Decisión 46661 de 2022 — SIC

(Julio 22 de 2022) Radicación 20-066400 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 78034 de 30 de noviembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada NIT 800.153.993 – 7, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($72.616.000) [sic], equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley [sic].

( )"

SEGUNDO. Que mediante escrito radicado bajo el No. 20-066400-33 de 24 de diciembre de 2021, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 78034 de 30 de noviembre de 2021.

TERCERO. Que mediante la Resolución No. 10836 de 8 de marzo de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 78034 de 30 de noviembre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 78034 de 30 de noviembre de 2021, con base en los siguientes argumentos: “( ) 1. Tal y como se manifestó en la respuesta al requerimiento dentro de la actuación radicada bajo el No. 20-66400, la información de la señora XXXXXXX XXXXXX XXXXXXX que reposa en las bases [sic] de datos [sic] de la compañía se recolectó a través de la suscripción de los contratos verbales de las cuentas hogar No. ( ) Es importante señalar que los contratos ( ) fueron activados en los meses de diciembre de 2018 y enero de 2019, respectivamente.

Al escuchar las grabaciones de los contratos se evidencia que se efectúo la confirmación de la identidad de la reclamante a través de la validación de los datos [sic] personales, a saber: nombres, apellidos, número de cédula, fecha de nacimiento, fecha de expedición de la cédula y la aprobación de las preguntas realizadas por seguridad.

Al momento de la grabación de los contratos el asesor efectuó unas preguntas de seguridad; es decir que la compañía efectuó filtros de seguridad pertinentes para la contratación de los servicios. HOJA Nº 2. La compañía cuenta con la autorización [sic] otorgada de manera previa, expresa e informada por parte de quien en su momento se identificó y validó como la señora XXXXXXX XXXXXX XXXXXXX para la recolección y tratamiento [sic] de sus datos [sic] personales.

En las grabaciones de los contratos de las cuentas Hogar ( ) se puede evidenciar la autorización [sic] para el tratamiento [sic] de los datos [sic] personales, así: “autoriza a CLARO para realizar el tratamiento [sic] de sus datos [sic] personales con fines de prestación del servicio relación contractual comercial publicitaria y trasmisión de datos [sic] a terceros de acuerdo con la política de tratamiento [sic] disponible en www.claro.com.co usted puede consultar actualizar y rectificar sus datos [sic], solicitar o revocar esta autorización [sic] conocer el uso que se le ha dado a sus datos [sic], y contactar a la Superintendencia de Industria y Comercio, acepta sí o no? a lo que contesto: si señora” Adicionalmente, es importante reiterar que la señora XXXXXXX XXXXXX XXXXXXX no ha presentado ante la compañía copia del denuncio penal formulado ante la Fiscalía General de la Nación, para que dicho ente verifique el presunto delito de suplantación personal.

No obstante lo anterior, debido a la manifestación efectuada por parte de la usuaria de declarar ser víctima del delito de falsedad personal bajo la gravedad del juramento, COMCEL procedió a realizar ajustes por concepto de cobro de las cuentas Hogar ( ) 3. Por lo anterior y en relación con lo manifestado por parte de la SIC en la hoja 15: “( ) preliminarmente se encontró que la información suministrada por la investigada al Encargado del tratamiento [sic] no fue comprobable veraz y exacta, ya que la sociedad COMUNICACIÓN CELULAR COMCEL S.A no contaba con la autorización [sic] previa, expresa e informada de la titular [sic] ( )” reiteramos que la compañía SI cuenta con la grabación de los contratos de las cuentas hogar ( ) en la que se evidencia la autorización [sic] otorgada para el tratamiento [sic] de los datos [sic] personales. 4.

En cuanto a lo manifestado por la SIC en la página 21: “( ) así, las cosas frente a los mensajes de gestión de cobranza de noviembre de 2019 y del 26 de febrero de 2020 de los Encargados del tratamiento [sic], este Despacho encuentra que la sociedad COMUNICACIÓN CELULAR COMCEL S.A le suministró datos [sic] de la titular [sic] erróneos, inexactos, no comprobables y desactualizados, ya que desde marzo de 2019 se había exonerado a la titular [sic] de la mora en la deuda y descontado todos los saldos facturados de la cuenta hogar No. ( ) frente a la manifestación de la titular [sic] bajo la gravedad de juramento en el sentido de que fue suplantada en su identidad ( )” Es importante manifestar que COMCEL mediante comunicado RVA 10000-3364452 del [sic] 17 de marzo de 2020 nuevamente le reiteró a la usuaria que respecto a la cuenta Hogar ( ), se había procedido a exonerarla de la obligación y se había descontado la totalidad de los saldos facturados, los ajustes efectuados se encuentran plenamente demostrados en las impresiones del sistema ( ) En este caso y en relación con lo manifestado por la SIC, de manera atenta nos permitimos manifestar que COMCEL S.A. en su deber de fuente y como Responsable del tratamiento [sic] de los datos [sic] de la señora XXXXXXX XXXXXX XXXXXXX, cumplió con el deber establecido y realizó las respectivas rectificaciones ante el encargado [sic] de las mismas, evitando así que se realizaran gestiones de cobranza por obligaciones que no le correspondían a la titular [sic].

