(26 de junio 2025) VERSIÓN ÚNICA Radicación 21-259141 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que mediante Resolución No. 54534 del 12 de septiembre de 2023, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), decidió abrir una investigación administrativa y formular cargos a RISKS INTERNATIONAL S.A.S. (en adelante RISKS INTERNATIONAL), por la presunta vulneración de lo dispuesto en las normas que se relacionan a continuación: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015. ii) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4 y, los artículos 5°, 6° y 9° de la precitada Ley; en concordancia con el artículo 2.2.2.25.2.3 del Decreto Único Reglamentario 1074 de 2015.
SEGUNDO. Que RISKS INTERNATIONAL, a través de su representante legal, mediante oficios No. 21-259141-47 y 21-259141-48 del 27 de octubre de 2023 y 21-259141-49 del 2 de noviembre de 2023, presentó escrito de descargos con sus respectivos anexos.
TERCERO. Que mediante Resolución No. 1241 del 30 de enero de 2024, la Dirección incorporó las pruebas allegadas al expediente, agotó la etapa probatoria y ordenó correr traslado para presentar alegatos de conclusión, aspecto sobre el cual RISKS INTERNATIONAL guardó silencio.
CUARTO. Que la Dirección, conforme a las pruebas allegadas a la presente actuación, consideró que RISKS INTERNATIONAL vulneró las normas contenidas en la Ley 1581 de 2012, por cuanto: (i) Ha recolectado, almacenado y circulado datos personales i) sin garantizar el derecho de los titulares de conocer la información que sobre ellos reposa en sus bases de datos ii) sin garantizar la veracidad y calidad de esa información que le reportan sus suscriptores y iii) desconociendo el derecho que les asiste a los titulares de solicitar la supresión de los datos inexactos o parciales; y (ii) Ha llevado a cabo operaciones de recolección, almacenamiento y circulación de datos personales sensibles de conductores de transporte de carga, en su base de datos SIRIEST, proveniente de los reportes efectuados por sus suscriptores, y accedidos por sus usuarios, sin contar con la autorización previa, expresa e informada por parte de los respectivos titulares, razón por la cual mediante Resolución No. 43121 del 31 de julio de 2024, resolvió lo siguiente: “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5 de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a CIENTO NOVENTA MILLONES QUINIENTOS CUARENTA Y SIETE MIL CUATROCIENTOS PESOS M/CTE (190.547.400), por la vulneración de lo dispuesto en: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, ii) En el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.
(…)
ARTÍCULO 2: IMPONER la sanción consistente en ordenar a la sociedad RISKS INTERNATIONAL S.A.S. identificada con NIT. 900.352.786-5, la suspensión de operaciones de recolección, uso, almacenamiento y circulación sobre la base de datos denominada SIRIEST, como Sistema de Información Compartido (SISCOM), hasta tanto demuestre ante esta Autoridad haber adoptado las siguientes medidas: 1.
Implementar un procedimiento para garantizar la calidad y la plena veracidad de los datos suministrados por sus suscriptores, respecto a los reportes que solicitan incluir en el historial del titular. Para ello, deberá prescindir de la utilización de novedades relacionadas con conductas delictivas, cuya presunción no haya sido desvirtuada por las autoridades judiciales correspondientes. 2.
Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 3. Implementar un mecanismo para obtener la autorización previa y expresa de todos y cada (sic) de los titulares cuyos datos serán objeto de tratamiento, informándoles la finalidad específica a la que será sometida su información, así como los derechos que les asisten en virtud de la autorización otorgada. 4.
Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular. 5. Desarrollar, implementar y poner a disposición de los titulares un manual que describa el procedimiento para la inclusión de reportes en la base de datos SIRIEST, así como el detalle de los respectivos registros. 6.
Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales.
QUINTO. Que, encontrándose dentro del término de ley, RISKS INTERNATIONAL (en adelante la recurrente) a través de apoderado especial, presentó recurso de reposición y en subsidio de apelación1 en contra de la decisión contenida en la Resolución No. 43121 del 31 de julio de 2024, mediante escritos radicados con los números 21-259141-77 del 14 de agosto de 2024, 21-259141-78 del 15 de agosto de 2024, 21-259141-79, 21-259141-83 y 21249151-84 del 16 de agosto de 2024, en los siguientes términos: Consecutivo No. 21-259141-77 del 14 de agosto de 2024. 1.
Indica que la información recolectada por RISKS INTERNATIONAL no es caprichosa, sino necesaria para la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo. 2. Manifiesta que la Ley 1581 de 2012 no es aplicable a las bases de datos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.
La Resolución No. 43121 del 31 de julio de 2024, fue notificada a la Representante Legal de RISKS INTERNATIONAL personalmente el día 01 de agosto de 2024. “Por la cual se resuelve un recurso de apelación” 3. Sostiene que con la expedición de la Resolución No. 43121 del 31 de julio de 2024, se viola el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, pues RISKS INTERNATIONAL ha recibido un trato discriminatorio frente a otras empresas que prestan servicios de bases de datos para la prevención, detección, monitoreo y control de lavado de activos y el financiamiento del terrorismo y que no están vigiladas por la Superintendencia de Puertos y Transporte. 4.
Considera que la decisión que se revisa vulnera el artículo 333 de la Constitución, en la medida que se están exigiendo requisitos no previstos en la ley para prestar servicios de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo. 5. Indica que la decisión vulnera los artículos 114, 150, 152 y 153 de la Constitución, teniendo en cuenta que con la decisión que se revisa se está modificando una Ley Estatutaria. 6.
Argumenta que con el acto administrativo que se revisa, se viola lo establecido en el artículo 121 de la Constitución Política pues considera que se están ejerciendo funciones distintas a las que le atribuye la Constitución y la Ley. 7. Considera que en la presente actuación administrativa se configuró la caducidad de facultad sancionatoria de esta Superintendencia. 8.
Indica que se vulneró el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en la medida que la formulación de cargos no fue precisa ni clara respecto de los titulares de los datos específicamente afectados. 9. Sostiene que esta Superintendencia no demostró la vulneración de los derechos de ninguno de los quejosos que se citan en la Resolución No. 43121 del 31 de julio de 2024 y a pesar de ello procedió a sancionar a RISKS INTERNATIONAL. 10.
Afirma que su representada no vulneró los derechos de los titulares de los datos. 11. Manifiesta que esta Superintendencia creó una prueba ficticia, que luego utilizó como evidencia para condenar y sancionar a RISKS INTERNATIONAL. 12. Señala que se presenta una violación del artículo 209 de la constitución política y el artículo 3 de la Ley 1437 de 2011, pues esta Superintendencia no obró con imparcialidad. 13.
Considera que hubo una violación del debido proceso, porque esta Superintendencia no presumió la inocencia de RISKS INTERNATIONAL, sino que buscó todas las maneras para sancionarla incluso usando pruebas ficticias. Consecutivo No. 21-259141-78 del 15 de agosto de 2024. Como motivo adicional al recurso de apelación interpuesto, alega que, con la Resolución No. 43121 del 31 de julio de 2024, se violó el debido proceso, en tanto la Dirección indicó que los alegatos de conclusión se habían presentado de manera extemporánea.
Consecutivo No. 21-259141-79 del 16 de agosto de 2024. Indica también que se vulneró el debido proceso pues la Dirección sólo mencionó unas Certificaciones de Encargado de Tratamiento de Datos Personales como documentos. Afirma que dichas certificaciones sólo fueron mencionadas, y no “Por la cual se resuelve un recurso de apelación” fueron analizadas a pesar de que, considera, son documentos cruciales para demostrar la naturaleza de encargado de RISKS INTERNATIONAL.
Consecutivo No. 21-259141-83 del 16 de agosto de 2024. En este escrito se refiere la recurrente a la naturaleza de los datos que son recolectados por parte de su representada a través de la plataforma SIRIEST y su sistema de información compartida SISCOM. Consecutivo No. 21-259141-84 del 16 de agosto de 2024. Sostiene que la Dirección no tuvo en cuenta las pruebas aportadas por RISKS INTERNATIONAL, necesarias para probar su “inocencia”.
SEXTO. Que la Dirección, de conformidad con lo establecido en el artículo 79 del CPACA, mediante Resolución No. 48002 del 23 de agosto de 2024, abrió la etapa probatoria en el trámite de recurso de reposición, en los siguientes términos: “ARTÍCULO 1: ABRIR la etapa probatoria en el trámite del recurso de reposición, por el término de 10 (diez) días hábiles, contados a partir del día siguiente en que se comunique el presente acto administrativo a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT 900.352.786-5.
(…)
ARTÍCULO 3: DECRETAR de oficio la prueba consistente en requerir a la OFICINA DE TECNOLOGÍA E INFORMÁTICA (OTI) y al GRUPO DE TRABAJO DE GESTIÓN DOCUMENTAL Y ARCHIVO, a efectos de que verifique e informe el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos de conclusión conforme a la Resolución 1241/2024.
Radicado 21259141”, y, en caso de que proceda, solicitar la indexación al expediente 21259141”. De la prueba decretada en el artículo 3 del citado acto administrativo, se obtuvieron las siguientes respuestas: 6.1. Memorando No. 21-259141-95 del 27 de agosto de 2024 del Coordinador del Grupo de Trabajo de Servicios Tecnológicos, mediante el cual informa que desde la dirección legal@risksint.com el día 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos conclusión conforme a la Resolución 1241 de 2024, no se encontraron evidencias de haber sido recibido. 6.2.
Memorando No. 21-259141-98 del 3 de septiembre de 2024 de la Coordinadora del Grupo de Trabajo de Gestión Documental y Archivo mediante el cual informa que, “una vez revisada la cuenta de correo contactenos@sic.gov.co, no se logra ubicar ninguna (comunicación) envidada desde la cuenta legal@risksint.com, con fecha 13 de febrero de 2024, a la investigación 21-259141”.
SÉPTIMO. Que la Dirección, mediante la Resolución No. 61675 del 11 de octubre de 2024, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 43121 del 31 de julio de 2024.
OCTAVO. Que de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 8.1. Respecto de la implementación del Sistema SIPLAFT. Previo al estudio de los argumentos expuestos por la recurrente en sus diferentes escritos, la Delegatura estima pertinente, como elemento central para entender el contexto de este caso, hacer una breve mención a la implementación del Sistema SIPLAFT, de conformidad con lo establecido en la “Por la cual se resuelve un recurso de apelación” Resolución No. 74854 del 21 de diciembre de 2016 de la Superintendencia de Transporte.
El Sistema integral para la prevención y control del lavado de activos, la financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva - SIPLAFT es definido por la Superintendencia de Transporte como una “serie de fases, procedimientos y funciones que, de forma organizada, buscan prevenir el riesgo que tienen las empresas (sociedades comerciales o cooperativas) de ser utilizadas para el lavado de activos o para servir de puente a actividades que busquen financiar el terrorismo o la proliferación de armas de destrucción masiva” 2.
La Superintendencia de Transporte, mediante la Resolución No. 74854 del 21 de diciembre de 2016, ordenó la implementación obligatoria del SIPLAFT por parte de las empresas supervisadas, habilitadas para la prestación del servicio terrestre automotor de carga. De acuerdo con lo establecido en el artículo 2, la citada resolución sólo es aplicable a: • Las empresas habilitadas para el transporte terrestre automotor de carga3 (sin importar si se encuentra o no en operación), que no hayan implementado políticas o sistemas de prevención y control de riesgo de LA/FT-PADM. • Las empresas habilitadas para el transporte terrestre automotor de carga (sin importar si se encuentran o no en operación) que ya tienen implementadas políticas o sistemas de prevención y control del riesgo LA/FT-PADM, deberán revisar tales políticas y verificar que cumplen con lo dispuesto en la presente Resolución, realizando las modificaciones a que haya lugar (…) • Las empresas que obtengan habilitación para la prestación del servicio de transporte terrestre automotor de carga, con posterioridad a le entrada en vigencia de esta Resolución, deberán dar cumplimiento a lo dispuesto en el presente Acto Administrativo, hasta tres (3) meses contados a partir de su habilitación, estén o no operando.
La implementación del SIPLAFT, de acuerdo con lo establecido en el artículo 5 de la Resolución No. 74854 del 21 de diciembre de 2016, conlleva la ejecución de 3 fases. La primera relacionada con el diseño de las políticas, las cuales contendrán los lineamientos y procesos para la debida implementación del sistema. La segunda, describe las condiciones que deben contener los procedimientos de prevención y control del riesgo LA/FT-PADM.
Y la tercera fase, que define las funciones del Oficial de Cumplimiento, quien es el responsable de implementar el Sistema Integral de Prevención y Control del Riesgo de Lavado de activos y Financiación del Terrorismo, conforme a las disposiciones establecidas en la Resolución, y quien deberá garantizar las acciones necesarias para su cumplimiento.
Respecto de la Fase 2 “Procedimientos de Prevención y Control del Riesgo LA/FTPADM”, el artículo 5.2. de la Resolución No. 74854 del 21 de diciembre de 2016, dispone lo siguiente: Artículo 5.2. Fase 2. Procedimientos De prevención Y Control Del Riesgo De LA/FT-PADM. En cumplimiento a las recomendaciones del GAFI la empresa deberá establecer procedimientos debidos y documentados de Prevención y Control los cuales deberán contemplar lo contenido en esta sección. https://www.supertransporte.gov.co/documentos/2022/Mayo/Comunicaciones_16/Guia-SIPLAFT-2022.pdf De acuerdo con el numeral 4.10, del artículo 4, de la Resolución No. 74854 del 21 de diciembre de 2016 se entiende por empresa de servicio público de transporte terrestre automotor de carga, aquella persona natural o jurídica legalmente constituida, debidamente habilitada por el Ministerio de Transporte, cuyo objeto social es la movilización de cosas de un lugar a otro en vehículos automotores apropiados en condiciones de libertad de acceso, calidad y seguridad de los usuarios.
“Por la cual se resuelve un recurso de apelación” Artículo 5.2.1 Procedimiento de Prevención de LA/FT-PADM. Los procedimientos que se implementen para la prevención del riesgo LA/FT-PADM, deben contener las siguientes condiciones: Artículo 5.2.1.1 Identificación de las situaciones que generen riesgo de LA/FT-PADM en las operaciones, negocios o contratos que realiza la empresa.
La empresa o cooperativa deberá elaborar un documento, mediante el cual se identifique y analice las situaciones que puedan generarle riesgo de LA/FTPADM, a través de la evaluación de las fuentes de riesgo, tales como: contrapartes, productos, canales de distribución y jurisdicción territorial. Con el fin de implementar los controles necesarios y facilitar su seguimiento.
Cuando la empresa o cooperativa incursione en nuevos mercados u ofrezca nuevos bienes o servicios, se deberá evaluar y analizar el riesgo LA/FT-PADM. Artículo 5.2.1.2. Acreditar procesos de debida diligencia del conocimiento de los clientes, proveedores, socios, empleados y PEP’S. La empresa o cooperativa deberá realizar el proceso de debida diligencia como proceso de prevención de vinculación con personas naturales o jurídicas que puedan estar vinculadas con actos de LA/FT-PADM y para efectos probatorios de debida y oportuna diligencia, a través de las siguientes actividades: Conocimiento de los clientes o proveedores.
Para dotar de seguridad el proceso de conocimiento del cliente y proveedores cuando la transacción así lo permita, la empresa o cooperativa deberá verificar la identidad del cliente o proveedor: Nit, dirección, teléfono y cualquier otra información adicional que se considere pertinente y se dejará constancia de la validación, por medio de un documento físico o electrónico.
Conocimiento de Personas Expuestas Políticamente PEP’s. Cuando la empresa o cooperativa celebre operaciones con personas expuestas políticamente, de conformidad a lo establecido en el Decreto 1674 de 2016, deberá verificar sobre la autorización otorgada por el órgano competente para negocias (sic) o contratar y el origen de sus recursos. Conocimiento de los asociados.
El SIPLAFT que se adopte, debe contemplar herramientas que permitan establecer plenamente la identidad de los socios y accionistas, confirmar sus datos y tenerlos actualizados permanentemente. Así mismo, debe permitirle conocer la procedencia de los aportes en dinero o en especie, para lo cual se deberán requerir los documentos pertinentes.
