY, LA JURISPRUDENCIA Y LA DOCTRINA.) Así mismo la jurisprudencia ha señalado, desde hace ya varios lustros, que la caducidad de la potestad sancionatoria implica la pérdida de competencia. Es así como en providencia del 16 de abril de 1993, relativa a una sanción impuesta por violación al régimen de control de cambios, por fuera del plazo legalmente establecido para ello, señaló: “Como en el proceso consta que la apertura de la investigación administrativa por violación al régimen de control de cambios, se produjo el 19 de febrero de 1986, luego el término de cuatro años previsto en el artículo 2 de la Ley 33 de 1975 vencía el 19 de febrero de 1990, así las cosas, puesto que el acto sanción de 12 de junio de 1990, se produjo 76 días después del 19 de febrero de 1990, fecha de prescripción de la acción sancionatoria, es evidente que las suspensiones alegadas por el Superintendente no eran suficientes para justificar el notorio retraso de su pronunciamiento; luego si se produjeron por fuera del termino (sic) de prescripción de la acción, se concluye que el Superintendente desbordó los límites de su competencia funcional.” (Sentencia del 16 de abril de 1993.

De la Sección Cuarta del Consejo de Estado. Consejero Ponente: Dr. Jaime Abella Zárate. Expediente N° 4474.) (Subrayado y negrilla fuera del texto) Así mismo en asunto aduanero, al dictarse la Resolución sancionatoria por fuera del plazo de caducidad, el Consejo de Estado resaltó que la DIAN “…actuó sin competencia para ello y en desatención de lo dispuesto en el artículo 519 del Decreto 2685 de 1999 que determina que los términos allí establecidos son perentorios.” (Sentencia del 31 de julio de 2014 del Consejo de Estado.

Sala de lo Contencioso Administrativo. Sección Primera. Consejero Ponente Dr. GUILLERMO VARGAS AYALA. Expediente N° 2003-00048-01)(Negrillas y subrayado fuera del texto) (sic) Ahora bien, una vez perdida la competencia, consideramos que ésta no puede recuperarse por hechos posteriores. La asignación y pérdida de competencia es asunto de orden público, fijado por la ley, que no puede ser modificado ni depender de la actuación de los administrados. 2.4.2) REQUISITOS PARA QUE OPERE LA CADUCIDAD DE LA FACULTAD SANCIONATORIA Y POR ENDE LA PERDIDA (sic) DE COMPETENCIA POR PARTE DEL FUNCIONARIO.

En principio la caducidad se produce por el simple transcurso del tiempo sin que se haya ejercido el derecho o la potestad de que se trata, en este caso, la potestad sancionatoria. A diferencia de la prescripción, la caducidad no admite suspensión o interrupción. Determinando el plazo de caducidad el Art. 52 del CPACA establece que “la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.” El plazo de caducidad se inicia con la ejecución del hecho, la conducta o la omisión, que pudieren haber dado origen a la sanción, o, cuando se trata de conductas permanentes con el último acto ejecutivo.

Precisando el cómputo del plazo de caducidad, según se trate de conductas instantáneas o sucesivas el Consejo de Estado en Sentencia del 12 de Abril (sic) de 2018 de la Sección Quinta de la Sala de lo Contencioso Administrativo, siendo C.P. el Dr. CARLOS ENRIQUE MORENO RUBIO, bajo el radicado 25000-23-24- 000-2012-00788-01, señaló: “…esta Corporación ha reiterado en distintas oportunidades que para el cómputo de la facultad sancionatoria de la administración deviene necesario determinar la naturaleza de los hechos que originan la investigación administrativa, esto es, sin son de ejecución instantánea o sucesiva.

“Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. “En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.

De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce” “Por la cual se resuelve un recurso de reposición” HOJA N 8, 2.5.) LA CADUCIDAD EN EL CASO BAJO ESTUDIO El segundo de los cargos formulados consiste en esencia, en no haber informado de manera previa, a la titular acerca de las finalidades del tratamiento al que serían sometidos sus datos, esto es para contactar a su empleador, o realizar gestiones de cobranza.

De acuerdo a lo expuesto es necesario especificar y concretar en qué momento se debe obtener la autorización para el tratamiento de los datos y consecuentemente en que oportunidad debe informarse la finalidad de dicho tratamiento. En realidad se trata de un proceso secuencial. Para la recolección de datos, debe previamente obtenerse la autorización del Titular, y dicha autorización debe ser suficientemente informada.