En este caso, reiteramos que COMCEL en su calidad de Responsable del tratamiento [sic] de los datos [sic] personales de la Titular, procedió a rectificar la información ante el encargado del tratamiento [sic] para no continuar con gestiones de cobro de la cuenta Hogar ( ); respecto a lo anterior, conforme se establece en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015, la actualización debe efectuarse, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos de tal manera que satisfagan los propósitos del tratamiento ( ) Adicionalmente a lo anterior, es importante resaltar que la compañía cuenta con el documento de POLITICAS DE TRATAMIENTO DE DATOS PERSONALES el cual se encuentra publicado en la página www.claro.com.co en el que se informa a los titulares el derecho de rectificar sus datos [sic] personales, por lo cual la compañía una vez presentada la petición por la usuaria le HOJA Nº reiteró que respecto de la cuenta Hogar ( ) no presentaba saldos adeudados y rectificó la información al encargado para no continuar con la gestión de cobro. 5.

( ) en la imputación de cargos el Despacho reprocha a COMCEL haber suministrado al encargado [sic] del tratamiento [sic] información que no es comprobable, veraz ni exacta toda vez que no existe prueba de la autorización [sic] de la titular [sic] y COMCEL como lo demostró en los descargos SI [sic] cuenta con las grabaciones en las que se evidencia la autorización [sic] de la titular [sic]; no obstante lo anterior, para fundamentar la sanción, el despacho a su digno cargo manifiesta que la conducta reprochable a mi representada es porque desde marzo 2019 se había exonerado a la titular [sic] y le efectuó gestiones de cobranza en el mes de noviembre de 2019 y 26 de febrero de 2020, lo cual no es congruente con la imputación de cargos, por lo que considero y debo manifestar con mi acostumbrado respeto que se estaría violando el derecho de defensa, al modificar la conducta presuntamente violada al imponer la sanción. ( ) la compañía cuenta con las grabaciones de los contratos de las cuentas Hogar ( ) en las que se evidencia la autorización [sic] otorgada para el tratamiento [sic] de los datos [sic] personales y tan pronto la usuaria señaló que presuntamente había sido víctima de suplantación personal, la compañía procedió a efectuar ajustes por concepto de facturación; adicionalmente, una vez se evidenció la gestión de cobro efectuada el día 26 de febrero de 2020 se procedió a rectificar la información con el encargado [sic] del tratamiento [sic], y en todo caso COMCEL desde antes de la formulación de cargos había rectificado la información al encargado [sic] y había efectuado ajustes por concepto de facturación, por lo que debe tenerse en cuenta que la compañía rectificó la información al encargado [sic], y reiteramos que se hizo antes de la apertura de la investigación. ( ) en cuanto a la sanción impuesta manifestamos que si en gracia de discusión esa entidad considera que pudo haber incumplimiento por parte de COMCEL, es necesario se tenga en cuenta la dosimetría de la sanción para entrar a evaluar los elementos que componen la infracción y en este caso particular las circunstancias de tiempo y modo de la presunta infracción, porque la sanción impuesta resulta desproporcionada, razón por la cual la misma debe revaluarse, y tenerse en cuenta la aplicación de los criterios de razonabilidad y proporcionalidad, dado que la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que se logre el equilibrio entre la sanción y la finalidad que la norma establece ( ) COMCEL ha tomado todas las precauciones razonables y las medidas de índole técnico, administrativo y organizacional conducentes a garantizar la seguridad de los datos [sic] de carácter personal de los Titulares, principalmente aquellos destinados a impedir su alteración, pérdida y tratamiento [sic] o acceso no autorizado.

Las medidas de seguridad se aplican tanto a los ficheros como a los tratamientos [sic]. La aplicación de las medidas de seguridad tiene como fin procurar la conservación, confidencialidad, integridad, y disponibilidad de los datos [sic]. Los lineamientos de seguridad se encuentran respaldados por las políticas de seguridad de la información construidas bajo las mejores prácticas y estándares de seguridad existentes y dando cumplimiento a las regulaciones vigentes.