De la validación de los socios deberá quedar constancia del proceso. Conocimiento de trabajadores o empleados. La empresa o cooperativa deberá verificar los antecedentes de sus trabajadores o empleados, antes de su vinculación y realizar por lo menos una actualización anual de sus datos, y se dejará constancia de la validación, por medio de un documento físico o electrónico, indicando: firma de quien realizó el proceso, fecha y hora.
(resaltados fuera de texto) Conforme la Fase 34, el Oficial de Cumplimiento de que trata el artículo 5.3.15 y siguientes de la Resolución No. 74854 del 21 de diciembre de 2016, respecto de la prevención del riesgo LA/FT PADM, desempeña las siguientes funciones6: Artículo 5.3.1.3. Funciones del Oficial de Cumplimiento. El oficial de cumplimiento le corresponderá desempeñar las siguientes funciones: 1. 2. 3. 4. 5. 6.
Implementar y desarrollar los procesos de las políticas aprobadas para la implementación del SIPLAFT. Identificar las situaciones que puedan generar riesgo de LA/FT-PADM en las operaciones que realiza la empresa. Determinar los controles a las situaciones que puedan generar riesgo de LA/FT-PADM en las operaciones, negocios o contratos que realiza la empresa.
Realizar seguimiento de las políticas, procedimientos y controles establecidos. Verificar la adoptación y funcionamiento de los procedimientos definidos para el adecuado manejo, conservación y archivo de los documentos y reportes relacionados con la prevención de riesgo de LA/FT-PADM y garantizar la confidencialidad de dicha información. Coordinar y programar los planes de capacitación sobre prevención de riesgos asociados al LA/FT-PADM, dirigido a todas las áreas y funcionarios de la Artículo 5.3 de la Resolución No. 74854 del 21 de diciembre de 2016 Artículo 5.3.1.
Oficial de cumplimiento del sistema SIPLAFT. El Máximo Órgano Social, nombrará a un emplead de la empresa o cooperativa, a quien se le denominará oficial de cumplimiento, responsable de implementar el Sistema Integral de Prevención y Control del Riesgo de Lavado de Activos, Financiación del Terrorismo, conforme a las disposiciones establecidas en la presente Resolución y deberá garantizar las acciones necesarias para su cumplimiento.
Artículo 5.3.1.3 de la Resolución No. 74854 del 21 de diciembre de 2016. Funciones del Oficial de Cumplimiento. “Por la cual se resuelve un recurso de apelación” 7. 8. 9. 10. 11. 12. 13. organización, incluyendo los órganos de administración y control y la revisoría fiscal. Proponer al máximo órgano social, los ajustes o modificaciones necesarios a las políticas del SIPLAFT.
Recibir y analizar los reportes internos de posibles operaciones inusuales, intentadas o sospechosas y realizar el reporte conforme a lo establecido en la presente resolución. Mantener actualizados los documentos que contengan las políticas y procedimientos del SIPLAFT. Realizar los reportes y actualizar la base de datos registrados en el Sistema de Reportes en Línea – SIREL de la UIAF7.
Mantener todas las actas establecidas en la presente Resolución. Custodiar el plan estratégico o documento, en que se describan las políticas aprobadas. Mantener los instructivos o manuales que contengan los procesos a través de las cuales se desarrolla las políticas aprobadas, firmados por el representante legal principal. De acuerdo con la citada Resolución, sólo las empresas habilitadas8 para ejercer la actividad de transporte terrestre automotor de carga, tienen la obligación de implementar el Sistema Integral para la Prevención y Control del Lavado de Activos, la Financiación del Terrorismo y Financiamiento de la Proliferación de armas de destrucción masiva – SIPLAFT.
Por lo tanto, son quienes identifican y analizan las situaciones que puedan generar riesgos LA/FT-PADM, a través de la evaluación de las fuentes como contrapartes, productos, canales de distribución y jurisdicción territorial. Asimismo, sólo las empresas habilitadas para ejercer la actividad de transporte terrestre automotor de carga deben implementar el procedimiento pertinente para la evaluación de los antecedentes de los trabajadores previo a su vinculación. Esta actividad consiste en determinar qué aspectos o cuáles conductas son consideradas como riesgo LA/FT-PADM.
En este contexto, además del análisis de los antecedentes que pueden ser consultados en portales públicos, las empresas vigiladas por la Superintendencia de Transporte, conforme las señales de alerta relacionadas en la Resolución No. 74854 del 21 de diciembre de 2016, deben verificar si existe un nivel de riesgo importante respecto de las personas que van a ser contratadas o con quienes se piensa realizar algún tipo de negocio.
Para esto, entiende la Delegatura, es necesario conocer diferentes fuentes que puedan brindar información necesaria para tal efecto. Actividad que, por regla general, y siempre que no se trate de datos personales públicos, requiere la autorización previa, expresa e informada del titular del dato, en los términos establecidos en la Ley 1581 de 2012.
Si, como resultado de esa verificación, la empresa de transporte encuentra que existe una conducta que puede ser considerada como un riesgo LA/FT-PADM, de acuerdo con las políticas implementadas, no deberá establecer ningún tipo de relación contractual con esa persona natural o jurídica. Ahora, el Oficial de cumplimiento tiene la función de verificar la adopción y funcionamiento de los procedimientos definidos para el adecuado manejo, conservación y archivo de los documentos y reportes relacionados con la prevención de riesgo de LA/FT-PADM y garantizar la confidencialidad de dicha información. Es decir, los resultados obtenidos de la evaluación del riesgo LA/FTPADM no deberían ser compartidos con terceros y sólo deben ser reportados al sistema de reportes en línea SIREL de la UIAF.
De acuerdo con el numeral 4.37, del artículo 4, de la Resolución No. 74854 del 21 de diciembre de 2016, el Sistema de Reporte en Línea – SIREL es el sistema administrado por la Unidad de Información y Análisis Financiero UIAF, por medio de la cual las empresas obligadas a implementar un sistema de prevención y control de Lavado de Activos, Financiación del Terrorismo y Proliferación de Armas de Destrucción Masiva, realizan los reportes correspondientes.
De acuerdo con lo establecido en el artículo 2.2.1.7.2.1 del Decreto 1079 de 2015, al Ministerio de Transporte le fue asignada la competencia para que a través del acto administrativo correspondiente conceda la habilitación a empresas que soliciten ejercer la actividad de transporte público automotor de carga. “Por la cual se resuelve un recurso de apelación” La anterior medida resulta lógica y proporcional con el debido tratamiento de los datos personales, máxime si se tiene en cuenta que la información que se recolecte de la verificación de los antecedentes o la evaluación de las señales de alerta del riesgo LA/FT-PADM pueda ser desfavorable sobre todo en los casos en que está relacionada con la eventual comisión de delitos.
Aclarado este aspecto, procede la Delegatura a pronunciarse sobre los argumentos presentados por la recurrente en sus diferentes escritos. 8.2. Escrito de apelación presentado dentro del Radicado No. 21259141-77 del 14 de agosto de 2024. 8.2.1.Respecto de la naturaleza de la información tratada por RISKS INTERNATIONAL. Con el propósito de esclarecer el modelo de negocio de RISKS INTERNATIONAL y de entender las actividades de tratamiento sobre los cuales se pronunció la Dirección y en el marco de los cuales debe resolverse este recurso de apelación, esta Delegatura retomará lo afirmado por la recurrente y presentará unas conclusiones preliminares.
De acuerdo con lo indicado por la recurrente “RISKS INTERNATIONAL S.A.S. se centra en la prevención del Lavado de Activos y la Financiación del Terrorismo (LAFT) a través de los servicios que ofrece. A continuación, se detallan las novedades y sus correspondientes tipos de riesgos”: 1. “No relacionada: Este ítem no especifico en concreto a la novedad a reportar.
(Referente a esta no es usada porque no corresponde a ningún hecho generador) 2. Anticipo presenta Apropiación de anticipo e incumplimiento de inicio de viaje. (Corresponde a un riesgo Operativo, ya que corresponde a una perdida sufrida en la operación del sector transporte, correspondiente a la perdida de dinero y el no perfeccionamiento del contrato de transporte) 3.
Presunto incumplimiento de contrato de carga por presunto hurto o piratería. (Corresponde a riesgo operativo y reputacional, en el entendido que se genera una perdida a la empresa, lo cual genera mala imagen y reputación con proveedores, contratistas y terceros en la operación) 4. Presunto incumplimiento por falta de entrega parcial destino faltante (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 5.
Noticias ante la FGN – Hecho Notorio. (Riesgo contagio, por haber tenido o tener vínculos) 6. Presunto incumplimiento en el cargue de mercancía despacho. (Riesgo operativo, financiero genera pérdidas económicas) 7. Información pública (Riesgo contagio, por haber tenido o tener vínculos) 8. Noticias medios públicos. (Riesgo contagio, por haber tenido o tener vínculos) 9.
No supero (sic) la revisión documental interna aparente inconsistencia documental. (Riesgo legal, puede incurrir en un incumplimiento de contrato por la perdida, o por no contar con la experiencia para manejo de cierto tipo de mercancías) 10. Presento (sic) incumplimiento por falta de entrega por accidente de tránsito. (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 11.
Presunto riesgo de contagio LAFT. (Corresponde a riesgo de contagio, está definido como un impacto que puede generar a vinculación con personas que estén directa o indirectamente asociada a conductas LAFT) 12. Presunto riesgo LAFT por presuntos delitos conexos LAFT. (Riesgo legal, reputacional, operativo, contagio, en el entendido que vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgo en la operación) “Por la cual se resuelve un recurso de apelación” 13.
Inclusión en lista LAFT vinculantes. (Riesgo legal, reputacional, operativo, contagio, en el entendido que vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgo en la operación) Enfatiza la recurrente que cada una de estas novedades tiene un propósito claro: servir como criterio de ayuda para las empresas de transporte en la prevención de sus propios riesgos durante la implementación del SIPLAFT.
Afirma que las “eventuales novedades que registran las empresas en el sistema se han desarrollado tomando en consideración las situaciones fácticas que más impactan negativamente en el sector del transporte en relación con el Lavado de Activos y la Financiación del Terrorismo (LAFT/FPADM) y la Corrupción y el Soborno Transnacional (C/ST)”.
Sostiene que dentro del sistema del “Software SaaS SIPLAFT-SIRIEST, que incorpora un módulo de información compartida entre suscriptores para la mitigación de los riesgos relacionados con el LAFT. Estas novedades, a su vez, se basan en una amplia gama de riesgos que pueden surgir en sistemas enfocados en la gestión de riesgos. Estos riesgos se originan en las regulaciones vinculantes para la implementación de sistemas como este, y resulta especialmente relevante la Circular Básica Jurídica emitida por la Superintendencia de Sociedades en su capítulo X. En esta circular, se describen diversos tipos de riesgos que pueden manifestarse de varias maneras, incluyendo riesgos operativos, legales, reputacionales y de contagio, entre otros.
Estos riesgos pueden tener un impacto negativo significativo en la reputación, competitividad, productividad y sostenibilidad de una entidad”. Adicionalmente, asegura que la “Resolución 74854 de 2016 de la Superintendencia de Transporte, en su numeral 4.13, proporciona una identificación específica de señales de alerta en el sector del transporte.
En esta resolución, se define el concepto de fuentes de riesgo en el Artículo 4, numeral 4.13, como los agentes generadores de riesgo de LA/FT-PADM en una empresa. Estas fuentes de riesgo deben ser consideradas cuidadosamente para identificar las situaciones que podrían exponer a la empresa a riesgos en sus operaciones, negocios o contratos”.
De acuerdo con el modelo de negocio, la plataforma SIRIEST ofrece a sus suscriptores un listado de 13 novedades relacionadas con los delitos de Lavado de Activos, la Financiación del Terrorismo y la producción de armas de destrucción masiva (LA/FT-PADM), que pueden ser tenidas en cuenta por terceros para su evaluación en la prevención de sus propios riesgos.
Novedades que, si se cuenta con una suscripción, pueden ser reportadas a la mencionada plataforma. Ahora bien, con el escrito de descargos la Representante Legal de RISKS INTERNATIONAL allegó el procedimiento de la plataforma SIRIEST9. De lo cual destacamos: “La herramienta SIRIEST funciona en una base de algoritmos automatizados que atraen información de carácter público, de diferentes fuentes públicas para la mitigación del riesgo asociado a LAFT,C/ST entre los cuales encontramos las principales fuentes a nivel nacional, como lo son policía, procuraduría, contraloría, consulta de procesos entre otras y a nivel internacional las primeras fuentes de los más buscados de EEUU, interpol, entre otras que ayudan a realizar una validación en línea o Due Diligence.
Así mismo cuenta con un sistema de información compartida llamado SISCOM el cual es alimentado por información de las compañías de transporte que obtienen el servicio, sobre personas y vehículos en el ejercicio de la actividad, en esta base de datos de información compartida se encuentran datos de personas naturales quienes son los titulares de la información, entre los cuales se encuentran datos personales relacionados con la prestación del oficio de transporte como la profesión u oficio de los conductores y aquellos que pertenecen a la cadena logística del sector transporte, Documento que puede ser consultado en el consecutivo No. 21-259141-67 “Por la cual se resuelve un recurso de apelación” novedades entre las cuales se encuentran, los incumplimientos de contrato, presuntos hurtos a mercancías, presuntas perdidas (sic) de mercancía, presunta apropiación de anticipo entre otras anotaciones.
La plataforma funciona 24 horas al día, 7 días a la semana y cuenta con actualizaciones periódicas que son imperceptibles por los usuarios. Cuenta con aspectos de seguridad como son de acceso y consulta, resaltando que los usuarios previamente deben suscribir acuerdos de confidencialidad para posteriormente realizar la entrega de credenciales de acceso”.
En lo que tiene que ver con la realización de consultas, el citado procedimiento indica: Las consultas se realizarán ingresando a la plataforma en la cual se tendrá la opción de consultar por número de identificación de la persona, nombre o placa del vehículo. Una vez introducida la opción, la plataforma le generará un informe en el cual podrá observar la información pública referente a la consultada (sic) realizadas y en la parte superior podrá observar si se cuentan con datos en el sistema de información compartida SISCOM datos que son confidenciales, pues cumplen una función social, estadística y (sic) mitigación de riesgos del sector transporte.
(negrilla fuera de texto) Respecto a la manera como se realizan los reportes dispone: Para poder reportar datos en el sistema de información compartida, SISCOM cuenta con dos opciones: 1. Reporte escalado: Este se realiza enviando directamente la novedad al correo electrónico del área de recolección previo al haber requerido la autorización del titular de la información por cualquier medida inequívoca que autorice el tratamiento, cumpliendo está con las características y finalidades correspondientes indicadas en la norma que versen sobre la profesión u oficio del conductor a luces de la ley 1581 de 2012 como dato de carácter público, adicionada en el decreto 1377 de 2013 artículo 5, 6 y 7.
Esto en cumplimiento de las demás disposiciones legales sobre el tratamiento de datos personales con los cuales debe contar el cliente, como su propia política de tratamiento de datos personales, aviso de privacidad donde se pueda indicar de manera resumida su finalidad en la página web con la que cuente el cliente. Es importante que el cliente, cumpla con el deber de informarle previamente al titular sobre la realización del reporte y guardar soporte de dicho preaviso; el titular es el dueño del dato que va a ser reportado e ineludiblemente se debe cumplir con el preaviso, en cumplimiento de la ley 1581 de 2012.
Para que el área de recolección reciba el reporte es necesario: • Copia de la cedula de ciudadanía del reportado • Autorización tratamiento de datos • Breve descripción de la novedad que se desea subir al SISCOM con información exacta, objetiva y verificable. • Pruebas que respalden el reporte Una vez recibida la información el área de recolección aprueba o rechaza el reporte entregado por el cliente teniendo en cuenta los siguientes criterios: (negrita fuera de texto) ✓ ✓ ✓ ✓ Veracidad de la novedad Claridad de la novedad Concordancia de la novedad Documento que acredite la autorización de habeas data 2.