En consecuencia, la indicación de la finalidad del tratamiento de datos debe ser previa a la autorización. En este orden de ideas la recolección de datos sin la autorización informada por parte del Titular implica la transgresión de las normas que protege el habeas data. Consideramos que se trata de una conducta instantánea que se configuraría en el instante mismo en que se recolectan los datos sin autorización informada.

Esta conducta debe distinguirse de la hipótesis que se dá (sic) cuando existe autorización del Titular, pero el Responsable o Encargado del Tratamiento, se desvía de dicha autorización o la utiliza para otras finalidades. En tal caso el momento consumativo de la infracción se presente no en el momento en que ha debido obtenerse la autorización, sino cuando se hace uso indebido de la información bajo su custodia.

En el presente caso la información fue recolectada por parte del Responsable en el año 2005 con ocasión de la concesión de un crédito rotativo. Para ese entonces no se encontraba vigente la ley 1581 del 2012, ni su Decreto Reglamentario 1074 de 2015. Ahora bien, este decreto en relación con los datos recolectados antes del 27 de junio de 2013, impuso la obligación a los Responsables de solicitar autorización de los titulares para continuar con el tratamiento y poner en conocimiento de estos sus políticas al respecto y el modo de ejercer sus derechos.

(Artículo 2.2.2.25.2.7.) Desde la vigencia de este decreto, que impuso el deber de ratificar las autorizaciones, para datos recolectados antes del 27 de junio del 2013, han transcurrido más de tres años, por lo que se habría producido la caducidad de la acción sancionatoria respecto de las faltas atribuidas.” 3.6 Finaliza su escrito, señalando que: “Por los motivos antes expuestos respetuosamente solicito a Usted se sirva revocar la resolución N° 56699 del 16 de septiembre del 2020 y en su lugar absolver a mi representada de todo cargo.”

CUARTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente, este Despacho procede a realizar las siguientes consideraciones: 4.1 De la formulación de cargos y la presunta ausencia de tipicidad y legalidad del primer cargo formulado por esta Dirección En este punto, realiza el Recurrente las siguientes afirmaciones: “Debido a la importante función que desempeña la formulación de cargos en el adecuado ejercicio del derecho de defensa, la resolución que defina la investigación administrativa debe guardar congruencia con aquéllos.

(Ley 734 del 2002 artículo 165) En el presente caso los cargos no fueron modificados, por lo que atan al funcionario investigador. La otra limitante a la facultad sancionadora lo (sic) constituye la propia ley, que define las conductas punibles. Dice el artículo 29 de la Constitución Nacional que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa”.

Esto por cuanto la conducta, atribuida en dicho cargo no se subsume en la ley como infracción, y, por ende mal podía acarrear una sanción. “Por la cual se resuelve un recurso de reposición” HOJA N 9, Refiriéndose al principio de tipicidad en materia administrativa la Corte Constitucional en la sentencia C-748 del 2011 indicó que “el principio e (sic) tipicidad que, que si bien no es igual de riguroso al penal, si obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción.” La garantía en comento presenta una doble faceta, toda vez que la conducta punible no solo debe estar previa y minuciosamente descrita, sino que el órgano estatal encargado de definir las faltas cuya comisión acarrea la sanción, no es otro que el legislativo.

Al respecto la Corte Constitucional señala que “el principio de legalidad, de acuerdo con el cual las conductas no solo deben estar descritas en norma previa sino que, demás, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en una autoridad administrativa.” En virtud de los argumentos propuestos por el Recurrente, resulta oportuno traer a colación los siguientes apartes extraídos de la ley y la jurisprudencia, para con ello realizar un ejercicio ilustrativo que permita una mejor comprensión de la parte motiva de la Resolución 56699 del 16 de septiembre de 2020, así: En primer lugar, es menester resaltar que para el caso objeto de estudio no resulta aplicable la Ley 734 de 2002 Código Único Disciplinario, sino las disposiciones contenidas en la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

El artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo señala que:

ARTÍCULO 47. Procedimiento administrativo sancionatorio. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes.

Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.

Este acto administrativo deberá ser notificado personalmente a los investigados. Contra esta decisión no procede recurso. Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer. Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente.