Dichas políticas son de estricto cumplimiento por los funcionarios directos o indirectos que desempeñan alguna labor u actividad al interior de CLARO S.A. ( ) Solicitudes PRIMERO.- REVOCAR en su integridad la Resolución No. 78034 del [sic] 30 de noviembre de 2021 SEGUNDO.- En caso de no ser revocada la Resolución No. 78034 del [sic] 30 de noviembre de 2021, solicito se tengan en cuenta los argumentos sobre la proporcionalidad de la sanción para que la misma sea disminuida teniendo en cuenta que la compañía efectuó ajustes y rectificó la información ante el encargado para que no continuara efectuando gestiones de cobranza.

HOJA Nº TERCERO.- Conceder el RECURSO DE APELACIÓN ante el Superintendente delegado [sic] de Protección de Datos Personales. ( )”.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 2 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar. (v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001;

C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”. 3 Corte Constitucional.

Sentencia C-748 de 2011. 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa impuesta por parte de esta entidad corresponde a un total de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($72’616.000), equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT. La cual representa aproximadamente el 4% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. SOBRE LA RECTIFICACIÓN DE LOS DATOS DE LA TITULAR En el escrito del recurso la investigada argumenta que, “procedió a rectificar la información con el encargado [sic] del tratamiento [sic], y en todo caso COMCEL desde antes de la formulación de cargos había rectificado la información al encargado [sic] y había efectuado ajustes por concepto de RESOLUCIÓN 59135 2020 HOJAla información 16 al encargado facturación, por lo que debe tenerse NÚMERO en cuenta queDE la compañía rectificó [sic], y reiteramos que se hizo antes de la apertura de la investigación”.

Por la cual se inicia una investigación administrativa Frente a esto, este Despacho recuerda quey se la formulan Resolución No. 59135 de 2020 resolvió: cargos ARTÍCULO PRIMERO: ABRIR INVESTIGACIÓN y FORMULAR PLIEGO DE CARGOS contra la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con Nit. 800.153.9937 cuyo representante legal es Representante Legal es FERNANDO GONZÁLEZ APANGO identificado con cédula XXXXX y, de conformidad con lo establecido en la parte motivada de la presente resolución, por la presunta contravención de lo dispuesto en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. ii) El literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 ARTÍCULO SEGUNDO: NOTIFICAR personalmente contenido de resolución a la 17 de Adicionalmente, la sanción fue por la contravención de loelseñalado enlaelpresente literal e) del artículo COMUNICACIÓN CELULAR COMCEL identificada Nit. 800.153.993-7, la Ley 1581sociedad de 2012, en concordancia con elS.A. literal d) del S.A. artículo 4 de lacon misma norma. para que dentro de los QUINCE (15) días hábiles siguientes a la notificación del presente acto De otro lado, y como se vio,descargos la Dirección de Protección Datos Personales no administrativo, rinda y aportedey/oInvestigación solicite las pruebas que pretenda de hacer valer dentro realizó ninguna formulación a la recurrente por falta de medidas de seguridad en el debido del trámite radicado de concargos el número 20-66400 Tratamiento de Datos personales, ni tampoco se sancionó por esta razón. Lo que sí hizo fue impartir una orden preventiva en materia de seguridad de la información con el fin de evitar más casos de PARÁGRAFO: En caso de no ser posible la notificación personal al cabo de los CINCO (5) suplantación de identidad al interior de la compañía. días del envío de la comunicación, ésta se hará por medio de aviso que se remitirá a la dirección, al número de fax el o alanálisis correo electrónico figuren el expedientepresentados o puedan por la De esta manera, y luego de realizar pertinenteque sobre los en argumentos del registro mercantil, de copiaesta íntegra del acto administrativo, recurrente, yobtenerse los documentos que reposanacompañado en el expediente Delegatura solo se va a de referir a los deberes incumplidos porcon los locuales fue en el sancionada investigada. conformidad dispuesto artículola 69 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).

HOJA Nº

4. DEL DERECHO DE DEFENSA. DE LA BUENA FE Al respecto, en el escrito bajo estudio la recurrente afirma que, “para fundamentar la sanción, el despacho a su digno cargo manifiesta que la conducta reprochable a mi representada es porque desde marzo 2019 se había exonerado a la titular [sic] y le efectuó gestiones de cobranza en el mes de noviembre de 2019 y 26 de febrero de 2020”.

También manifiesta que lo anterior es congruente con la imputación de cargos, por lo que se estaría violando el derecho de defensa, al modificar la conducta presuntamente violada al imponer la sanción. El artículo 83 de la Constitución Política Nacional determina que las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante estas.