Reporte de cargue directo: Se puede realizar el reporte directamente en la plataforma, previo a cumplir los requisitos y los principios de la ley 1581 de 2012. Es requisito indispensable contar con la autorización de tratamiento de datos personales por parte del titular de manera previa, expresa e informando y la finalidad de esta. La información para reportar debe ser imparcial, completa, objetiva y comprobable, el usuario deberá conservar los soportes que respalden y eventualmente sirvan para corroborar el dato; una vez validado el alcance del dato reportado por el cliente, personal asignado del área de recolección realizar (sic) el proceso de habilitación de la novedad en el sistema de información compartida SISCOM.
NOTA: Si bien realizamos el proceso de validación previo a la habilitación del dato en SISCOM; será el cliente quien deberá en calidad de Responsable, suscribir y contar con la autorización de uso, tratamiento, consulta, y reporte de datos por parte del Titular y conservar los documentos que respalden la veracidad del dato, de conformidad a lo señalado con anterioridad y las obligaciones contractuales adquiridas con RISKS INTERNATIONAL S.A.S.; así mismo, en atención a ese vínculo “Por la cual se resuelve un recurso de apelación” contractual, el cliente podrá ser requerido por nosotros para allegar en cualquier momento dicha documentación. De la anterior descripción sobre el funcionamiento de la plataforma SIRIESTSISCOM, esta Delegatura evidencia lo siguiente: (i) A través de algoritmos, la plataforma capta información personal, entre otras, de fuentes de carácter público, entre las cuales se encuentran las bases de datos de la Policía, la Procuraduría, y la Contraloría, con la finalidad de ofrecer servicios de información y consulta relacionados con la mitigación del riesgo asociado al LAFT.
RISKS INTERNATIONAL obtiene la información de los titulares de los datos, de diferentes fuentes, con la finalidad de ponerla al alcance de quien cuente con una suscripción. El tratamiento incluye no sólo la recepción y suministro de la información, sino también su custodia y disposición en la plataforma SIRIEST. Sobre todo, para que pueda ser consultada por las diferentes empresas suscriptoras.
(ii) La citada plataforma cuenta además con un sistema de información compartida SISCOM, el cual es alimentado con la información reportada por las empresas cuando realizan la evaluación de las novedades relacionas con el riesgo LA/FT-PADM establecidas por RISKS INTERNATIONAL. En estos casos, los datos que son ingresados a la citada plataforma, bajo la modalidad de novedades, tienen una connotación desfavorable o negativa para cualquier titular.
En relación con los datos reportados por terceros, RISKS INTERNATIONAL ha establecido ciertos criterios que deben ser tenidos en cuenta por el área encargada de la verificación de la información, la cual puede rechazarlos o aprobarlos. En este último caso, los datos reportados por terceros serán incluidos en su plataforma SISCOM. Una vez aclarado el contexto de este caso, pasa la Delegatura a pronunciarse puntualmente sobre los argumentos que sustentan el recurso de apelación contra la Resolución No. 43121 del 31 de julio de 2024. 8.2.2.Respecto del ámbito de aplicación de la Ley 1581 de 2012.
En términos generales, la recurrente esgrime que esta Delegatura no es competente para investigarla y sancionarla, en tanto, la actividad de tratamiento de RISKS INTERNATIONAL está por fuera del ámbito de aplicación de la Ley 1581 de 2012. Al respecto indica: “En el presente caso se demostró que la base de datos objeto de la investigación que dio origen a la resolución 43121 de 2024 tiene la finalidad de prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.
De hecho, la SIC, reconoce lo siguiente en la nota de pié de página número 4 de la la página 18 de la resolución 43121 de 2024: Dicho reconocimiento de la SIC es fruto de lo que establece la resolución 074854 de 2016 de la Superintendencia de Puertos y Transporte, citada por la SIC en la nota de pie de página 3 de la la página 18 de la resolución 43121 de 2024: Pese a que el SIPLAST (sic) es un sistema para la “prevención y control del lavado de activos, la financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva”, la SIC concluye lo siguiente en el numeral 8.2.1.2 de la página 18 de la resolución 43121 de 2024: “Por la cual se resuelve un recurso de apelación” La SIC confunde las bases de datos expresamente excluídas en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012, con los sujetos obligados a cumplir la resolución 074854 de 2016 de la Superintendencia de Puertos y Transporte.
Para la ley 1581 de 2012 no es relevante quien crea o presta el servicio de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo. Dicha ley solo define “Base de Datos” como “conjunto organizado de datos personales que sea objeto de Tratamiento” pero no exige que esos servicios los preste determinadas empresas o entidades públicas.
Lo importante para la citada ley es que se trate de una base de datos o archivo para la mencionada finalidad. Por eso, es contrario a la ley que la SIC concluya que en el presente caso, no aplica la excepción literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012 porque RISKS INTERNATIONAL S.A.S no es una empresa supervisada por la Superintendencia de Puertos y Transporte”.
En otras palabras, la SIC está modificando una ley estatutaria al crear una excepción a lo dispuesto en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012. La ley Estatuaria no hace ninguna distinción sobre esa excepción, pero la SIC si lo hace atribuyéndose facultades de legislador que le corresponden al Congreso de la República.
El argumento de la SIC es abiertamente ilegal porque no se ajusta a lo que dice el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012. Adicionalmente, la interpretación de la SIC está estructurada a partir de una valoración subjetiva totalmente alejada al citado mandato legal, que, por si misma, no se predica de su texto y que, por tanto, carece de total validez jurídica.
Por ende, el acto administrativo fruto de esta interpretación es ilegal. Así las cosas, si estamos en un estado de derecho, lo procedente es que la SIC revoque totalmente la resolución 43121 de 2024. Temas tan serios e importantes, como la excepciones al ámbito de aplicación de la Ley Estatutaria 1581 de 2012, no pueden ser objeto de interpretaciones muy extrañas que notoriamente desconocen lo ordenado por el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012.
Procede esta Delegatura a pronunciarse sobre estos argumentos. Para mejor ilustración del asunto, se transcribe el texto del literal b) del artículo 2 de la Ley 1581 de 2012, en relación con el ámbito de aplicación: Artículo 2°. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
(…) El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: (…) b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal.
En el evento que la normatividad especial que “Por la cual se resuelve un recurso de apelación” regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley. Al realizar control previo de constitucionalidad del texto de este artículo, la Corte Constitucional en Sentencia C-748 de 2011, indicó: 2.4.5.4.1.
Como se indicó en la sentencia C-251 de 2002[166], “[u]na de las finalidades básicas de las autoridades colombianas es la defensa de la integridad nacional y la preservación del orden público y de la convivencia pacífica, no sólo porque así lo establece expresamente el artículo 2º de la Carta, sino además porque esos elementos son condiciones materiales para que las personas puedan gozar de sus derechos y libertades”.
Las labores de defensa y seguridad, a diferencia de las de inteligencia y contrainteligencia –como se verá más adelante- tienen lugar con ocasión de la existencia de amenazas actuales y graves contra el orden público y la soberanía, y solamente pueden ser ejecutadas por la Fuerza Pública. [167] Amenazas de tal magnitud justifican el tratamiento de datos personales para los propósitos de defensa y seguridad nacional; es más, esta Corporación ha indicado que el tratamiento de datos personales para esos propósitos “(…) es un elemento importante para el logro de sus fines constitucionales de mantenimiento del orden constitucional y de las condiciones necesarias para el ejercicio adecuado de los derechos y libertades previstos en la Carta”[168], es decir, se trata de una herramienta importante de la que disponen las autoridades para cumplir sus funciones de defensa.
Sin embargo, como lo ha indicado esta Corporación, la defensa del orden público y de la integridad de la soberanía no pueden servir de excusa para desconocer las garantías básicas del estado social de derecho e implementar un estado totalitario en el que las personas se conviertan en objetos al servicio del Estado.[169] Por ello, toda labor de seguridad y defensa nacional debe ser compatible con la dignidad y los derechos fundamentales de las personas que puedan resultar afectadas.
En este orden de ideas, la Sala reitera que el tratamiento de datos personales con estas finalidades debe sujetarse de manera estricta a las exigencias del principio de proporcionalidad. 2.4.5.4.2. Consideraciones similares deben realizarse para las excepciones de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”, pues tanto el lavado de activos como el terrorismo son amenazas importantes contra la seguridad y el orden público.
Por ejemplo, en la sentencia C-537 de 2008[170]10, la Corte reconoció que el delito de terrorismo conlleva una grave afectación “(…) de derechos y libertades de primer orden, lo que impone la obligatoriedad para el Estado de establecer medidas suficientes y eficaces, tanto en el ámbito internacional como del derecho interno, para prevenir, combatir y sancionar esas conductas.” Dada la gravedad del delito, la Corte agregó que “(…) las decisiones que adopte el legislador dirigidas a implementar medidas para la prevención, represión y sanción del terrorismo son prima facie armónicas con el Estatuto Superior.”[171]11 La Sala también observa que la adopción de medidas para combatir efectivamente el terrorismo es una obligación internacional del Estado colombiano derivada de instrumentos tales como el Convenio Internacional para la Represión de los Atentados Terroristas Cometidos con Bombas, el Convenio Internacional para la Represión de la Financiación del Terrorismo y la Convención Interamericana contra el Terrorismo, todos ratificados por Colombia y sus leyes aprobatorias declaradas exequibles por esta Corporación. En materia de lavado de activos, la Corte ha señalado que el establecimiento de medidas para prevenir y sancionar esta conducta es un aspecto inseparable del éxito de las medidas para la represión del crimen organizado.
Además, ha reconocido que dada la sofisticación de las redes dedicadas a este delito y su naturaleza transfronteriza, se requieren medidas especiales y el uso de la tecnología.[172]12 M.P. Jaime Córdoba Triviño. De forma similar, en la sentencia C-127 de 1993, M.P. Alejandro Martínez Caballero, la Corte concluyó “que la comunidad internacional ha reconocido en forma unánime y reiterada que el terrorismo es un delito que por ser atroz tiene un trato distinto.” Luego, en la sentencia C-762 de 2002, M.P. Rodrigo Escobar Gil, la Corte reconoció que el terrorismo afecta gravemente distintos derechos fundamentales y, por tanto, se trata de una conducta cuya necesidad de investigación y sanción ha sido previsto por las normas del derecho internacional, entre ellas aquellas que tienen carácter de ius cogens.
Ver también las sentencias C-1055 de 2003, M.P. Marco Gerardo Monroy Cabra, y C-037 de 2004, M.P. Jaime Córdoba Triviño. 12[172] Ver sentencia C-931 de 2007, M.P. Marco Gerardo Monroy Cabra. La Corte expresó lo siguiente en dicha oportunidad: “En efecto, en los últimos tiempos, las organizaciones delictivas se han incorporado al mundo globalizado para aprovechar sus beneficios tecnológicos y comerciales.
El desarrollo de los medios de comunicación, del comercio electrónico, de los medios de transporte ha permitido la sofisticación de los mecanismos delictivos, haciendo cada vez más difícil la detección de los responsables, así como más ardua la aprehensión de sus ganancias.” 10[170] 11[171] “Por la cual se resuelve un recurso de apelación” En este orden de ideas, dada la entidad de la amenaza que para el orden constitucional representan las conductas delictivas de terrorismo y lavado de activos, la Corte considera razonable que el tratamiento de datos para su prevención, detección, monitoreo y control sea exceptuado de la aplicación del proyecto bajo revisión, salvo en materia de principios.[173]13 (negrilla fuera de texto) Esta Delegatura desestimará el argumento de la recurrente por dos razones.
Una material, a partir del tipo de datos, la finalidad y el tratamiento que efectivamente adelanta RISKS INTERNATIONAL a través de su plataforma SIRIEST-SISCOM. Otra, normativa, a partir de una interpretación sistemática e integral de la Ley 1581 de 2012, de su artículo 2 y de la Jurisprudencia de la Corte Constitucional. 8.2.2.1. Las razones materiales para descartar la aplicación del literal b, del artículo 2, de la Ley 1581 de 2012, en este caso.
Entiende esta Delegatura que el argumento principal de RISKS INTERNATIONAL para alegar la falta de competencia de la Dirección, y también de esta Delegatura, para pronunciarse sobre su eventual responsabilidad administrativa, reside en que el tratamiento de datos personales a partir de la plataforma SIRIEST-SISCOM, de su propiedad, tiene como finalidad la “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”, tipo de tratamiento explícitamente excluido por la Ley 1581 de 2012.
Frente a este argumento la Delegatura quiere llamar la atención sobre la falta de correspondencia entre la realidad material del tratamiento de datos personales adelantado por RISKS INTERNATIONAL mediante la mencionada plataforma, y el supuesto de hecho de dicha norma. En otras palabras, esta Delegatura advierte, como también lo tuvo presente la Dirección al pronunciarse sobre el punto, que el tratamiento de datos personales que adelanta RISKS INTERNATIONAL excede las precisas y estrictas finalidades de la “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”.
Esto es evidente a partir de la lectura y del somero análisis del tipo de información personal que alimenta la plataforma SIRIEST-SISCOM, bien descrito por RISKS INTERNATIONAL a lo largo del proceso, y considerado explícitamente por la Dirección al momento de expedir la Resolución ahora recurrida. En efecto, entre las llamadas “novedades” con las que se alimenta esta base de datos destacamos, por ejemplo, las de “Presunto incumplimiento de contrato de carga por presunto hurto o piratería”, “Presunto incumplimiento por falta de entrega parcial destino faltante”, “Noticias ante la FGN – Hecho Notorio” y “Presunto riesgo LAFT por presuntos delitos conexos LAFT.” Para esta Delegatura es claro, muy claro, que la información personal relacionada con presuntos incumplimientos de un contrato de carga, por presunto hurto o piratería, o por entrega parcial destino faltante, de la cual, entre muchas otras, se alimenta la plataforma SIRIEST-SISCOM, necesariamente no guarda relación directa y puntual con la declarada finalidad de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.” La necesidad de dar aplicación a los principios del habeas data en las labores de detección de la financiación de terrorismo ya había sido anunciada por la Corte en la sentencia C-537 de 2008, M.P. Jaime Córdoba Triviño, en la que la Corporación explicó: “(…) el intercambio de información financiera que prevén las disposiciones analizadas deberá, en todo caso, estar precedido de la garantía del derecho a la autodeterminación informativa de los afectados con las medidas, en los términos del artículo 15 C.P. Por lo tanto, las acciones que ejecute el Estado con el fin de cumplir con sus compromisos en la interdicción de recursos destinados a la financiación del terrorismo, deberán garantizar que los titulares de la información conserven la facultad de conocer, actualizar y rectificar los datos concernidos.
De la misma manera, el tratamiento de esa información estará supeditado a la eficacia de los principios de libertad, necesidad, veracidad, integridad, incorporación, finalidad, utilidad, circulación restringida, caducidad e individualidad, conforme lo ha precisado la jurisprudencia constitucional.” 13 [173] “Por la cual se resuelve un recurso de apelación” Una situación similar, y en cierta medida problemática, ocurre con las novedades “Noticias ante la FGN – Hecho Notorio” y “Presunto riesgo LAFT por presuntos delitos conexos LAFT.
No se ve cómo, prima facie, ni tampoco después de un análisis más mesurado, la indeterminada novedad de una noticia criminal, una denuncia ante la FGN, o un hecho notorio de la posible comisión de cualquier delito, tenga una relación necesaria, directa y puntual con la declarada finalidad de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”.
Esto fue destacado por la Dirección, en la Resolución recurrida, en la página 33 que, para mayor ilustración, se cita: “En este caso, tal como se ha venido exponiendo a lo largo de la presente decisión, las llamadas novedades están acompañadas de una calificación del incumplimiento por i) hurto, abuso de confianza, iii) piratería terrestre, iv) detención o captura, v) apropiación de anticipo, vi) pertenencia a grupos armados al margen de la ley, vii) saqueo de mercancía, entre otros.
De manera que sin haberse surtido un proceso judicial con todas las prerrogativas constitucionales, la investigada está realizando tratamiento de datos que tienen un impacto en el buen nombre y en la presunción de inocencia, que a la postre conllevan a constituirse como un factor de discriminación de los titulares, por parte de quienes acceden en calidad de usuarios para contratar con ellos”.
Otra situación similar se puede predicar de las otras fuentes públicas de las que se alimenta el sistema, como bien lo expuso la recurrente, al indicar que, entre otras, se tomaban datos de la Policía Nacional, la Procuraduría General de la Nación, y de la Contraloría General de la República, así como de los registros de procesos judiciales.