(Subraya fuera del texto original) De la disposición en cita se desprende que, la formulación de cargos encuentra su fundamento en las averiguaciones previas, la reconstrucción de los hechos materia de investigación, la adecuación de la conducta endilgada a una disposición presuntamente vulnerada y el análisis preliminar del material probatorio con el que cuenta el ente investigador para esa etapa procesal; elementos que, en su conjunto, se encuentran señalados en la Resolución 68522 del 29 de noviembre de 2019 “Por la cual se inicia una investigación administrativa y se formulan cargos” 2.

En armonía con lo anterior, el Alto Tribunal Constitucional, mediante sentencia C-748 de 2011, se refirió al poder sancionador del Estado y realizó las siguientes precisiones: “El poder sancionador estatal ha sido definido como un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, por lo que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, Actuación radicada el 05 de diciembre de 2012, bajo el número 19-8025-7-1.

“Por la cual se resuelve un recurso de reposición” HOJA N 10, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.” A su turno, la Ley Estatutaria 1581 de 2012 dispone lo siguiente: “ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” El artículo 17 del cuerpo normativo en cita, señala los deberes que le asisten a los Responsables del Tratamiento: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)”. Posteriormente, en el ejercicio de la potestad reglamentaria constitucionalmente atribuida, el Gobierno Nacional, por medio del capítulo 25 del Decreto 1074 de 2015, reglamentó la Ley 1581 de 2012 y dictó disposiciones generales para la protección de datos personales. Para el caso que nos ocupa, resulta necesario traer a colación los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto en mención: “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” “ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Así y contrario a lo afirmado por el Recurrente, esta Dirección no desconoció en ningún momento los principios de legalidad y tipicidad, propios del derecho administrativo sancionador, toda vez que, en efecto, concurrieron los siguientes elementos: 1.

La conducta sancionable se encuentra descrita de manera específica y precisa en la Ley 1581 de 2012 y el Decreto 1074 de 2015, y hacen referencia al deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular de la información. 2. Existe una sanción cuyo contenido material está definido en el artículo 23 de la Ley Estatutaria en comento, exactamente, en los siguientes términos: “Por la cual se resuelve un recurso de reposición” HOJA N 11, “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 3.

Existe una correlación inequívoca entre la conducta y la sanción referidas en los dos numerales anteriores. En suma, se reitera lo señalado en la Resolución 56699 del 16 de septiembre de 2020, en cuanto es evidente que, la sociedad CRC OUTSOURCING S.A.S. vulneró el precepto normativo contenido en el literal b) del artículo 17 de la Ley 1581 del 20129, en concordancia con el en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, al no haber acreditado la obtención de la autorización, previa expresa e informada por parte de la Titular de la información para revelar un dato semiprivado, correspondiente al comportamiento de pago de un crédito. 4.2 De la presunta conducta simplemente peligrosa, no sancionable al no estar contenida en un tipo que defina la infracción En este acápite del escrito, el Recurrente sostiene que, “En el acto sancionatorio se afirma que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados, razón por la cual, no es de recibo, que “…la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada.” En torno a tal aseveración debe señalarse, que el “peligro” de la conducta para el bien jurídico tutelado no puede sustentar la sanción. Ello echaría por la borda el principio de legalidad y tipicidad ya comentados.

Lo que sustenta dicha sanción es la tipificación de la conducta como infracción, independientemente de que la descripción efectuada por el legislador exija un resultado específico o simplemente un “peligro” para el bien jurídico.” En este punto, objeta el Recurrente el análisis realizado por este Despacho a folio 11 de la Resolución 56699 del 16 de septiembre de 2020, donde se precisó que: “Frente a los argumentos en cita, procede este Despacho a precisar que de la lectura de la Ley Estatutaria 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados; razón por la cual, no es del recibo de esta Dirección que, la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada, toda vez que ello significaría dejar de lado los cimientos que erigen la protección de los datos personales de la Titular de la información.” Al respecto, es necesario reiterar que, la Honorable Corte Constitucional al realizar el estudio de constitucionalidad de la Ley Estatutaria 1581 de 2012, mediante sentencia C-748 de 2011, estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

HOJA N 12, “Por la cual se resuelve un recurso de reposición” (…) “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas” Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

(ii) El incumplimiento de tales mandatos dará lugar a la aplicación de las sanciones contempladas en la misma normatividad. En armonía con lo expuesto, el artículo 24 de la Ley Estatutaria en comento, determina los criterios para graduar las sanciones, así: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De la lectura del literal a) del artículo en cita, se tiene que, la sola puesta en peligro a los intereses jurídicos tutelados se constituye como uno de los criterios a tener en cuenta para efectos de la graduación de la sanción a imponer por la infracción de los deberes contemplados en el Régimen de Protección de Datos Personales; lo que fractura las bases de la argumentación propuesta por el Recurrente y permite reiterar las precisiones realizadas por este Despacho, al señalar que: La Ley Estatutaria 1581 de 2012 en su artículo 3 precisa las definiciones de los vocablos técnicos indispensables para la protección de datos personales, en tanto permiten una correcta interpretación de la ley y contribuyen a determinar las responsabilidades de los responsables en el tratamiento de datos personales.