Asimismo, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo estableció que: “( ) todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.

( )” De otro lado, los artículos 47 a 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo contienen la regulación del procedimiento administrativo sancionatorio. Aquí están las bases generales y luego, las autoridades que ejercen funciones de inspección, vigilancia y control, pueden, por vía reglamentaria establecer los protocolos necesarios para llevar a cabo el procedimiento establecido en la ley.

Es importante relievar que, no se vulneró en ningún momento el debido proceso. Pues, dentro de la actuación previa que inició la Dirección de Investigación de Protección de Datos Personales, se adelantó la formulación de cargos a través del acto administrativo No. 59135 de 24 de septiembre de 2020, por la presunta vulneración del deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4.

Lo expuesto, en virtud de todas las pruebas que reposan en el expediente y al corroborar que efectivamente la recurrente había transferido los Datos de la ciudadana al Encargado a fin de iniciar la gestión de cobranza. Vale anotar que, este Encargado realizó el envío del correo electrónico a la quejosa, solicitando el pago de la obligación que presuntamente se había adquirido mediante el delito de suplantación de identidad, sin la Autorización de la Titular de los Datos.

Autorización de la cual no existe prueba (copia) idónea en el expediente. Se reitera que, este tipo de actuaciones administrativas se encaminan a determinar si es o no necesario expedir órdenes con el fin de tutelar el Derecho de Habeas Data de los Titulares de la información, entre otros; o si hay lugar a la imposición de multas luego de verificar si se han o no incumplido las normas de protección de Datos personales, tal como ocurrió en este caso.

En adición a lo anterior, se reitera que, la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar al quejoso el Derecho Fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza de COMCEL S.A. HOJA Nº Al respecto, este Despacho advierte que, en ningún momento los actos o actuaciones de esta entidad en el curso de este proceso administrativo, han estado en contravía del derecho, como erróneamente lo infiere la recurrente.

Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta Delegatura aplicó y respetó las garantías procesales necesarias, y emitió los actos administrativos a que hubo lugar. Los que, en ninguna circunstancia fueron arbitrarios. Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que las fundamentan.

Igualmente, no es pasible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública. En vista de todo lo anterior, y luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva, ni la sanción que fue impuesta.

5. CONSERVACIÓN OBLIGATORIA DE LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LOS DATOS Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En línea con lo anterior, el artículo 8 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) dispone lo siguiente: Prueba de la autorización [sic]. Los Responsables deberán conservar prueba de la autorización [sic] otorgada por los Titulares de datos personales para el Tratamiento de los mismos. No debe olvidarse que al “Responsable del Tratamiento” le corresponde probar que ha cumplido la ley tal y como lo dispone el capítulo VI del citado Decreto 1377 titulado “Responsabilidad demostrada frente al tratamiento [sic] de datos [sic] personales”.

El artículo 26 establece lo que sigue a continuación: Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). En suma, el Responsable del Tratamiento tiene la carga probatoria de, entre otras, acreditar la prueba obtenida para tratar los Datos del Titular de la información. El Decreto Único Reglamentario 1074 de 2015 estableció en relación con la Autorización del Titular para el Tratamiento de sus Datos: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales HOJA Nº que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

( ) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(Decreto 1377 de 2013, art. 7). Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (Decreto 1377 de 2013, art. 8)” (Énfasis añadido). Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Analizados nuevamente todos los documentos se evidenció que la investigada no contaba con la Autorización legal exigida por parte de la Titular para tratar sus Datos personales. Frente a lo anterior, para este despacho no son admisibles los argumentos presentados por la investigada, pues todos conducen a excusar el incumplimiento de la Ley 1581 de 2012, en la presunta conducta omisiva de conservar la Autorización suscrita por la Titular de los Datos.

Lo anterior se deriva de las exigencias y de las cargas probatorias de la Ley 1581 de 2012. Por eso, quien adquiere Datos personales de parte de terceros debe ser muy diligente con miras a establecer si quien le suministra la información cumplió correctamente sus deberes respecto de la regulación de Tratamiento de Datos personales. En otras palabras, se debe realizar un proceso de investigación (debida diligencia - due diligence) con miras a establecer la situación legal y real de lo que desea adquirir con el objetivo de determinar, evaluar y cuantificar las posibles contingencias de una eventual negociación o transacción para el uso de datos personales.

En materia de Datos personales, por ejemplo, una debida diligencia debe establecer, entre otras, lo siguiente: a) La veracidad de la información teniendo en cuenta que ésta debe ser comprobable b) La legitimación sobre el Tratamiento de Datos para determinar si quien los tiene los adquirió lícitamente y qué puede hacer con los mismos o a quiénes puede circularlos o suministrarlos.