La fabulosa diversidad de la información personal que se puede obtener de estas fuentes, y de la que efectivamente se nutren los sistemas de información de RISKS INTERNATIONAL, no guarda, en términos generales, una relación necesaria, directa y puntual con la declarada finalidad de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”.
Esta falta ostensible de relación entre todas estas fuentes de información y la finalidad de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”; entre este universo de entradas de datos personales por la vía de novedades y la antedicha finalidad, le permite constatar a esta Delegatura que, lejos de encontrarse excluido del ámbito de aplicación de la Ley 1581 de 2012, el tratamiento de datos personales, a partir de la plataforma SIRIEST-SISCOM, que adelanta RISKS INTERNATIONAL en su calidad de responsable, va más allá de las estrictas y precisas finalidades de la “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo” y, por tanto, le es plenamente aplicable la Ley 1581 de 2012.
Y lo es, según los términos de los incisos 1° y 2° del artículo 2° de la mencionada Ley, en tanto dicho tratamiento de datos personales se adelanta en Colombia, y RISKS INTERNATIONAL se encuentra establecida en el territorio colombiano. 8.2.2.2. Las razones normativas para descartar la aplicación del literal b, del artículo 2, de la Ley 1581 de 2012 en este caso.
Por otra parte, de la lectura sistemática e integrada de la Ley 1581 de 2012, de su artículo 2 y de la Jurisprudencia de la Corte Constitucional, en especial, la sentada en la Sentencia C-748 de 2011, esta Delegatura concluye que las bases de datos o archivos “que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo” que se encuentran excluidas del ámbito de aplicación de la Ley 1581 de 2012 son solo aquellas que, con arreglo al principio de legalidad, debe crear y administrar el Estado colombiano. Esto es así por dos razones básicas.
Primero, porque este tipo de bases de datos son y deben ser creadas y sostenidas por el Estado colombiano en cumplimiento de compromisos internacionales relacionados, precisamente, con las medidas de prevención del lavado de activos y del terrorismo. “Por la cual se resuelve un recurso de apelación” Segundo, porque una interpretación sistemática, integral y conforme con la Constitución de la disposición del literal b, del artículo 2, de la Ley 1581 de 2012, y de las consideraciones de la Corte Constitucional, orientadas por el principio de eficacia de los derechos fundamentales, así lo imponen.
Esta Delegatura no ve cómo esta disposición pueda interpretarse bajo la idea de que particulares puedan siquiera crear bases de datos personales que tengan “por finalidad la seguridad y la defensa nacional”, o que tengan por finalidad “la prevención, detención monitoreo y control al lavado de activos y el financiamiento del terrorismo”, sin que para ello estén debidamente autorizados por una Ley de la República y debidamente regulados por ella.
En principio estas funciones están reservadas al Estado y, excepcionalmente a los particulares, siempre que el Legislador fije las condiciones y les atribuya explícitamente tan altas y delicadas atribuciones. En el contexto de este caso, no puede esta Delegatura, como Autoridad Nacional de Protección de Datos, darle cabida a la nuda interpretación gramatical de la disposición del literal b, del artículo 2, de la Ley 1581 de 2012 que propone la recurrente, bajo el argumento según el cual, como la ley no distingue el tipo de base de datos, si público o privado, entonces debe entenderse incluidas ambas y por tanto, las bases de datos que sobre estas materias llegasen a crear los particulares resultaran también excluidas del ámbito regulatorio, y sobre todo excluidas de la competencia de inspección, vigilancia y control, propio del régimen general de protección de datos personales.
Y no puede hacerlo por varias razones. Primero, porque la Corte Constitucional al estudiar la exequibilidad de las excepciones del artículo 2 mencionado, consideró que no se trataba de un régimen de exclusión de la protección del derecho fundamental al habeas data, sino de excepción para ámbitos que requieren regulaciones especiales. Para la Corte: 2.4.5.1 ( ) En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad.
En este orden de ideas, las leyes especiales que se ocupen de los ámbitos exceptuados deberán (i) perseguir una finalidad constitucional, (ii) prever medios idóneos para lograr tal objetivo, y (iii) establecer una regulación que en aras de la finalidad perseguida, no sacrifique de manera irrazonable otros derechos constitucionales, particularmente el derecho al habeas data.
Además, de conformidad con los principios que se examinarán más adelante, el cumplimiento de las garantías y la limitación del habeas data dentro de los límites de la proporcionalidad debe ser vigilada y controlada por un órgano independiente, bien sea común o sectorial. (negritas fuera de texto) Segundo, no puede hacerlo porque de aceptarse, llegaríamos a la conclusión absurda de que un particular que adelante tratamiento de datos personales con estas finalidades, delicadas finalidades, no estaría sujeto a los términos de la Ley 1581 de 2012, ni a las medidas de inspección, vigilancia y control de la Autoridad Nacional de Protección de Datos Personales.
Objetivo jamás buscado por el Legislador al regular este punto, y a todas luces contrario a la Constitución y a la idea de extender y no restringir el ámbito de la garantía de los derechos fundamentales. Se estaría privando una garantía de varios de los derechos fundamentales (y no solo el derecho fundamental al habeas data) que pueden verse amenazados por el funcionamiento no supervisado y no controlado de bases de datos, por parte de particulares, como las que ahora ocupan la atención de esta Autoridad.
Tercero, no puede hacerlo, porque las excepciones al ámbito de aplicación de la ley, en tanto excepciones a las garantías del derecho fundamental a la “Por la cual se resuelve un recurso de apelación” protección de datos personales, deben interpretarse de manera restrictiva. En efecto, una de las implicaciones prácticas de considerar el derecho a la protección de datos personales un derecho fundamental es que las limitaciones introducidas por el legislador tanto a su contenido material, como a sus garantías, deben ser interpretadas de manera restrictiva.
Esto se desprende de la propia naturaleza del derecho fundamental e incluso así lo reconoció de forma explícita la propia Corte Constitucional al estudiar la constitucionalidad del artículo 2 de la Ley 1581 de 2012, como puede advertirse en la consideración 2.4.5.2., que transcribimos: 2.4.5.2. Las excepciones efectivamente son previstas por la ley, como lo exige la Constitución, y deben ser interpretadas de manera restrictiva ( ) De esta afirmación se sigue, como ha también indicado esta Corporación, que, en principio, las excepciones a la aplicación de las garantías de los derechos fundamentales, en este caso del derecho al habeas data, deben estar previstas en la ley, como efectivamente lo hace el proyecto bajo examen.
Ciertamente, a juicio de esta Corporación, en tanto tales excepciones son una fuerte limitación de los derechos, es un asunto que corresponde regular al legislador estatutario. [162] Además, las excepciones que se introduzcan, aunque estén contenidas en una ley, deben sujetarse a las exigencias del principio de proporcionalidad.[163] Cuarto, esta Delegatura no puede aceptar dicha tesis, porque de hacerlo, en efecto, se derrotaría la inspiración constitucional del derecho fundamental al habeas data y de su delicado régimen de garantías, asociado a los principios para la administración de datos personales.
Esto según la afortunada concepción que rige la materia desde la Sentencia T-729 de 2002 y que ha sido copiosa y celosamente reiterada por la Corte Constitucional, desde la Sentencia C-185 de 2003, pasando por la Sentencia C-748 de 2011, hasta la más reciente Sentencia C-032 de 2021. Desde entonces, ha sido claro para la Corte Constitucional que el tratamiento de datos personales no es una actividad libre, en la cual emprendedores de todo tipo puedan darle rienda suelta a su ingenio negocial, sin atender los mandatos constitucionales y legales.
Es, en cambio, una actividad constitucionalmente regulada. Y lo es por una sencilla y elemental razón: su materia prima, los datos personales, son el objeto de protección de varios derechos fundamentales, entre los que destaca, precisamente el derecho fundamental al habeas data. El tratamiento de datos personales no es pues una actividad libre, no lo es para las autoridades públicas, no lo es para los particulares.
Es una actividad que, como ordena el segundo inciso del artículo 15 de la Constitución, está sometida al cumplimiento de los principios para la administración de datos, y entre ellos destaca, sobre todo, el principio de libertad, pero no del empresario, sino de la persona natural, del ser humano, titular de la información personal. Este es el alcance que le ha dado la Corte Constitucional al segundo inciso del artículo 15 de la Constitución, según el cual “[e]n la recolección, tratamiento y circulación de datos se deberán respetar la libertad y las demás garantías consagradas en la Constitución”, y que esta Delegatura honra y mantiene.
Y finalmente, quinto, esta Delegatura no puede darle cabida a la tesis de la recurrente, porque de hacerlo estaría empleando una cláusula relacionada con el ámbito de aplicación de la ley, para al mismo tiempo concederle fundamento jurídico a la creación de una base de datos supuestamente para “la prevención, detención monitoreo y control al lavado de activos y el financiamiento del terrorismo” por parte de particulares y, a la par, para abstraerla de todo control administrativo.
En conclusión, considera esta Delegatura que los argumentos presentados por la recurrente no están llamados a prosperar. Esta Delegatura afirma la competencia, tanto de la Dirección en tanto ejerció la facultad sancionatoria frente a RISKS INTERNATIONAL, como la suya propia, para pronunciarse sobre el caso de marras, en el contexto de los argumentos que fundamentan el recurso de apelación. 8.2.3.Respecto de la presunta vulneración del artículo 3 del Código de “Por la cual se resuelve un recurso de apelación” Procedimiento Administrativo.
Sobre este punto, afirma la recurrente en su escrito de apelación: “En el presente caso, la Superintendencia de Industria y Comercio (SIC) ha violado el numeral 2 del artículo 3 del CPACA al dar un trato discriminatorio a RISKS INTERNATIONAL SAS en comparación con otra empresa que prestan (sic) servicios de bases de datos para la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.
La SIC sancionó a RISKS INTERNATIONAL SAS bajo el argumento de que esta empresa no está excluida del ámbito de aplicación de la Ley 1581 de 2012 porque no está vigilada por la Superintendencia de Puertos y Transporte. Sin embargo, mediante el Oficio 24-37401-5-0 de la Dirección de Investigaciones de la Delegatura de Protección de Datos de la SIC, la misma entidad se abstuvo de iniciar una investigación sancionatoria contra otra empresa, RISK CONSULTING COLOMBIA SAS, que también maneja una base de datos con los mismos fines, y que tampoco está vigilada por la Superintendencia de Puertos y Transporte.
Este tratamiento desigual no solo es contrario al principio de igualdad consagrado en el artículo 3 del CPACA, sino que también vulnera los derechos de RISKS INTERNATIONAL SAS a recibir un trato justo y equitativo en el proceso administrativo sancionador”. A partir de lo indicado por la recurrente, esta Delegatura procedió a verificar el radicado No. 24-37401, evidenciando lo siguiente: 1.
Corresponde a la respuesta a una solicitud de información realizada por la sociedad Risk Consulting Colombia S.A.S., relacionada con el trámite radicado 19-142359-00 de fecha 16 de junio de 2016, mediante la cual un titular solicita se inicie una actuación administrativa teniendo en cuenta que la base de datos DATALAFT no se ajusta a las normas de protección de datos. 2.
La Dirección, conforme a lo indicado por el peticionario, solicitó explicaciones a Risk Consulting Colombia S.A.S., quien mediante oficio 19-142359-09 dio respuesta. 3. Del análisis de la documentación recolectada, la Dirección archivó la actuación por considerar, en ese entonces, que se trataba de una base de datos para la prevención, detección, monitoreo y control del lavado de activos, y por tanto no le era aplicable la Ley 1581 de 2012.
Esta Delegatura acepta la posible existencia de diferencias de criterio sobre la debida interpretación del literal b, del artículo 2, de la Ley 1581 de 2012 respecto de lo que en ese entonces consideró la Dirección respecto del caso recién mencionado, y de lo que estima hoy, tanto la Dirección como esta Delegatura, en relación con el caso ahora bajo estudio.
Sobre este punto esta Delegatura destaca dos asuntos. En primer lugar, que las decisiones de archivo, especialmente aquellas adoptadas en la fase de los requerimientos preliminares, no comportan un pronunciamiento definitivo sobre un asunto de derecho, no modifican la situación jurídica de los vigilados, no definen ni le confieren derechos y, sobre todo, no implican el agotamiento de la competencia de la autoridad de control.
Esta Delegatura constata que, para entonces, la Dirección no adoptó un acto administrativo definitivo que tuviese la virtud de agotar el debate jurídico sobre el punto de la competencia de esta Delegatura o que configurase una suerte de “cosa juzgada administrativa”. Tampoco advierte esta Delegatura que a partir de la notificación de dicha decisión de archivo se consolidara una situación jurídica inmodificable a favor de la sociedad o que fuese definitivamente extensible a otras, que se encontrasen en una situación fáctica similar.
Y, en segundo lugar, a pesar de la posible similitud entre los dos casos, la decisión de archivo del radicado 19-142359 no constituye precedente administrativo a cuyo seguimiento la Dirección o esta Delegatura estuviese o esté legalmente compelida. No lo constituye, primero porque se trató de una “Por la cual se resuelve un recurso de apelación” decisión de archivo de la Dirección, y no de la Delegatura como titular de la última voz de la administración en materia de la interpretación en sede administrativa del régimen de protección de datos personales.
Segundo, porque no hubo en ese caso un pronunciamiento minucioso sobre las razones por las cuales se consideró, se activaba la causal de exclusión del ámbito de aplicación y la decisión no fue saturada. Y tercero, quizá el argumento más fuerte, porque en materia administrativa no existe en estricto rigor el precedente administrativo, ni se sigue la regla del stare decisis.
Sin embargo, ninguno de los dos argumentos anteriores obsta para que, cuando surgen este tipo de circunstancias, la Delegatura tenga sobre sí una especial carga de justificación. En el mejor espíritu del principio de interdicción de la arbitrariedad, debe esta Delegatura sumar argumentos para disolver cualquier duda respecto de una eventual conducta arbitraria de la administración, así la decisión no haya sido suya, sino de la Dirección, y no sea del presente, sino de administraciones pasadas.
La postura actual de la Delegatura en relación con la supuesta no aplicación de la Ley 1581 de 2012 a empresas particulares que por diferentes razones integren bases de datos, dispongan archivos o adelanten tratamiento de datos personales relacionadas o “que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo, y control de lavado de activos y el financiamiento del terrorismo”, según los términos del literal b, del artículo 2, de la Ley 1581 de 2012, quedó suficientemente bien expuesto y detallado en el numeral anterior de esta resolución (8.2.2.2).
Argumentos a los que por economía y parsimonia esta Delegatura se remite y, con ello, estima cerrado el debate sobre el punto. En conclusión, esta Delegatura estima que la decisión de archivo adoptada en el pasado no constituye un impedimento jurídico para que la Dirección o esta Delegatura, en ejercicio de sus competencias, pudiesen, como pueden, ejercer las facultades sancionatorias que resulten necesarias para garantizar el derecho fundamental a la protección de datos personales.
Asimismo, con el fin de mantener la coherencia en sus actuaciones, esta Delegatura exhortará a la Dirección de Investigaciones de Protección de Datos Personales para que, conforme su competencia y si así lo estima pertinente, adelante averiguaciones previas en relación con el tratamiento de datos personales que adelanta Risk Consulting Colombia S.A.S. con el fin de verificar si dicho tratamiento se ajusta a la Ley 1581 de 2012.
Conforme a lo anterior, se considera que no se viola con la presente actuación administrativa el derecho a la igualdad establecido como principio de la función administrativa establecido en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 8.2.4.Respecto de la vulneración del artículo 333 de la Constitución Política.
Sobre este punto la recurrente esgrime: “Como es sabido, en Colombia existe libertad de empresa. Según el artículo 333 de la Constitución la SIC no puede exigir “permisos previos ni requisitos, sin autorización de la ley.”. A pesar de lo anterior, la SIC está haciendo totalmente lo contrario al precitado mandato constitucional porque, con su interpretación, está tácitamente exigiendo que únicamente la (sic) empresas supervisadas por la Superintendencia de Puertos y Transporte pueden prestar servicios de bases de datos o archivos que tengan por finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.