Para efectos del análisis de los argumentos expuestos por la sociedad investigada, es menester traer a colación el contenido del artículo en cita: “ARTÍCULO 3o. DEFINICIONES. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento;

“Por la cual se resuelve un recurso de reposición” HOJA N 13, c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” En referencia a la definición de Tratamiento contenida en el literal g) del artículo en cita, la Corte Constitucional, mediante sentencia C-748 de 2011, señaló que: “El vocablo tratamiento para los efectos del proyecto en análisis es de suma importancia por cuanto su contenido y desarrollo se refiere precisamente a lo que debe entenderse por el “tratamiento del dato personal”.

En ese orden, cuando el proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados. Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática.

En consecuencia, no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible.” De ahí que, contrario a lo expuesto por el Recurrente, el hecho de solicitar información de la Titular de los datos a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A., y de revelar en dichas solicitudes su comportamiento crediticio, son conductas que, sin lugar a dudas, se constituyen como un conjunto de operaciones sobre los datos personales de la señora XXXXX XXXXXXXX XXXX XXXXXXX y, en consecuencia, se encuentran cobijadas por la Ley Estatutaria 1581 de 2012.

Lo que permite señalar que carecen de sustento los argumentos del Recurrente, en los que afirma, que: “no es de recibo, que “…la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada.” En torno a tal aseveración debe señalarse, que el “peligro” de la conducta para el bien jurídico tutelado no puede sustentar la sanción. Ello echaría por la borda el principio de legalidad y tipicidad ya comentados.

Lo que sustenta dicha sanción es la tipificación de la conducta como infracción, independientemente de que la descripción efectuada por el legislador exija un resultado específico o simplemente un “peligro” para el bien jurídico.” Adicionalmente, es necesario reiterar que los postulados referidos por el recurrente al citar al profesor Reyes Echandía, se relacionan con el principio de tipicidad en materia penal, por lo que el concepto de tipo de lesión y de peligro no es aplicable en el caso materia de estudio.

En este orden de ideas, es claro que la conducta desplegada por la sociedad CRC OUTSOURCING S.A.S., al solicitar en varias oportunidades, vía petición, a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A. información personal de la señora XXXXX XXXXXXXX XXXX XXXXXXXX, sin contar con su autorización para revelar su comportamiento de pago de obligaciones crediticias, en este caso, a su empleador; puso en peligro intereses jurídicos tutelados por la Ley Estatutaria 1581 de 2012 y, como resultado, derivó en la sanción impuesta por esta Superintendencia, mediante la Resolución 56699 del 16 de septiembre de 2020.

De manera que, por lo señalado en el numeral 4.1 del presente acto administrativo, en armonía con las consideraciones expuestas en el presente acápite, encuentra esta Dirección que los argumentos expuestos por el Recurrente resultan contrarios al marco normativo en materia de protección de datos y, en consecuencia, no resultan del recibo de esta Dirección. 4. 3 De la presunta operancia de la caducidad de la facultad sancionatoria “Por la cual se resuelve un recurso de reposición” HOJA N 14, Para abordar este argumento, sea lo primero advertir que, el Estado ha sido revestido de la potestad sancionatoria con el fin de garantizar la preservación del ordenamiento jurídico, mediante la imposición de sanciones que reprueben y prevengan las conductas contrarias al mismo.

Según la doctrina y la jurisprudencia, el debido proceso se encuentra estructurado por una serie de postulados, entre ellos el principio de legalidad, en el sentido de señalar que, tanto la conducta reprochable como la sanción que ella conlleva, deben encontrarse debidamente tipificadas, y el principio de temporalidad de la facultad sancionatoria, que señala que, el administrado no puede encontrarse sometido indefinidamente a un proceso sancionatorio.