Como se observa, la debida diligencia (due diligence) demanda una labor profesional, diligente y exhaustiva que comprende la revisión de todos los documentos y las pruebas de manera que se evidencie un estudio profundo y detallado respecto de la regulación de Tratamiento de Datos personales para evitar eventuales Tratamientos indebidos o ilícitos de Datos personales.

Recordemos que, en el caso en concreto, la quejosa informó que había sido víctima del delito de suplantación de identidad mediante comunicación radicada el 15 de febrero de 2019: HOJA Nº 10 Página 8 escrito de descargos presentado por la investigada Por lo que, a partir de esa fecha se entiende que cualquier “Autorización” dada por el presunto suplantador no podía considerarse válida y debía cesar cualquier Tratamiento de la información personal de la Titular.

Así que, no entiende este Despacho por qué en noviembre de 2019 y febrero de 2020 los Encargados del Tratamiento para la gestión de cobranza se comunicaron con la ciudadana si COMCEL S.A. desde el 15 de febrero de 2019 tenía conocimiento de la presunta suplantación de identidad de la que al parecer fue víctima la Titular. De lo anterior también se hizo referencia en el acto administrativo que impuso la sanción, veamos: HOJA Nº 11 Así las cosas, se reitera que, además de que no se contaba con la Autorización para el Tratamiento de los Datos personales de la ciudadana, en el acto administrativo que impuso la sanción NO se modificó la conducta de la formulación que se había hecho en el primer cargo.

6. CARGA DE LA PRUEBA La jurisprudencia colombiana, en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”9 En correspondencia con lo anterior, este Despacho considera importante resaltar que la investigada, en ningún momento, aportó la prueba esperada en esta actuación administrativa.

Pues, no logró demostrar que contaba con la copia de la Autorización de la Titular para el Tratamiento de su información personal. En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las 9 Corte Constitucional, Sentencia T-733 de 2013. HOJA Nº 12 partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes” 10; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”11 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”12 Así las cosas, es inocultable el actuar de la recurrente, en el sentido de no haber aportado la prueba que demostrara, sin lugar a ninguna duda que la Titular de los Datos personales había otorgado la Autorización para el Tratamiento de los mismos, en ninguna de las etapas procesales aportó la copia idónea de esa Autorización, con las grabaciones que remitió no es posible demostrar sin lugar a error que se trata de esa Titular en particular.

Simplemente, consideró suficiente argumentar en los descargos y en el recurso interpuesto lo siguiente: De conformidad con lo expuesto, los argumentos presentados, y la valoración de las pruebas entregadas por la investigada, resulta notorio que su actuación dentro de este trámite no significó una colaboración determinante. Por lo menos en cuanto al aporte de pruebas conducentes, pertinentes y suficientes que demostraran la realidad del contexto que pretendía revelar.

7. SUPLANTACIÓN DE IDENTIDAD Y TRATAMIENTO DE DATOS PERSONALES. PRINCIPIO DE VERACIDAD. PRINCIPIO Y DEBER DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES Suplantar significa, entre otras cosas: “Quitar a una persona su sitio, de manera fraudulenta, ocupando su cargo o posición, o asumiendo sus funciones”13. La suplantación de identidad consiste en hacerse pasar por otra persona para diversos propósitos, generalmente negativos, como, por ejemplo: engañar a terceros, obtener bienes y servicios con cargo a la persona suplantada, incurrir en fraudes, entre otras conductas ilícitas. 10 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 11 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 12 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. 13 Diccionario del español jurídico. Real Academia de la Lengua Española. HOJA Nº 13 Mediante la suplantación de identidad los impostores obtienen créditos y adquieren productos o servicios en nombre de la persona suplantada. La cual, resulta ser la mayor afectada. Pues, sin preverlo, termina por asumir el pago de obligaciones que en realidad no adquirió. Con esto, desde la perspectiva del Tratamiento de Datos personales se observa que se vulneran, por lo menos y según el caso, los principios de veracidad y seguridad.

Se infringe el principio de veracidad porque la información tratada, difundida o reportada sobre una deuda adquirida por un suplantador, no es veraz respecto de la persona suplantada, se presenta un yerro en la titularidad material de la obligación. Esos Datos inducen a error porque faltan a la realidad y presentan como obligada o morosa a una persona respecto de una deuda que no conoce.

Recuérdese que el Tratamiento de este tipo de Datos está prohibido por nuestra regulación. Tanto la Ley 1266 de 2008 como la Ley 1581 de 2012 expresamente prohíben “el registro y divulgación de datos (…) que induzcan a error”14 o el “tratamiento de datos (…) que induzcan a error”15 Igualmente, se desconoce el principio de seguridad porque el suplantador puede incurrir en “consulta, uso o acceso no autorizado o fraudulento” 16 a los datos personales de la persona suplantada, que será la Titular del Dato.