El anterior, requisito exigido por la SIC no está previsto en ninguna ley. Por ende, no le corresponde a la SIC delimitar o restringir la libertad de empresa. (…) En el caso bajo análisis, la Superintendencia de Industria y Comercio (SIC), a través de la resolución 43121 de 2024, ha introducido una restricción que no se encuentra contemplada en la Ley Estatutaria 1581 de 2012.
En el numeral 8.2.1.2 de la “Por la cual se resuelve un recurso de apelación” página 18 de dicha resolución, la SIC exige que solo las empresas supervisadas por la Superintendencia de Puertos y Transporte pueden prestar ciertos servicios relacionados con la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo.
Esta interpretación, al limitar el acceso al mercado únicamente a las empresas supervisadas por dicha Superintendencia de Puertos y Transporte, está imponiendo una restricción adicional que no fue prevista por el legislador. Dicha restricción vulnera directamente el artículo 333 de la Constitución, ya que limita de manera indebida la libertad de empresa de aquellos actores que, sin estar supervisados por la Superintendencia de Puertos y Transporte, cumplen con los requisitos legales para operar en el mercado.
Al imponer esta exigencia, la SIC restringe injustificadamente la competencia, afectando a otras empresas que podrían legítimamente participar en la prestación de estos servicios. Es importante resaltar que cualquier limitación a la libertad económica y de empresa debe estar expresamente establecida por la ley, y no puede ser creada o ampliada por una autoridad administrativa mediante interpretaciones que alteren el alcance de las normas vigentes.
Al exceder sus facultades interpretativas y añadir requisitos que no están contemplados en la ley, la SIC está invadiendo competencias que corresponden exclusivamente al poder legislativo, lo cual contraviene el principio de separación de poderes y afecta la seguridad jurídica. En síntesis, la SIC ha violado el artículo 333 de la Constitución al limitar la libertad de empresa mediante la resolución 43121 de 2024 porque en el numeral 8.2.1.2 de la página 18 de la citada resolución está exigiendo que solo las empresas supervisadas por la Superintendencia de Puerto y Transporte pueden prestar el servicio excluído en el literal b) del artículo 2 de la Ley Estatutaria 1581 de 2012”.
(Subraya fuera de texto) Con el fin de estimar el mérito del argumento presentado por la recurrente, esta Delegatura considera necesario referirse a lo indicado por la Dirección en el numeral 8.2.1.2. de la Resolución No. 43121 del 31 de julio de 2024. “8.2.1.2 De la excepción a la aplicación de la Ley 1581 de 2012 sobre los hechos investigados Respecto a la competencia de la Superintendencia de Industria y Comercio para investigar las acciones desplegadas por RISKS INTERNATIONAL S.A.S. en el tratamiento de la información personal contenida en la base de datos denominada SIRIEST, la investigada ha asegurado que dada la finalidad de dicha base de datos, esta se encuentra enmarcada en las excepciones previstas por el literal b) del artículo 2° de la Ley 1581 de 2012 al tener “(…) como objetivo fundamental minimizar el riesgo de lavado de activos, financiación del terrorismo o proliferación de armas de destrucción masiva”.
Sin embargo, según la regulación que sobre la materia ha expedido la Superintendencia de Puertos y Transporte mediante Resolución 074854 del 21 de diciembre de 20163, las obligaciones derivadas del SIPLAFT recaen sobre las empresas supervisadas por esa Entidad, habilitadas para la prestación del servicio terrestre automotor de carga. Es decir, los sujetos pasivos sobre quienes recae el deber de implementación de las políticas y sistemas de prevención de LA/FT-PADM están plenamente delimitados en esa reglamentación. Así las cosas, es claro que la sociedad investigada no se encuentra sometida a las directrices emanadas en torno a la prevención del lavado de activos y financiación del terrorismo por parte de la autoridad correspondiente, y que la herramienta que ha proveído a sus clientes (suscriptores) si bien se relaciona con la debida diligencia que estos están obligados a acreditar, no deriva del cumplimiento de un deber legal relacionado con la implementación de esos controles, sino del desarrollo de su objeto mercantil”.
(resaltado fuera de texto) En este aparte de la decisión, evidencia la Delegatura que la Dirección se pronunció respecto de lo indicado por RISKS INTERNATIONAL en el escrito de descargos, cuando se dijo que el objeto de la plataforma es disminuir el riesgo de lavado de activos, financiación del terrorismo o proliferación de armas de destrucción masiva y, que, por lo tanto, se encuentra inmersa en la excepción establecida en el literal b) del artículo 2 de la Ley 1581 de 2012.
Frente al anterior argumento, la Dirección menciona el ámbito de aplicación de la Resolución No. 74854 del 21 de diciembre de 2016, y afirma que la obligación de implementar el SIPLAFT, recae sobre las empresas supervisadas por la Superintendencia de Transporte que estén habilitadas para la prestación del servicio terrestre automotor de carga.
“Por la cual se resuelve un recurso de apelación” Bajo ese contexto, consideró la Dirección que RISKS INTERNATIONAL al no tener la obligación de implementar el SIPLAFT, la información que se recolecta a través de la herramienta SIRIEST – SISCOM, relacionada con la prevención del riesgo LA/FT-PADM, no la exime de la aplicación de las normas establecidas en la ya citada Ley 1581 de 2012.
Aspecto que evidentemente no obedece a una interpretación restrictiva a la libertad de empresa establecida en el artículo 33314 de la Constitución Política, como lo quiere hacer ver la recurrente. La conclusión de la Dirección está lejos de afirmar o siquiera de sugerir, como erróneamente lo afirma la recurrente, que las empresas vigiladas por la Superintendencia de Transporte obligadas a la implementación del SIPLAFT son las únicas que pueden adelantar el tipo de tratamiento de datos y prestar el tipo de servicios ofrecidos por RISKS INTERNATIONAL a través de la plataforma SIRIEST-SISCOM.
La recurrente incurre en varios errores de apreciación. Por un lado, le da un alcance que no tiene a lo dicho por la Dirección, en relación con los deberes de las entidades vigiladas por la Superintendencia de Transporte relacionados con la implementación del SIPLAFT. Y segundo, extrae del deber de implementar el SIPLAFT que pesa sobre estos sujetos vigilados, la premisa insólita de que la limitación de adelantar el tratamiento de datos propios del SIPLAFT a terceros, como RISKS INTERNATIONAL, constituye un trato discriminatorio o una medida inconstitucional.
Estos errores de apreciación se pueden evidenciar y corregir con una mejor lectura de la Resolución No. 74854 del 21 de diciembre de 2016, ya citada y que se explicó brevemente como cuestión preliminar (vid supra 8.1). Según esa Resolución sólo las empresas habilitadas15 para ejercer la actividad de transporte terrestre automotor de carga tienen la obligación de implementar el Sistema Integral para la Prevención y Control del Lavado de Activos, la Financiación del Terrorismo y Financiamiento de la Proliferación de armas de destrucción masiva – SIPLAFT.
No RISKS INTERNATIONAL o cualquier otro que no esté habilitado para ejercer la actividad de transporte automotor de carga. Por lo tanto, en el marco de la mentada Resolución, serán ellas y solo ellas, quienes deben identificar y analizar las situaciones que puedan generar riesgos LA/FT-PADM, a través de la evaluación de las fuentes como contrapartes, productos, canales de distribución y jurisdicción territorial.
Así mismo, son ellas y solo ellas, las que tienen el deber de implementar el procedimiento pertinente para la evaluación de los antecedentes de los trabajadores previo a su vinculación. Esta actividad consiste en determinar qué aspectos o cuáles conductas son consideradas como riesgo LA/FT-PADM, sin que esto signifique que terceros, como RISKS INTERNATIONAL tengan la competencia o estén autorizados para conformar o crear una lista o base de datos que contenga la información recolectada en el desarrollo de esta o de cualquier otra fase de la implementación del SIPLAFT.
En este contexto, además del análisis de los antecedentes, que pueden ser consultados en portales públicos, las empresas habilitadas, conforme las señales de alerta relacionadas en la Resolución No. 74854 del 21 de diciembre de 2016, deben verificar si existe un nivel de riesgo importante respecto de las personas que van a ser contratadas o con quienes se piensa realizar algún tipo de negocio.
“ARTÍCULO 333. La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley. La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones.
El Estado fortalecerá las organizaciones solidarias y estimulará el desarrollo empresarial. El Estado, por mandato de la ley, impedirá que se obstruya o se restrinja la libertad económica y evitará o controlará cualquier abuso que personas o empresas hagan de su posición dominante en el mercado nacional. La ley delimitará el alcance de la libertad económica cuando así lo exijan el interés social, el ambiente y el patrimonio cultural de la Nación”.
De acuerdo con lo establecido en el artículo 2.2.1.7.2.1 del Decreto 1079 de 2015, al Ministerio de Transporte le fue asignada la competencia para que a través del acto administrativo correspondiente conceda la habilitación a empresas que soliciten ejercer la actividad de transporte público automotor de carga. “Por la cual se resuelve un recurso de apelación” Para esto, entiende la Delegatura, es necesario conocer diferentes fuentes que puedan brindar información necesaria para tal efecto.
Actividad que, por su naturaleza, requerirá que estas empresas, léase las vigiladas por la Superintendencia de Transporte, cuenten y obtengan la autorización previa, expresa e informada del titular del dato, en los términos establecidos en la Ley 1581 de 2012. Así las cosas, considera la Delegatura que la Dirección en ningún caso tomó una decisión discriminatoria frente a RISKS INTERNATIONAL, ni mucho menos inconstitucional por violar, ya la libertad de empresa, ya los términos propios de la Ley 1581 de 2012.
Lo que en cambio se puede concluir del análisis precedente es que tanto la plataforma SIRIEST como el sistema integrado de información compartida SISCOM, desarrollados por RISKS INTERNATIONAL, no cuentan con un fundamento jurídico o normativo que soporte su funcionamiento. No existe una Ley de la República que lo habilite para ello y algo así no se puede concluir, ni siquiera, a partir de la más extensiva de las interpretaciones de la Resolución No. 74854 del 21 de diciembre de 2016.
Si la conformación de listas o bases de datos relacionadas con antecedentes o posibles riesgos LA/FT-PADM no se encuentra como una actividad que deba ser implementada por las empresas en desarrollo la citada Fase 2 del SIPLAFT, mucho menos puede interpretarse dicha Resolución en el sentido de habilitar para ello a un tercero como RISKS INTERNATIONAL.
En el mismo tenor, rechaza esta Delegatura una supuesta vulneración de los artículos 114, 121, 150, 152 y 153 de la Constitución Política, en perjuicio de RISKS INTERNATIONAL como lo sugiere la recurrente en su escrito. Con la presente actuación administrativa, no se ha vulnerado el principio de legalidad, no se han asumido funciones que no se encuentren consagradas en la Ley 1581 de 2012, como tampoco se han interpretado las normas con el único fin de perjudicar a la sociedad investigada, de lo que no hay prueba, ni evidencia alguna. 8.2.5.
Respecto de la alegada caducidad de la facultad sancionatoria de la Superintendencia de Industria y Comercio. Respecto de la caducidad de la facultad sancionatoria, indicó la recurrente: “Según el numeral 1.1. de la la (sic) resolución 43121 del 31 de julio de 2024 fue expedida con ocasión de una investigación que surgió como fruto de una queja radicada ante la SIC el 29 de junio de 2021 bajo el número 21-259141-0-01.
Esa resolución fue notificada el 1 de agosto de 2024. Fecha inicio de investigación Fecha de la resolución 43121 Fecha de notificación de la resolución de 2024 43121 de 2024 29 de junio de 2021 31 de julio de 2024 1 de agosto de 2024 El presente caso NO estamos frente a un hecho o conducta continuada porque la investigación nació únicamente por los hechos puestos en conocimiento de la SIC el 29 de junio de 2021.
Por ende, no es jurídicamente válido argumentar que son “continuados” los hechos de dicha queja porque, con ese argumento, nunca caducaría el plazo máximo de ley que tiene la SIC para investigar, decidir y notificar el acto administrativo sancionatorio. Teniendo en cuenta que la SIC tuvo conocimiento de los hechos materia de sanción el 29 de junio de 2021, el término para imponer la sanción caducaba el 29 de junio de 2024.
La resolución (sic) en comento fue expedida el 31 de julio y notificada el 1 de agosto de 2024, luego fue expedida y notificada extemporáneamente. Por ende, en el presente caso caducó la facultad sancionatoria de la SIC”. Para una mejor comprensión de este punto se transcribe el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo: “Por la cual se resuelve un recurso de apelación”
ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones, caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
(…) Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. Respecto de la Facultad sancionatoria de la administración, el Consejo de Estado16 ha precisado: 3.4.2. En un reciente pronunciamiento, la Sección Primera del Consejo de Estado, mediante sentencia del 12 de diciembre de 201917, también mantuvo la anterior postura.
En esa oportunidad, la Sección Primera del Consejo de Estado analizó la legalidad de actos administrativos sancionatorios y sostuvo que aunque la sentencia del 29 de septiembre de 2009 versó sobre una sanción de carácter disciplinario, esa Sección había determinado de manera reiterada que las consideraciones ahí expuestas eran plenamente aplicables a aquellas controversias que se rigen por el artículo 38 del CCA.
De manera que “en el término previsto para ejercer la facultad sancionatoria, las autoridades administrativas deben expedir y notificar el acto administrativo principal sancionatorio, sin que estén sometidas a que dentro de ese mismo plazo deban resolver los eventuales recursos que se interpongan contra dicha decisión; en ese orden de ideas, la administración únicamente pierde competencia para imponer sanciones, cuando trascurrido el término de tres años, no ha expedido y notificado el respectivo acto administrativo sancionatorio” (subraya la Sala).
(negrilla del Delegatura) Al respecto, resulta pertinente, dado que se prevén dos escenarios para la contabilización del término de 3 años, retomar lo sostenido por el Consejo de Estado18 así: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción19 “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce”20 (destacamos) Quiere decir entonces que la facultad sancionatoria de la administración no puede perpetuarse en el tiempo. Hacerlo constituye una clara vulneración del debido proceso, que va en contravía del principio de seguridad jurídica que debe regir en las actuaciones administrativas.
Sin embargo, es indispensable para una cabal comprensión de la norma distinguir dos escenarios diferentes. En el primer escenario, el término se contabiliza a partir de la fecha en que ocurre el hecho. Esto sucede cuando se trata de una conducta instantánea. En el segundo escenario, el término se contabiliza a partir del día siguiente al que haya cesado el incumplimiento del deber.
Esto sucede cuando se trata una conducta continuada en el tiempo. C.E., Sec. Cuarta, Sent. 110001031500020200303500, ago. 20/2020 C.P. Julio Roberto Piza Rodríguez. M.P. Hernando Sánchez Sánchez. Expediente 2006-00115-01. Consejo de Estado, Sección Sección Primera, en sentencia de 22 de mayo de 2014 (Expediente núm. AC2013-02392-00, M.P. Marco Antonio Velilla Moreno “Dado lo anterior, quedó demostrado que esta Corporación ha realizado un análisis sobre el término de la caducidad de la facultad sancionatoria concerniente a hechos distintos, como las infracciones en materia de energía que fueron en forma continuada donde la ocurrencia del hecho se contó a partir del último acto, o en el caso aduanero que a pesar de tener norma especial que regula el tema, se parte que existe conocimiento de la falta desde que la entidad inicie el trámite administrativo…”.
Consejo de Estado, Sección Quinta, Sentencia del 12 de abril de 2018, M.P. Carlos Enrique Moreno Rubio, Radicación número: 25000-23-24-000-2012-00788-01, actor: ALIANSALUD ENTIDAD PROMOTORA DE SALUD S. A. Consejo de Estado, Sección Primera, Sentencia del 18 de agosto de 2011, M.P. Rafael E. Ostau de Lafont Pianeta, Radicación número: 11001-03-24-000-2007-00013-00, posición reiterada en providencia del 8 de febrero de 2018, exp. 25000-23-24-000-2008-00045-02, M.P. Rocío Araújo Oñate, actor: Empresa de Acueducto y Alcantarillado de Bogotá (EAAB).