En cumplimiento de lo anterior, en nuestro ordenamiento existe la figura de la "caducidad de la facultad sancionatoria", entendida como el término dentro del cual la administración pública puede adelantar el proceso que conllevará a la imposición de una medida o una sanción. Tal régimen general se encuentra descrito en el artículo 52 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, así: “Caducidad de la facultad sancionatoria.

Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado. Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.

Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución La sanción decretada por acto administrativo prescribirá al cabo de cinco (5) años contados a partir de la fecha de la ejecutoria.” (Negrilla fuera del texto original) Al respecto, el Consejo de Estado, mediante sentencia proferida dentro del expediente -201200788-01, sostuvo que, para el cómputo de la facultad sancionatoria de la administración deviene necesario determinar la naturaleza de los hechos que originan la investigación administrativa, esto es, si son de ejecución instantánea o sucesiva, de la siguiente manera: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución.” De lo expuesto, la conducta sancionada estaba compuesta por un conjunto de actividades de cobranza, luego el desarrollo de las mismas no constituye una conducta de ejecución instantánea o única en el tiempo sino que, por el contrario, se trata de actos de naturaleza continuada; razón por la que, el término de caducidad empieza a computarse desde que acredita la comisión del último hecho infractor, en el cual se evidencia el tratamiento de datos personales por parte de la sociedad investigada, es decir, desde 08 de enero de 2019, fecha de envío de la última comunicación remitida por la sociedad investigada al empleador de la señora XXXXX XXXXXXXX XXXX XXXXXXXX.

En ese orden, no se configura la caducidad de la facultad sancionatoria de esta Superintendencia, si se tiene en cuenta que el acto administrativo que impuso la sanción de multa fue notificado el 29 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 19-8025- -26 del 07 de octubre de 2020; es decir, dentro del plazo previsto en el artículo 52 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 4.4 Frente a la solicitud realizada por el recurrente En su escrito de recurso, la sociedad CRC OUTSOURCING S.A.S. sostiene que, “Por los motivos antes expuestos respetuosamente solicito a Usted se sirva revocar la resolución N° 56699 del 16 de septiembre del 2020 y en su lugar absolver a mi representada de todo cargo.” “Por la cual se resuelve un recurso de reposición” HOJA N 15, Teniendo en cuenta lo expuesto en los numerales anteriores, esta Dirección no encuentra procedente REVOCAR la Resolución 56699 del 16 de septiembre de 2020, la cual se impuso por la violación a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y (ii) El literal c) del artículo 17 de la Ley 1581 de 2013, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la mima ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

Vulneración que no fue desvirtuada por el Recurrente con los argumentos expuestos, los cuales no acompañó de material probatorio alguno en el trámite del recurso interpuesto; razón por la cual, se procederá a confirmar la resolución recurrida.

QUINTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución 56699 del 16 de septiembre de 2020. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución 56699 del 16 de septiembre de 2020, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente a la sociedad CRC OUTSOURCING S.A.S. identificada con Nit. 830.109.862-3, a través de su representante legal y de su apoderada, entregándoles copia de la misma.

ARTÍCULO CUARTO: COMUNICAR a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A., identificada con el Nit. 860.031.282-3 el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 17 NOVIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.11.17 14:51:40 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: LMRZ Aprobó: CESM “Por la cual se resuelve un recurso de reposición” HOJA N 16, NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderado: Identificación: CRC OUTSOURCING S.A.S. Nit. 830.109.862-3 SANDRA FANERY AGUIRRE SANDOVAL C.C. No. 51.721.782 Cra 7 No. 155 C – 30 Centro Empresarial North Point Torre E P 26 Bogotá D.C. alex.russo@crc.com.co Dirección: Ciudad: Correo electrónico: JUAN MANUEL CASASBUENAS MORALES C.C. No. 79.278.294 T.P. No. 40.982 del C.S de la J. XXXXXXXXXXXXXXXXXXXXXXXXX Bogotá D.C. XXXXXXXXXXXXXXXXXXXX COMUNICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: GESTIÓN Y DISEÑOS ELÉCTRICOS S.A. Nit 860.031.282-3 CESAR AUGUSTO PUCCINI LIZARAZO C.C. No. 79.504.708 Calle 105 No. 18 A - 20 Bogotá D.C. info@gdel.com.co

Resolución sancionatoria N° 72803 de 2020

CONSIDERANDO

RESUELVE