En línea con esto, también se quebranta el principio de circulación restringida porque el suplantador accede a Datos personales del Titular suplantado sin estar autorizado para ello 17. En ese sentido, el literal f) del artículo 4 de la Ley 1581 de 2012 (principio de acceso y circulación restringida) señala que, “Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley”.

Así las cosas, proteger la información es una condición transcendental del Tratamiento de Datos personales. Una vez recolectada debe ser objeto de diversas medidas para evitar situaciones indeseadas que puedan afectar los derechos de los Titulares y de los mismos Responsables y Encargados del Tratamiento de los Datos. El acceso, la consulta y el uso no autorizado o fraudulento, así como la manipulación y pérdida de la información, son los principales riesgos naturales y humanos que requieren ser mitigados por medio de acciones de defensa física, administrativa, técnica y humana.

La seguridad de la información ha sido una preocupación del legislador y la Corte Constitucional. Esta última concluyó que, “debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el responsable como el encargado del tratamiento serán los responsables de los perjuicios causados al titular”.18 Lo mismo se concluye de la redacción del Principio de Seguridad en la Ley 1581 de 2012 y en la Ley 1266 de 2008.

En estas, se evidencia una orientación eminentemente preventiva. La que en todo caso, obliga a los Responsables o Encargados a adoptar medidas, estrategias y/o acciones que impidan las potenciales afectaciones a la seguridad de los Datos. En el Tratamiento de Datos personales, existe una amplia regulación en cuanto al Principio de Seguridad: Artículo 15 de la Constitución Política de Colombia, “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Sin seguridad no existe debido Tratamiento de Datos personales.

Es por eso que la regulación señala, entre otras, lo siguiente: 14 Cfr. Parte final del literal a) del artículo 4 de la Ley 1266 de 2008. Principio de veracidad o calidad de los registros o datos. 15 Cfr. Parte final del literal d) del artículo 4 de la Ley 1581 de 2012. Principio de veracidad o calidad. 16 Cfr. Literal g) del artículo 4, de la Ley 1581 de 2012.

Principio de seguridad. En este mismo sentido, el literal f) del artículo 4 de la Ley 1266 de 2008, en relación con los datos señala que, “se deberá manejar con las medidas técnicas que sean necesarias para garantizar la seguridad de los registros evitando su (…) consulta o uso no autorizado”. 17 Cfr. Literal c) del artículo 4 de la Ley 1266 de 2008.

Principio de circulación restringida. 18 Cfr. Corte Constitucional, Sentencia C-748 de 2011, numeral 2.6.5.2.6. HOJA Nº 14 Literal g) del artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá́ manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) del artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Nótese que la redacción del Principio de Seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas.

La relevancia y alcance del deber de seguridad ha sido puesto de presente en los siguientes términos: “La seguridad es un proceso dinámico en constante evolución y prueba. Se quiere que exista un nivel de seguridad apropiado en las diferentes etapas del tratamiento de datos personales en donde las medidas de seguridad sean objeto de evaluación y revisión. Dichas medidas deben estar enfocadas para mitigar los siguientes riesgos: acceso no autorizado a los datos personales, pérdida, destrucción (accidental o no autorizada), contaminación (por virus informático) uso fraudulento, consulta, copia, modificación, adulteración, revelación, comunicación, o difusión no autorizados.

Para establecer las medidas se deben tener en cuenta, entre otras, las técnicas de seguridad existentes en general y para sectores específicos, los riesgos que presente el tratamiento y la naturaleza de los datos que deban protegerse, la probabilidad y severidad del daño obtenido, la sensibilidad de la información y el contexto en el que es realizado el tratamiento y las eventuales consecuencias negativas para los titulares de los datos.

( ) Proteger la información es una condición crucial del tratamiento de datos personales. Una vez recolectada debe ser objeto de medidas de diversa índole para evitar situaciones indeseadas que pueden afectar los derechos de los titulares y de los mismos Responsables y Encargados del tratamiento de los datos. El acceso, la consulta y el uso no autorizado o fraudulento así́ como la manipulación y pérdida de la información son los principales riesgos naturales y humanos que se quieren mitigar a través de medidas de seguridad de naturaleza humana, física, administrativa o técnica”19.