“Por la cual se resuelve un recurso de apelación” En el presente trámite administrativo, evidencia la Delegatura que después de la denuncia presentada por un quejoso y en ejercicio de la facultad oficiosa que ostenta esta Superintendencia, la Dirección, con el fin de determinar el funcionamiento de la plataforma SIRIEST – SISCOM, consideró necesario realizar sendas visitas administrativas, las cuales se llevaron a cabo los días 21 de agosto de 2021 y 16 de marzo de 2023.
En efecto, a partir de la última visita realizada a RISKS INTERNATIONAL, el 16 de marzo de 2023, existe evidencia suficiente en este expediente de que RISKS INTERNATIONAL, por lo menos hasta y para esa fecha, se encontraba realizando el tipo de tratamiento de datos personales a través de la plataforma SIRIEST-SISCOM, que ha sido descrito en esta Resolución, afirmado y aceptado por RISKS INTERNATIONAL y que sirvió de fundamento fáctico tanto al pliego de cargos, como a la decisión sancionatoria ahora recurrida.
No hay duda entonces de que, para al menos el 16 de marzo de 2023, RISKS INTERNATIONAL, a partir del tipo de tratamiento así descrito, estaba incumpliendo sus deberes legales como responsable del tratamiento de datos personales. En tales términos, es perfectamente válido y ajustado a Derecho que la Dirección haya tomado como término de referencia para contabilizar la caducidad de la facultad sancionatoria, el 16 de marzo de 2023.
Por todo lo anterior, respecto de las conductas investigadas, contrario a lo indicado por la recurrente, en el presente caso no había caducado la facultad sancionatoria de la Dirección al momento de imponer la sanción ni de resolver el recurso de reposición, como tampoco ha caducado para esta Delegatura, al momento en que se resuelve el presente recurso de apelación. 8.2.6.Respecto de la alegada vulneración del artículo 47 del CPACA.
Sostiene la recurrente en su escrito, lo siguiente “La formulación de cargos no fue precisa ni clara porque en la parte resolutiva no se específico (sic) el nombre de los titulares de los datos respecto de los cuales presuntamente se vulneraron algunas disposiciones de la ley 1581 de 2012. En dicho acto administrativo se menciona en la parte motiva a varios titulares de datos, pero no se precisa respecto de cuales de ellos presuntamente se vulneraron las normas citada (sic).
En otra (sic) palabras, la SIC no concretó nada en la parte resolutiva respecto de los titulares de los datos afectados porque, entre otras, tampoco desmostró (sic) respecto de cuales de ellos ser (sic) infringió la regulación sobre tratamiento de datos. En la parte motiva se citan varios titulares de datos, pero en la parte resolutiva no se precisa respecto de cuales de ellos se infringieron las normas citadas en el artículo 1 de la resolución 54534.
Esto es esencial especificarlo no sólo porque lo exige la ley, sino porque le permite al investigado defenderse ya que no son iguales las situaciones de todos los titulares de los datos. No especificar los nombres de los titulares en la parte resolutiva sería tanto como si la Fiscalía formulara cargos de homicidio en abstracto sin especificar el nombre de la persona víctima de ese delito.
La falta de precisión y claridad en este aspecto cerró las puertas para que RISKS INTERNATIONAL SAS pudiese defenderse sobre casos concretos, y las abrió para que la sanción sea igual de general y abstracta como la formulación de cargos. Nótese como la SIC resuelve de manera general y abstracta respecto de una actuación administrativa que empezó con quejosos concretos y plenamente identificados.
Adicionalmente, poco a poco la SIC fue agregando otros titulares. A pesar de tener la información y del deber de demostrar las vulneraciones específicas respecto de titulares determinado (sic), la SIC emitió un (sic) sanción sobre personas abstractas. Sería tanto como un juez emitiera una condena de homicidio sin señalar el nombre de la persona fallecida.
En otras palabras, mientra (sic) el artículo 47 del CPACA exige precisión y concreción, la SIC optó por la generalidad y abstracción en la formulación de cargos y en la sanción. En la actuación que nos ocupa, la SIC ha resuelto de manera general y abstracta una situación que originalmente involucraba a quejosos concretos y plenamente “Por la cual se resuelve un recurso de apelación” identificados.
Durante el curso del procedimiento, la SIC fue añadiendo otros titulares de datos, lo que resultó en la emisión de una sanción que no se dirigió a personas específicas, sino a sujetos abstractos y no individualizados. Esta generalización contraviene el principio de legalidad y certeza en materia sancionatoria. La actuación de la SIC puede compararse a una hipotética sentencia judicial por un delito grave como el homicidio, en la que no se señala el nombre de la víctima.
Tal situación sería inadmisible en el ámbito judicial, y de la misma manera, es inaceptable en el ámbito administrativo, donde se requiere la misma precisión y concreción al momento de imponer sanciones. El artículo 47 del CPACA busca evitar precisamente este tipo de situaciones, garantizando que las personas afectadas por una sanción administrativa conozcan con claridad los cargos en su contra y los hechos específicos que los sustentan, para poder ejercer adecuadamente su derecho de defensa.
Al optar por la generalidad y abstracción en la formulación de cargos y la imposición de la sanción, la SIC no solo ha vulnerado este derecho, sino que también ha comprometido la legitimidad de su actuación”. Antes de pronunciarse sobre este cargo, bien vale recordar el texto del artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, cuyos mandatos alegadamente fueron desconocidos por la Dirección: “ARTÍCULO
47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.
Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.
Contra esta decisión no procede recurso”. (Subraya fuera de texto) El cumplimiento de los requisitos descritos en esta norma garantiza al administrado el pleno ejercicio de su derecho de defensa. Bajo esta premisa y con el fin de resolver el argumento presentado por la recurrente es necesario analizar el acto administrativo mediante el cual la Dirección formuló cargos a RISKS INTERNATIONAL.
En el pliego de cargos, con el que se abre formalmente esta investigación, la Dirección consideró que RISKS INTERNATIONAL, en su calidad de Responsable, respecto del tratamiento de datos personales que se realiza en la plataforma SIRIEST – SISCOM, presuntamente incumplió los deberes establecidos en (i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8 y los literales b) y d) del artículo 4 de la citada Ley y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, (ii) el literal b) del artículo 17 de la Ley 1581 de 2012.
El literal a) del artículo 3, los literales a) y c) del artículo 4 y los artículos 5, 6, y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015. Esta imputación preliminar fue confirmada, en idénticos términos, en la Resolución ahora recurrida. Verificada la totalidad de la actuación administrativa, encuentra la Delegatura que los elementos fácticos y probatorios tenidos en cuenta por la Dirección para la formulación de los citados cargos, son las resultas de la visita administrativa realizada por la Dirección el día 16 de marzo de 2023, la preservación de las páginas web, las comunicaciones recibidas y las demás pruebas allegadas para entonces al expediente.
A partir de esta visita se pudo conocer de primera mano cómo funciona la plataforma SIRIEST – SISCOM, y cómo se adelanta el tratamiento de los datos personales recolectados y almacenados, entre otros, a partir de los reportes que realizan las empresas que cuentan con una suscripción. “Por la cual se resuelve un recurso de apelación” No se trata entonces de una formulación de cargos general y abstracta como lo pretende hacer ver la recurrente.
Es una formulación de cargos en donde se señalan los hechos, en especial, los relacionados con el tratamiento de la información personal a partir de la mentada plataforma, de manera precisa y clara. Esta Delegatura no niega que la Dirección tuvo conocimiento de las actividades de tratamiento de datos personales de RISKS INTERNATIONAL por una denuncia presentada por un tercero. Pero de ahí no se puede válidamente concluir o si quiera sugerir, que hayan sido los términos de la denuncia, los mismos que fundamentaron la resolución de apertura de investigación. La Dirección actuó en el marco de sus funciones de investigación y por eso adelantó labores de indagación preliminar.
Es en este contexto, y de forma previa a la apertura formal de la investigación mediante la formulación de cargos, que se consideró necesario verificar la manera cómo se estaba recolectando la información a la que aludía el quejoso, en la plataforma SIRIEST – SISCOM, como efectivamente se realizó. Y para lo cual se adelantaron sendas visitas administrativas.
Los cargos formulados por la Dirección ofrecían entonces la claridad suficiente para entender por qué existían buenos motivos para considerar que RISKS INTERNATIONAL podría estar incumpliendo sus deberes como Responsable del tratamiento de datos personales. Fueron tan claros que existe plena evidencia, a lo largo del expediente, de que RISKS INTERNATIONAL se defendió en diversas oportunidades, aportando información y cuestionando el alcance de la formulación de los cargos.
Motivos relacionados, principalmente, con el deber de garantizar el derecho al habeas data de los titulares, la obtención de la autorización previa, expresa e informada de los titulares, y el cumplimiento del principio de calidad y veracidad. Situaciones todas bien identificadas en la formulación de los cargos. Sobre las que además la recurrente presentó y ha presentado argumentos orientados a su defensa en términos muy precisos, basados entre otros, en las tesis según las cuales para estos efectos actuaba como encargada y no como responsable, y que el deber de obtener la autorización de los titulares pesaba exclusivamente sobre terceros.
En este orden de ideas, esta Delegatura considera que la Dirección no desconoció los términos del artículo 47 del CPACA, y que estos argumentos de la recurrente son insuficientes para desestimar la validez de la sanción impuesta en la Resolución No. 43121 del 31 de julio de 2024. 8.2.7.Respecto de la no vulneración de los derechos de los quejosos mencionados en la Resolución No. 43121 del 31 de julio 2024.
Sobre este asunto, indica la recurrente lo siguiente: “La SIC tampoco demostró específicamente respecto de cuales titulares de los datos se infringieron las normas que cita en las resoluciones 54534 de 2023 y 43121 de 2024. Frente a lo anterior, surgen estas preguntas ¿la ciudadanía y el investigado debe suponer que esas normas se infringieron respecto de todos los titulares de los datos cuya información es tratada por RISKS INTERNATIONAL SAS en su calidad de Encargo del tratamiento?.
Es mas, ¿la presunta vulneración de esas normas se predica de todos/as los/as colombianas?. En la resolución 43121 de 2024, la SIC cita a varios quejosos, sin embargo, no logra demostrar de manera individualizada y específica cómo los derechos de estos quejosos fueron vulnerados por las acciones de RISKS INTERNATIONAL SAS. La omisión de esta prueba concreta socava la legitimidad de la sanción impuesta, ya que una decisión sancionatoria debe estar respaldada por evidencias claras y contundentes que acrediten la infracción de derechos.
Además, la SIC no logró demostrar específicamente qué normas fueron infringidas en relación con cuáles titulares de los datos. Esta falta de especificidad genera incertidumbre no solo para RISKS INTERNATIONAL SAS, sino también para la “Por la cual se resuelve un recurso de apelación” ciudadanía en general. La pregunta que surge naturalmente es si se espera que tanto la empresa sancionada como el público en general asuman que las normas citadas fueron infringidas respecto de todos los titulares de datos cuya información es tratada por RISKS INTERNATIONAL SAS en su calidad de Encargado del tratamiento”.
De acuerdo con el modelo de negocio ilustrado por la Representante Legal de RISKS INTERNATIONAL en el escrito mediante el cual presentó los descargos, los servicios de la empresa se adquieren a través de suscripción. Quien pueda tener acceso a ella podrá hacer uso de todos los servicios que presta la plataforma SIRIEST – SISCOM, no sólo a las empresas vigiladas por la Superintendencia de Transporte sino también aquellas vigiladas, por ejemplo, por la Superintendencia Financiera o de Sociedades, quienes igualmente tienen el deber de implementar un sistema de prevención de riesgos LA/FT-PADM.
A partir de indicios sobre los tipos de tratamiento de la información personal a través y gracias a estas plataformas, la Dirección procedió a recolectar la información necesaria para determinar si la operación de la plataforma SIRIEST – SISCOM creada, desarrollada y comercializada por RISKS INTERNATIONAL estaba acorde con el deber de garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de habeas data.
Que la Dirección mencionara el nombre de varios titulares que pudieron verse afectados por la mencionada plataforma, e incluso que se pronunciara sobre su situación particular, en especial, al pronunciarse sobre el segundo cargo, no limita la competencia de esta Superintendencia para investigar e identificar cómo RISKS INTERNATIONAL realizaba o realiza el tratamiento de la información de los titulares, de algunos o de todos los titulares, que son reportados por sus clientes y suscriptores.
El alcance de los deberes de los Responsables, en especial, de los establecidos en los literales a y b, del artículo 17 de la Ley 1581 de 2012, no se limita, ni se pueden limitar, a la dimensión subjetiva del derecho al habeas data de los quejosos, incidentales en este asunto, o de cualquiera otra persona. Las competencias de la Dirección no deben ser interpretadas en el sentido de estar orientadas a la protección única y exclusiva de dicha dimensión subjetiva.
Hacerlo así, privaría a esta Delegatura, y a su Dirección de Investigaciones, de “Por la cual se resuelve un recurso de apelación” poder desplegar la garantía de la dimensión objetiva de tales derechos fundamentales. De aceptarse esta tesis se estaría vaciando de competencia a la Dirección y socavándose para siempre el rol de esta Superintendencia como garantía administrativa del derecho fundamental a la protección de datos personales.
Por otra parte, esta Delegatura advierte que la investigación adelantada por la Dirección no versaba sobre el examen de los derechos fundamentales de los titulares que fueron mencionados en el acto administrativo que se revisa. En su momento ese examen fue de competencia de la Dirección de Habeas Data. Las normas infringidas y que fueron objeto de estudio por la Dirección, tanto en la formulación de cargos como en el acto administrativo que se revisa, se encuentran directamente relacionadas con las actividades de tratamiento de datos personales con ocasión y a partir del funcionamiento de la plataforma SIRIEST-SISCOM.
Respecto de estas actividades de tratamiento, la Dirección pudo comprobar que cualquier titular que se encuentre incluido en esta base de datos carece de las condiciones suficientes que le aseguren el pleno y efectivo ejercicio de su derecho de habeas data. Y esto es así, entre otras, porque a partir de las novedades relacionadas con la prevención del riesgo LA/FT-PADM, la información que se almacena necesariamente será de carácter desfavorable o negativa para ese titular.
Y no existen, como pudo evidenciarse en esta investigación, mecanismos y medidas suficientes para otorgar plena certeza sobre la calidad y veracidad de dicha información. Asimismo, esta Delegatura confirma que tampoco existen mecanismos y medidas suficientes para asegurar que la información recolectada y sometida a tratamiento tenga una relación estrecha y específica con “la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”, la alegada finalidad de la mencionada plataforma.
Adicionalmente, de los aspectos que fueron objeto de estudio por la Dirección cuando realizó la visita administrativa, también se pudo determinar que las autorizaciones que allí tenían archivadas no describen, ni le indican al titular de manera clara qué información será recolectada, por cuánto tiempo será almacenada y que la misma podrá ser objeto de consulta por cualquier persona que tenga una suscripción. Conducta que no se aviene a los deberes generales relacionados con la forma y características en que debe ser obtenida la autorización para el tratamiento de datos personales en este contexto.
Por otra parte, es necesario aclarar que no se trata de asumir que las normas relacionadas en la formulación de cargos, y en el acto administrativo ahora bajo examen, afecten en su conjunto a la ciudadanía en general, como lo sugiere la recurrente. Bastaba para la Dirección, y esta Delegatura confirma esta postura, incluir en este universo la información recolectada y almacenada por la plataforma SIRIEST – SISCOM correspondiente a los reportes que pudieron haber realizado las diferentes empresas que cuentan con una suscripción, de acuerdo con las propias certificaciones remitidas por la recurrente21.
Este limitado universo de titulares y de registros de datos personales es suficientemente representativo de los titulares afectados o potencialmente afectados, cuyo derecho al habeas data, así como los derechos que funcionalmente este permite proteger como el buen nombre, la intimidad o el trabajo no estaban completamente garantizados. Finalmente, esta Delegatura recuerda que de acuerdo con lo establecido en el artículo 22 de la Ley 1581 de 2012, para la imposición de una sanción por parte de esta Superintendencia, sólo se requiere demostrar, después del procedimiento administrativo sancionatorio correspondiente, “el incumplimiento de las disposiciones de la presente ley”.
Se hace referencia a las certificaciones allegadas por la recurrente con el complemento al recurso de apelación radicado en el sistema de trámites con el número 21-259141-79 del 16 de agosto de 2024. “Por la cual se resuelve un recurso de apelación” El ejercicio de la potestad sancionatoria de la Superintendencia en estos casos no se activa con, ni depende de, la verificación de una afectación concreta o de la materialización de un daño o perjuicio directo a uno o varios titulares de datos personales plenamente identificados, como lo sugiere la recurrente en sus argumentos.
Depende en cambio (y por eso puede activarse incluso de oficio) del hecho de examinar, verificar y demostrar el desconocimiento de uno o varios de los deberes establecidas en el marco normativo de protección de datos personales. En efecto, el alcance de esta específica potestad sancionatoria que la Ley le encargó a esta Superintendencia no exige para su ejercicio la previa identificación de vulneraciones específicas al habeas data de personas individualmente consideradas, ni la estimación individual de los daños causados, ni mucho menos su tasación específica.
Aspecto que, por cierto, concuerda con el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales. El cual busca, entre otros, minimizar la probabilidad de conductas o situaciones propias de un tratamiento indebido de datos personales que desconozca o pueda desconocer la dimensión objetiva del derecho fundamental a la protección de datos personales.
Por todos estos argumentos, esta Delegatura desestima los argumentos de la recurrente relacionados con la supuesta necesidad de demostrar la vulneración de los derechos de los quejosos como fundamento de validez de la Resolución ahora recurrida. 8.2.8. Respecto de la supuesta creación de una prueba ficticia, utilizada como evidencia determinante.
Sostiene la recurrente que en la presente actuación administrativa se utilizó una prueba ficticia creada por esta Superintendencia. La imagen a la que hace referencia es la siguiente: Y sobre ésta indicó la recurrente lo siguiente: “la SIC utilizó como prueba “determinante” o “decisiva” para sancionar a RISKS INTERNATIONAL SAS una prueba ficticia creada por dicha entidad.
Esto es altamente preocupante porque no solo denota total parcialidad en el proceso administrativo sancionatorio, sino pone en evidencia que RISKS INTERNATIONAL SAS, a pesar de “Por la cual se resuelve un recurso de apelación” haber obrado en derecho, no tenía oportunidad de ser exonerado de los cargos, ni mucho menos salvarse de una sanción. La imparcialidad y la objetividad son principios esenciales que deben guiar cualquier proceso administrativo sancionatorio, especialmente cuando se trata de la imposición de sanciones que pueden afectar gravemente los derechos de las empresas o individuos involucrados.
En el caso que nos ocupa, resulta alarmante observar que la o "decisiva" una prueba ficticia creada por un funcionario de la SIC. Esta actuación es profundamente preocupante por varias razones. En primer lugar, pone en entredicho la integridad y neutralidad del proceso sancionatorio. El uso de una prueba ficticia, que no tiene una base real ni corresponde a hechos verdaderos, constituye una evidente violación del principio de objetividad que debe regir las investigaciones y decisiones administrativas.
La imparcialidad de la autoridad administrativa es un requisito indispensable para garantizar un juicio justo, y el uso de pruebas ficticias demuestra una parcialidad que vicia todo el procedimiento. En segundo lugar, esta situación evidencia que RISKS INTERNATIONAL SAS, a pesar de haber actuado conforme a derecho, se vio privado de la posibilidad real de ser exonerado de los cargos imputados.
Cuando una autoridad administrativa recurre a pruebas ficticias para sustentar una sanción, está negando de facto el derecho de defensa de la parte investigada. Esto no solo infringe los principios del debido proceso, sino que también socava la confianza en la administración pública. Es importante subrayar que en un Estado de Derecho, ninguna persona o entidad puede ser sancionada sin pruebas fehacientes que demuestren, más allá de toda duda razonable, la comisión de una infracción. El uso de pruebas ficticias no cumple con este estándar y, por el contrario, revela un sesgo que afecta gravemente la legitimidad de la sanción impuesta.
Por lo tanto, solicito respetuosamente que se revoque la resolución 43121 de 2024, en razón de la utilización de prueba ficticia por parte de la SIC. Esta decisión es necesaria para restablecer el debido proceso y garantizar que las sanciones administrativas se fundamenten únicamente en pruebas reales, objetivas y verificables. De lo contrario, se estaría legitimando una actuación arbitraria y contraria a los principios de justicia que deben regir todas las actuaciones del Estado”.
Desde que inició la presente actuación administrativa, la Dirección consideró fundamental para su desarrollo, establecer de qué manera funciona y ha funcionado la plataforma SIRIEST – SISCOM, desarrollada y comercializada por RISKS INTERNATIONAL en lo que tiene que ver con el tratamiento de los datos personales. Era necesario por ejemplo establecer cómo son evaluados los reportes que realizan las empresas suscriptoras, qué nivel de importancia se le da a un reporte respecto de otro, y fundamentalmente si ese tratamiento se estaba realizando conforme a las normas establecidas en la Ley 1581 de 2012.
Así, de conformidad con lo establecido en el numeral 5, del artículo 17 del Decreto 4886 de 201122, modificado por el Decreto 092 de 2022, la Dirección procedió a realizar la visita administrativa el día 16 de marzo de 2023, la cual tuvo como objeto “Verificar el cumplimiento de lo dispuesto en la Ley 1581 de 2012 y demás normatividad vigente, en lo referente al acceso y circulación restringida de la información, construcción de bases de datos, en particular, la denominada SIRIEST; así como los deberes de garantizar el derecho de habeas data, la obtención de autorización, confidencialidad y el tratamiento de datos sensibles”.
De acuerdo con el Acta, el personal de RISKS INTERNATIONAL conforme lo solicitado por los funcionarios de la Dirección, describieron el funcionamiento de la plataforma SIRIEST – SISCOM. Mostraron cuáles son las novedades relacionadas con la prevención del riesgo LA/FT-PADM, explicaron cómo pueden realizarse los reportes de informaron y quién realiza la validación de estos.
Descripción que coincide con el procedimiento de funcionamiento de la herramienta que fuera allegado por la Representante Legal en el escrito de descargos23.
ARTÍCULO
17. FUNCIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES. <Artículo modificado por el artículo 7 del Decreto 92 de 2022. El nuevo texto es el siguiente:> Son funciones de la Dirección de Investigaciones de Protección de Datos Personales: 5. Realizar visitas de inspección, decretar y practicar pruebas y recaudar la información conducente, con el fin de verificar el cumplimiento de las disposiciones legales en materia de protección o tratamiento de datos personales.
Radicado No. 21-159141-47 del 27 de octubre de 2023. “Por la cual se resuelve un recurso de apelación” Sobre este aspecto en particular, esta Delegatura reitera lo indicado por la Dirección en la Resolución No. 48002 del 23 de agosto de 2024: “En primer lugar, esta Dirección se referirá a la imagen relacionada en el folio 26 de la Resolución 43121 del 31 de julio de 2024.
En este punto, es de vital importancia poner en contexto la mencionada prueba para recordar cuál fue el valor probatorio que le fue asignado de cara a las sanciones impuestas. Así, en el numeral 8.2.2 relacionado con el “deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data” al momento de analizarse la conducta desplegada por la sociedad RISKS INTERNATIONAL S.A.S., se tuvieron en cuenta los hallazgos obtenidos en la visita administrativa llevada a cabo el 16 de marzo de 2023, mediante la cual los funcionarios a cargo solicitaron a los representantes de la inspeccionada presentar el modelo de operación de esa sociedad, así como el contenido y ciclo de los datos de la base de datos denominada SIRIEST.
De esta manera, tal como se aprecia a partir del folio 22 y hasta el folio 25, el despacho se remite a la descripción general suministrada por la sociedad RISKS INTERNATIONAL S.A.S., respecto al proceso para la inclusión de un reporte (novedad) en el historial de los conductores de transporte de carga, alineando dicha exposición con lo también manifestado a lo largo de la actuación administrativa por la investigada.
Es en el folio 25 en el cual se trae a colación un hallazgo puntual frente al reporte efectuado en los registros del titular a quien le fue atribuida la apropiación de un anticipo, sin su autorización y conocimiento previos. De otra parte, se cita la imagen obtenida como producto del ejercicio de visualización del sistema SIRIEST-SISCOM, en efecto requerido por miembros de esta Superintendencia, a fin de constatar cómo “se aprecia la consulta de una novedad” por parte de los usuarios-suscriptores que acceden a esa base de datos para verificar el historial de un conductor.
Así, basta con observar los datos de la consulta en la parte inferior de la imagen, para confirmar que esta pertenece a aquella obtenida en medio de la visita “a fin de obtener una muestra más real de los hechos.” De lo anterior se desprende que la prueba cuestionada no es, ni obedece al extraño epíteto de “ficticia” como lo indica la recurrente.
Se trata de una prueba debidamente practicada y allegada al expediente. Útil además para la cabal comprensión del funcionamiento de la plataforma SIRIEST-SISCOM respecto al tratamiento de los datos personales. La imagen a la que hace referencia la recurrente no es “ficticia”; representa en cambio la visualización realizada, ese día y hora, al sistema de información de la base de datos SIRIEST-SISCOM.
De otra parte, esta Delegatura hace notar que la recurrente no cuestiona el fondo, ni el contenido de la prueba allegada al expediente. Esta prueba documental fue producida válidamente e incorporada al expediente en debida forma. Y lo fue, porque la Dirección se limitó a reproducir el out-put o la salida que arrojó, en esa oportunidad, el acceso a la base de datos SIRIEST-SISCOM.
La práctica de este tipo de pruebas, en las que las autoridades toman conocimiento directo del funcionamiento de sistema de información, es perfectamente válido. Sobre todo, cuando se busca precisamente allegar evidencia o demostrar el funcionamiento de un sistema de información como parte del síndrome probatorio de un caso. La validez de este tipo de pruebas ha sido refrendada en la práctica por la Corte Constitucional que, guardando las proporciones, la practicó y la incorporó al expediente del caso que se resolvió mediante la Sentencia T-323 de 2024.
En este caso, la Sala Segunda de Revisión de la Corte Constitucional se pronunció sobre si la consulta a ChatGPT por parte de un juez de tutela sobre la forma en que debía resolverse un caso podía considerarse una violación del debido proceso. En sede de revisión, la Sala ordenó la práctica controlada y simulada de sendas consultas a ChatGPT, con el propósito de contrastar estas pruebas con las demás que constaban en el expediente, y con las respuestas iniciales ofrecidas por ChatGPT al juez de instancia, como consta en la consideración 247 de dicha Sentencia, que transcribimos: 247.
La anterior situación se evidencia en la diligencia de consulta en la plataforma ChatGPT, versión 3.5.[198] que se practicó en sede de revisión, en la que tres funcionarios del despacho sustanciador iniciaron sesión en dicha herramienta desde dispositivos y cuentas distintas para realizar las preguntas que formuló el Juez del Circuito, con tres enfoques diferenciados.
“Por la cual se resuelve un recurso de apelación” Uno de los servidores planteó exactamente los mismos interrogantes, otro contextualizó al sistema antes de cada pregunta indicándole «soy un juez laboral de la República de Colombia», y un tercero, hizo lo propio identificándose como estudiante de derecho de una universidad en Colombia. A continuación, se transcribirán tanto las preguntas como las respuestas que le suministró ChatGPT al juez de tutela de segunda instancia, al funcionario del despacho sustanciador que realizó las mismas preguntas y a aquel que le manifestó ser un juez laboral en Colombia[199].
(negritas fuera de texto) Como puede verse, la “diligencia de consulta” sobre un sistema de información decretada por la Sala de Revisión de la Corte Constitucional, lejos de aparecer como una situación ilegal, impertinente, improcedente o como una “prueba ficticia”, es un mecanismo probatorio válido, para allegar información relevante para resolver el problema jurídico del caso entonces bajo estudio.
En el presente caso, mutatis mutandis, la Dirección practica una prueba sobre un sistema de información y allega al expediente la documental en la que consta la interacción entre el usuario y la plataforma, con información relevante y pertinente en el contexto del caso. Documental que una vez allegada al expediente estuvo y ha estado abierta al debate sobre su mérito, contenido y alcance para demostrar los hechos en que se fundamentó la responsabilidad administrativa de la ahora recurrente.
Por las anteriores razones, esta Delegatura desestimará por infundado el argumento según el cual la Dirección allegó al expediente una supuesta “prueba ficticia”. 8.2.9. Respecto de la alegada violación al debido proceso por no aplicación de la presunción de inocencia de RISKS INTERNATIONAL. Afirma la recurrente lo siguiente: “Es fundamental recordar que el principio de presunción de inocencia es un pilar del debido proceso, aplicable no solo en el ámbito penal, sino también en el administrativo sancionador, según lo estipulado en el mencionado artículo 3 del CPACA.
Este principio implica que cualquier entidad administrativa debe partir de la premisa de la no culpabilidad de las personas naturales o jurídicas sometidas a su evaluación, garantizando así un tratamiento equitativo y justo durante todo el procedimiento. En el presente caso es palpable la violación del debido proceso frente a RISKS INTERNATIONAL SAS porque no se presumió su inocencia sino su culpabilidad (sic) y, de hecho, se le sancionó acudiendo a pruebas ficticias creadas por la SIC.
La SIC sancionó a RISKS INTERNATIONAL SAS con base en pruebas ficticias o carentes de veracidad. La utilización de pruebas ficticias, lejos de cumplir con los fines del derecho sancionador administrativo, desvirtúa el propósito esencial de la administración pública y atenta contra los derechos fundamentales de las partes involucradas. Tal conducta, no solo compromete la validez del acto administrativo sancionador, sino que también afecta la confianza en las instituciones encargadas de velar por el respeto a los derechos de los administrados”.
El artículo 22 de la Ley 1581 de 2012, establece lo siguiente:
ARTÍCULO 22. TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.
En relación con el citado artículo en la ya citada sentencia C – 748 de 2011, la Corte Constitucional manifestó: “Este poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos".
“Por la cual se resuelve un recurso de apelación” Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción24.
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar25.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Conforme lo anterior, una vez se haya determinado a través del procedimiento administrativo correspondiente, que un Responsable o Encargado vulneró el régimen de protección de datos, podrá la administración imponer la sanción correspondiente teniendo en cuenta lo dispuesto en los artículos 23 y 24 de la Ley 1581 de 2012. Por otra parte, según el Consejo de Estado, los principios de presunción de inocencia y de “in dubio pro administrado”, admiten modulaciones en derecho administrativo sancionatorio que incluso podrían conducir a su no aplicación. En efecto, acepta el Consejo de Estado, existen procedimientos administrativos sancionatorios en los que se parte de la regla inversa: se presume la culpabilidad, de forma tal que la carga de la prueba se desplaza al presunto infractor y para que éste no sea declarado responsable debe demostrar durante la actuación administrativa que actuó diligentemente (…).
No se trata de un régimen de responsabilidad objetiva sino de una reasignación de la carga probatoria, la responsabilidad sigue siendo subjetiva porque como se desprende de lo afirmado existe la posibilidad de exoneración comprobando un comportamiento ajustado al deber objetivo de cuidado26. El argumento de una supuesta vulneración a la presunción de inocencia de RISKS INTERNATIONAL, por las razones ahora alegadas por la recurrente no tiene cabida.
Primero porque no es cierto, como ya se demostró, que hubiese sido incorporado al acervo probatorio que fundamentó la decisión una supuesta “prueba ficticia” (vid., supra 8.2.8). Segundo, porque no ve cómo se pueda construir un argumento por violación a la presunción de inocencia a partir del debate sobre el mérito de una prueba, entre las múltiples pruebas (que exceden las dos decenas) en las que se fundamenta la decisión. Y tercero porque no se ve cómo la Dirección pudo haber si quiera vulnerado esta garantía procesal en el presente caso, por el tipo de procedimiento administrativo sancionatorio que ya describimos, y por la forma en que se desarrolló el procedimiento: indagación preliminar, apertura formal, formulación de cargos, periodo probatorio y decisión sancionatoria.
Un proceso en el que, siguiendo las ritualidades del procedimiento administrativo, se planteó la hipótesis, que después se logró demostrar, con plena garantía del debido proceso, de que RISKS INTERNATIONAL vulneró los deberes legales por cuyo incumplimiento resultó Cfr. Sentencia SU-1010 de 2008. Cfr. sentencia C-401 de 2010. M.P. Luís Ernesto Vargas Silva.