Por su parte, la Corte Constitucional ha establecido que: “Al amparo de este principio, la información sujeta a tratamiento [sic] por el responsable [sic] o encargado [sic], se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato [sic]. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto "diluvio de datos"[240], a través del cual día a día la masa de datos [sic] personales existente, objeto de tratamiento [sic] y de ulterior transferencia, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases [sic] de datos [sic], sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos [sic], que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

REMOLINA ANGARITA, Nelson. 2013. Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012. 1 ed. Bogotá: Legis Editores. Págs. 216-217 HOJA Nº 15 En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados.

En el año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales" o "SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de "parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos”. Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”20 (Énfasis añadido).

Es así como, desde hace algunas décadas se ha afirmado que la confianza es factor crucial para el crecimiento y consolidación de cualquier actividad que involucre el Tratamiento de Datos personales. Por eso, se ha sostenido que “las actividades continuas de creación de confianza deben ser una de las prioridades estratégicas más importantes para cada organización”21.

La confianza se entiende como la expectativa de que “se puede contar con la palabra del otro” y de que se emprenderán acciones positivas y beneficiosas entre las partes de manera recíproca. La seguridad genera confianza, si falla, es clave estar muy bien preparados y entrenados para actuar frente a los incidentes de seguridad de manera inmediata, profesional e inteligente.

Por lo expuesto, es posible concluir que, COMCEL S.A. no cumple íntegramente lo que supone el Principio de Seguridad en el Tratamiento de Datos personales. La protección de los mismos no puede entenderse satisfecha con la sola expedición de políticas y manuales, pues, en últimas se trata de un derecho que trae consigo una obligación legal de resultado a cargo del Responsable y Encargado.

8. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”22. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático. 20 Corte Constitucional.

Sentencia C – 748 del 2011. M.P. JORGE IGNACIO PRETELT CHALJUB Cfr Edelman Trust Barometrer de 2019 https://www edelman com/trust-barometer Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 16 Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

(ii) Reincidencia en la comisión de la conducta; (iii) Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, (iv) Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, al momento de imponer la sanción no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas. Se reitera que la implementación de medidas con posterioridad a la vulneración del derecho de habeas data no exoneran de la responsabilidad de cumplir todos y cada uno de los deberes HOJA Nº 17 establecidos en la Ley 1581 de 2012, y la multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz.

En segundo lugar, es claro que la Resolución No. 78034 de 30 de noviembre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Adicionalmente, una vez revisada la información relacionada con la compañía COMCEL S.A. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data: Resolución Año Valor de la Sanción 71279 2010 $ 25’750.000 9575 2011 $10’712.000 15440 2011 $ 535.600 22931 2011 $29’458.000 23206 2011 $ 5’356.000 39701 2011 $ 5’356.000 42493 2011 $ 535.600 46362 2011 $5’356.000 5172 2012 7764 2012 10676 2012 $11’334.000 15808 2012 $5’667.000 18476 2012 $566.700 52726 2012 $5’667.000 53006 2012 $5’667.000 4641 2014 $12’320.000 31709 2014 $51’548.000 8510 2015 $12’887.000 33922 2015 $83’765.500 $5’667.000 $5’667.000 Motivo Numeral 1 del artículo 8 de la Ley 1266 de 2008 Numerales 1,2 y 3 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 7 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numeral 7 del artículo 8 de la Ley 1266 de 2008 y artículo 12 de la 34237 2015 $64’435.000 39146 2015 $77’322.000 61777 2015 $45’104.500 78974 2015 $96’652.500 93278 2015 $644’350.000 93283 2015 $16’108.750 24113 2016 $68’945.500 65580 2016 7243 2017 $68’945.500 14868 2017 $ 280’332.460 45815 2017 $132’789.060 63246 88711 2017 2017 $147’543.400 $132’789.060 81855 2018 $195’310.500 16240 2019 $82’811.600 18210 2019 $248’434.800 18982 2019 $124’217.400 18997 2019 $103’514.500 23968 2019 $107’655.080 51025 2019 $165’623.200 61022 2020 $410’784.840 18356 2021 $174’278.400 18337 2021 $ 65’354.400 38512 2021 $90’770.000 67646 2021 $950’000.000 $68’945.500 HOJA Nº 18 misma ley Num. 1 art 8 Ley 1266 Numeral 1 del artículo 8 de la Ley 1266 de 2008 y artículo 12 de la misma ley Artículo 12 de la Ley 1266 de 2008 Numeral 3 del artículo 9 de la Ley 1266 de 2008 Numeral. 1 del artículo 9 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 9 de la Ley 1266 de 2008 Numeral 1 del artículo 9 de la Ley 1266 de 2008 Numeral 1 del articulo 8 de la Ley 1266 de 2008 Articulo 12 de la Ley 1266 de 2008 Numerales 1 y 3 del articulo 8 de la Ley 1266 de 2008 Numeral 1 del articulo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la Ley 1266 de 2008 Articulo 12 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Numerales 3 y 5 del artículo 8 de la Ley 1266 de 2008 Literal e) del artículo 8 de la Ley 1581 de 2012 Numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el literal g) del artículo 4 de la Ley 1266 de 2008 Numeral 7 del artículo 8 de la Ley 1266 de 2008 y numerales 3, 4 y 5 del artículo 16 de la misma ley Literal a) del artículo 4, numerales 1 y 2 del artículo 8 y artículo 13 de la Ley 1266 de 2008 Numeral 1 del artículo. 9 y 15 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma norma; y el numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del Ítem II del artículo 16 de la misma ley Numeral 10 del artículo 8, en concordancia con el artículo 12 de la Ley 1266 de 2008 Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma ley y el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015 Literal g) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012 Del principio de finalidad - Ley 72871 2021 $400’041.544 70888 2021 $318.711.624 HOJA Nº 19 1581de 2012, artículo 4, literal b) - y el deber de informar de forma debida sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada - Ley 1581 de 2012, artículo 17, literal (c).

Del principio de libertad - Ley 1581 de 2012, artículo 4, literal (c) y el deber de solicitar y conservar copia de la respectiva Autorización otorgada por el Titular en los términos establecidos por la Ley 1581 de 2012, artículos 9 y 17, literal b), Decreto1377 de 2013, artículos 5, 7, y 8 -incorporado en el Decreto Único Reglamentario 1074 de 2015 Numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma Numeral 7 del artículo 8 de la Ley 1266 de 2008 en concordancia con el numeral 5 del literal II) del artículo 16 de la misma ley Razón adicional y suficiente para no acoger la petición de la recurrente, consistente en revocar la Resolución No. 78034 de 30 de noviembre de 2021.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental23 a la protección de Datos24. De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”25. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia26.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho. 23 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 24 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 25 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº 20

9. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

10. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Ahora, según el artículo 22 de la Ley 222 de 1995 27 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y, además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” HOJA Nº 21 El artículo 24 28 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”29.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.

La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. incumplió el deber previsto en el literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma norma; 2. La investigada ha sido sancionada en más de cuarenta y cinco (45) oportunidades por infracciones al debido Tratamiento de los Datos de los ciudadanos. 3.

El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. 4. La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Dato personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia;

5. COMUNICACIÓN CELULAR S.A. COMCEL S.A. no aportó la prueba que permitiera, demostrar sin lugar a dudas que contaba con la Autorización legal exigida por parte de la Titular, para tratar sus Datos personales; 6. La multa impuesta por parte de esta entidad corresponde a un total de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($72’616.000), equivalente a DOS MIL (2000) UNIDADES DE VALOR TRIBUTARIO – UVT.

La cual representa aproximadamente el 4% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012;

7. COMUNICACIÓN CELULAR S.A. COMCEL S.A. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la eximen de cumplir la Constitución Política Nacional y la ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 78034 de 30 de noviembre de 2021.

El texto completo del artículo 24 de la Ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 HOJA Nº 22 En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 78034 de 30 de noviembre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993 – 7, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión a la señora XXXXXXX XXXXXX XXXXXXX identificada con la Cédula de Ciudadanía No. XX.XXX.XXX o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., Julio 22 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), Firmado digitalmente por JOHN JOHN MARCOS MARCOS TORRES CABEZAS 2022.07.22 17:46:43 TORRES CABEZAS Fecha: -05'00' JOHN MARCOS TORRES CABEZAS CGC HOJA Nº 23 Notificación Entidad: Identificación: Representante Identificación: Dirección: Dirección: País: Correo de notificación judicial: Comunicación Celular S.A. Comcel S.A. Nit. 800.153.993 – 7 Carlos Hernán Zenteno de los Santos C.E. No. 590.584 Carrera 68A No. 24 B – 10 Bogotá D.C. Colombia notificacionesclaro@claro.com.co Apoderada: Identificación: Tarjeta Profesional: Dirección: Ciudad: País: Correo electrónico: Patricia Oliveros Laverde C.C. No. 41.581.346 32518 del Consejo Superior de la Judicatura Calle 72A Bis No. 1B-85 este (302) Bogotá́ D.C. Colombia oliverpa@gmail.com Comunicación Señora: Identificación: Correo electrónico: Xxxxxxx Xxxxxx Xxxxxxx C.C. XX.XXX.XXX xxxxxxxxxxxxxxxxxxxxxx

Resolución sancionatoria N° 46661 de 2022

CONSIDERANDO

RESUELVE