Sentencia proferida por el Consejo de Estado Sala de lo Contencioso Administrativo, Sección Tercera dentro del radicado No. 05001-23-24-000-1996-00680-01(20738) de fecha 22 de octubre de 2012. “Por la cual se resuelve un recurso de apelación” sancionada en primera instancia. Por tanto, el argumento se desestimará por carecer de fuerza para desvirtuar la validez de la decisión recurrida. 8.3.
Complemento al escrito de apelación presentado dentro del Radicado No. 21-259141-78 del 16 de agosto de 2024. Considera la recurrente que la Dirección le vulneró el debido proceso en la medida que no tuvo en cuenta los alegatos de conclusión presentados, para lo cual indicó: “No es cierto que RISKS presentó los alegatos extemporáneamente.
En efecto, RISKS INTERNATIONAL SAS envió los alegatos de conclusión el 13 de febrero mediante correo remitido a las direcciones:,. Los alegatos fueron enviados de la dirección de Dario Acevedo de la Dirección Legal y de Cumplimiento. El asunto del correo es el siguiente: “Subject: Alegatos de conclusión conforme a la Resolución 1241/2024.
Radicado 21-259141.” De acuerdo con lo indicado por la recurrente, advierte la Delegatura que la Dirección, mediante Resolución No. 48002 del 23 de agosto de 2024, de conformidad con lo establecido en el artículo 79 del CPACA, abrió el periodo probatorio y decretó la práctica de la siguiente prueba:
ARTÍCULO 3: DECRETAR de oficio la prueba consistente en requerir a la OFICINA DE TECNOLOGÍA E INFORMÁTICA (OTI) y al GRUPO DE TRABAJO DE GESTIÓN DOCUMENTAL Y ARCHIVO, a efectos de que verifique e informe el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos de conclusión conforme a la Resolución 1241/2024.
Radicado 21259141”, y, en caso de que proceda, solicitar la indexación al expediente 21-259141. A través del radicado 21-259141-95-0 del 27 de agosto de 2024, la Coordinación del Grupo de Trabajo de Servicios Tecnológicos informó lo siguiente: “De acuerdo con su solicitud “verificar e informar el estado de la recepción del correo electrónico remitido desde la dirección legal@risksint.com el 13 de febrero de 2024 al canal contactenos@sic.gov.co, bajo el asunto “alegatos de conclusión conforme a la Resolución 1241/2024.
Radicado 21-259141”.” No se encuentran evidencias según criterio informados, se realizan 2 búsqueda (sic) Envió las evidencias” Asimismo, con el radicado 21-259141-98 del 03 de septiembre de 2024, la Coordinación del Grupo de Trabajo de Gestión Documental y Archivo respecto del requerimiento realizado por la Dirección informó: “le informó (sic) que una vez revisada la cuenta de correo contactenos@sic.gov.co, no se logra ubicar ninguna (comunicación) enviada desde la cuenta legal@risksint.com, con fecha 13 de febrero de 2024, a la investigación 21-259141.” De conformidad con lo anteriormente indicado, se encuentra suficientemente probado que los alegatos de conclusión fueron presentados de manera extemporánea por parte de RISKS INTERNATIONAL, por lo que no es válido indicar que en la presente actuación administrativa se vulneró su debido proceso. 8.4.
Complemento al escrito de apelación presentado dentro del Radicado No. 21-259141-79 del 16 de agosto de 2024. Indicó la recurrente lo siguiente: “Es muy extraño que en la resolución se refieran simplemente a “documentos” cuando en el encabezado de todos y cada uno de ellos dice “CERTIFICACION.ENCARGADO DE TRATAMIENTO DE DATOS PERSONALES”.
Esos documento (sic) corresponden a pruebas contundentes de mas (sic) de 25 empresas que certifican que RISKS obra como ENCARGADO DEL TRATAMIENTO. NO obstante lo anterior, la SIC solo las mencionó, pero no las analizó. La (sic) pasó por alto. Las ignoró a pesar que son cruciales para demostrar la naturaleza de ENCARGADO DEL TRATAMIENTO que tiene RISK.
“Por la cual se resuelve un recurso de apelación” La omisión de pruebas contundentes es una grave negligencia de la SIC y una omisión que perjudica gravemente a RISKS. De qué le sirve al investigado presentar pruebas cruciales para su defensa, si la SIC las omite analizar sin justificación alguna?. Se vulneró el derecho de defensa de RISKS porque la SIC no tuvo en cuenta las pruebas que demostraban el carácter de ENCARGADO DE TRATAMIENTO DE DATOS de dicha empresa.
En otras palabras, la SIC, a pesar de la evidencia clara y contundente que aportó al proceso RISKS, la ignoró y decidió sancionar a la citada empresa Es fundamental destacar que en el presente caso se ha vulnerado de manera grave el derecho de defensa de RISKS INTERNATIONAL SAS. La Superintendencia de Industria y Comercio (SIC) no solo omitió la consideración de pruebas esenciales presentadas por la empresa, sino que, al hacerlo, contravino de manera directa los principios fundamentales que rigen las actuaciones administrativas en Colombia.
En efecto, RISKS INTERNATIONAL SAS aportó pruebas claras y concluyentes que demuestran su rol como Encargado del Tratamiento de Datos y no como Responsable del mismo, distinción que es crucial para la correcta aplicación de la normatividad vigente. Sin embargo, la SIC optó por ignorar esta evidencia, lo cual condujo a la imposición de una sanción que carece de fundamento legal y que compromete la justicia del proceso.
El artículo 3° de la Ley 1437 de 2011, que establece los principios que deben regir las actuaciones administrativas, es claro al disponer que dichas actuaciones se desarrollarán de acuerdo con los principios del debido proceso, igualdad, imparcialidad, y buena fe, entre otros. Dentro de este marco, el principio del debido proceso exige que las actuaciones administrativas se conduzcan con estricta observancia de las normas de procedimiento y competencia, garantizando en todo momento el derecho a la defensa, a la contradicción y a la representación. En este sentido, la omisión de la SIC al no valorar las pruebas aportadas por RISKS INTERNATIONAL SAS representa una violación flagrante de estos principios.
No tomar en cuenta dichas pruebas no solo quebranta el debido proceso, sino que además compromete la imparcialidad y la transparencia que deben caracterizar toda actuación administrativa. Se ha privado a RISKS INTERNATIONAL SAS de defensa, lo que inevitablemente ha conducido a una decisión arbitraria e injusta”. En resumen, la recurrente afirma que su rol, en relación con la plataforma SIRIEST – SISCOM, es el de Encargado de tratamiento.
Su argumento central es que sus suscriptores son quienes están en la obligación y tienen el deber de solicitar directamente a los titulares la autorización para el tratamiento de sus datos personales. Situación que, alega, se demuestra con cerca de 25 documentos privados en los que diferentes empresas “certifican” lo anterior y que supuestamente no fueron considerados por la Dirección, lo cual afectó su debido proceso.
Pasa el Delegatura a pronunciarse sobre este asunto. El artículo 3 de la Ley 1581 de 2012 define los términos de Encargado y Responsable del tratamiento de la siguiente manera: d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
Esta distinción ha sido desarrollada jurisprudencialmente por la Corte Constitucional en la Sentencia C-748 de 2011, en donde precisó lo siguiente: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos [189]27. Estos conceptos parecen ser tomados del artículo 2 de la Directiva 95/46/CE, que los define así: «responsable del tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario; «encargado del “Por la cual se resuelve un recurso de apelación” (…) El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.
También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.[192]28 Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.
Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos [193]; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.
(…) Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.” La Corte también advirtió que: “(…) no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.[196] (…) corresponderá a la autoridad competente (…) examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].
Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita;
(ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho.
(…) En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta[199].” (resaltado fuera del texto) En definitiva, según la jurisprudencia de la Corte Constitucional, el responsable del tratamiento de datos puede determinarse a partir de: (i) una competencia legal explícita, cuando una norma ordena o habilita la recolección y tratamiento de los datos;
(ii) una competencia jurídica implícita, cuando el tratamiento de tratamiento»: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trate datos personales por cuenta del responsable del tratamiento. En la Directiva 1/2010 sobre el concepto de encargado del tratamiento, se afirma: “(…) para poder actuar como encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste” “Por la cual se resuelve un recurso de apelación” los datos es inherente a la actividad desarrollada; y (iii) la capacidad de influencia de hecho, cuando, sin mediar competencia legal o jurídica expresa, existe la posibilidad real de decidir sobre el tratamiento de datos personales.
Cuando no sea posible identificar de manera clara al responsable del tratamiento de datos, las autoridades deberán presumir la responsabilidad solidaria de todos los agentes como posibles responsables, para garantizar la protección efectiva de los derechos consagrados en el artículo 15 de la Constitución. Frente al caso ahora bajo estudio, para esta Delegatura es clara la condición de responsable del tratamiento de datos personales de RISKS INTERNATIONAL, en virtud de su capacidad de influencia de hecho, representada en la posibilidad real de decidir sobre las finalidades y los medios del tratamiento de la plataforma SIRIEST-SISCOM.
En efecto, RISKS INTERNATIONAL, de acuerdo con lo informado en el escrito de descargos desarrolla, administra y comercializa la plataforma SIRIEST y su sistema de información compartida SISCOM. La herramienta funciona, entre otras, a partir de la solicitud de reporte que realizan los suscriptores, con el cual se entrega, además, la documentación adicional que la soporta.
Sin embargo, es RISKS INTERNATIONAL quien decide a partir del análisis que realice de la información aportada si aprueba o rechaza el reporte, asimismo, es quien determina las reglas para su circulación y acceso por parte de los clientes suscriptores. La calidad de encargado o de responsable no es una situación que dependa de una suerte de autorreconocimiento del sujeto vigilado.
No es una cuestión que esté librada a la voluntad del agente o de terceros eventualmente interesados en ello. Es un asunto que sobre todo concierne a la materialidad del tratamiento, a la definición empírica del alcance y la naturaleza de las actividades que desarrolla el agente en relación con las actividades de tratamiento de datos personales.
La calidad de encargado o de responsable tampoco depende de una atribución formal. Como la afirma la Corte Constitucional en el aparte de la jurisprudencia citada: “no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición”.
Y esta Delegatura añade que, si no basta para ello con que lo mencione la ley o incluso un contrato, mucho menos bastará lo afirmado por terceros mediante documentos privados, independientemente de cuál sea su número. Son los hechos, el funcionamiento efectivo, la descripción de cómo se adelanta el tratamiento de los datos personales, el análisis de quiénes y cómo toman las decisiones, cómo se realizan los accesos y consultas, cómo se adelanta la verificación de la información, cómo se clasifica y se organiza la información en un sistema o plataforma, en últimas, son todos estos hechos en su conjunto, los que permiten saber, desde el punto de vista material, si una persona actúa como responsable o como encargado del tratamiento, en los términos y bajos los criterios definidos en la Ley y en la Jurisprudencia. Entonces, no es cierto que la Dirección ignorara y no valorara las pruebas documentales indicadas por la recurrente.
Simplemente no les dio el mérito que la recurrente pretendía, porque no lo tenían y no lo podían tener a partir de la descripción del funcionamiento de la plataforma SIRIEST-SISCOM respecto de la cual es claro, muy claro, el rol de responsable de RISKS INTERNATIONAL. Descripción ésta a la que se ha hecho referencia varias veces, que consta debidamente en este expediente y que fue posible gracias a las visitas administrativas practicadas y a las explicaciones de la recurrente.
Por las anteriores razones, se desestima el mérito de estos argumentos para desvirtuar la validez de la Resolución ahora bajo estudio. “Por la cual se resuelve un recurso de apelación” 8.5. Complemento al escrito de apelación presentado dentro del Radicado No. 21-259141-83 del 16 de agosto de 2024. Argumenta la recurrente lo siguiente: En Colombia todo dato personal es, por defecto, de naturaleza pública salvo que se catalogue como semiprivado, privado o sensible La regulación colombiana considera como dato público todo aquel que, entre otras, no sea privado, semiprivado o sensible.
En otras palabras, por defecto los datos personales son de naturaleza pública tal y como se puede constatar en el numeral 2 del artículo 3 del decreto 1377 de 2013 y el literal f) del artículo 3 de la Ley Estatutaria 1266 de 2008. (…) Son datos de naturaleza pública los relacionados con la profesión u oficio. La regulación actual cataloga como dato público los relativos, entre otras, a la profesión u oficio de una persona.
Según el diccionario de la Lengua Española, la palabra relativo significa: ” Que guarda relación con alguien o con algo”. Dado lo anterior, puede afirmarse que el cumplimiento de los deberes profesionales de una persona (un trasportador, un conductor, etc) guarda relación con la profesión u oficio de una persona en la medida (sic) se refiere la calidad de los servicios que presta con ocasión de su profesión u oficio.
No son reservados todos los datos personales contenidos en la historia laboral La Corte Constitucional en la sentencia C-951 del 4 de diciembre de 2014 precisó que la reserva general sobre la historia laboral no es absoluta, ni se predica a la totalidad de la información contenida en la historia laboral, sino sólo a aquellos de naturaleza sensible.
Concluyo la Corte: “no todos los datos que reposan en las hojas de vida, la historia laboral, los expedientes pensionales y demás registros de personal están cobijados por la reserva, sino solamente aquellos que tocan con el ámbito privado e íntimo de las personas, que se ha considerado como datos sensibles. Por el contrario, no estarán sujetos a reserva aquellos datos que tengan relevancia pública y no encajen en la categoría de datos personales sensibles”.
(…) Es de naturaleza pública la información relacionada con el cumplimiento o incumplimiento de las obligaciones profesionales y contractuales de los conductores y cualquier profesional. Con el debido respeto hacia este honorable tribunal (sic), es imperativo señalar que la Superintendencia de Industria y Comercio (SIC) ha incurrido en un error jurídico al considerar que la información sobre el cumplimiento o incumplimiento de las obligaciones profesionales de un conductor constituye información sensible.
Esta interpretación es contraria a lo dispuesto en el Decreto 1377 de 2013, el cual, en su artículo 3°, establece claramente que los datos relativos a la profesión u oficio de una persona son de naturaleza pública. La definición de "dato público" en el mencionado decreto incluye explícitamente aquellos datos relacionados con la profesión u oficio, por lo que la manera en que un profesional o trabajador cumple con sus obligaciones se encuentra, sin duda, dentro de esta categoría. Considerar esta información como dato personal sensible, como lo ha hecho la SIC, implica una interpretación extralegal que no solo es incorrecta desde el punto de vista normativo, sino que también pone en riesgo los principios fundamentales del derecho, tales como la justicia e imparcialidad.
Es preocupante y contrario al Estado de Derecho que en procesos sancionatorios se arribe a conclusiones que van más allá de lo que la ley establece, utilizando interpretaciones que alteran el contenido de las normas vigentes. Este tipo de prácticas no solo vulnera los derechos de las personas investigadas, sino que también crea un peligroso precedente en la aplicación de la ley, permitiendo que decisiones sancionatorias se fundamenten en criterios interpretativos subjetivos, en lugar de en las disposiciones claras y expresas de la legislación. En este contexto, es fundamental reafirmar que cualquier interpretación que modifique el sentido de las normas debe ser rechazada, ya que socava la seguridad jurídica y el debido proceso.
Por lo tanto, solicito respetuosamente a este tribunal (sic) que considere la ilegalidad de la conclusión a la que ha llegado la SIC y se reconozca que la información en cuestión, al estar relacionada con la profesión u oficio, es de carácter público y no sensible, conforme a lo establecido en la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013.
“Por la cual se resuelve un recurso de apelación” Catalogar como información sensible datos que, según la ley, son claramente públicos, es un precedente peligroso que compromete la imparcialidad y la justicia del proceso sancionatorio. Es esencial que en el análisis de la naturaleza de los datos personales se garantice una interpretación fiel a lo establecido en la normativa vigente, para evitar que, mediante interpretaciones extensivas, se vulneren derechos fundamentales o se incurra en extralimitaciones que podrían comprometer la justicia y la equidad.
El Decreto 1377 de 2013, en su artículo 3, define claramente que los datos relativos a la profesión u oficio son considerados datos públicos. Esta clasificación es categórica y no admite excepciones implícitas. La labor profesional de un individuo, así como la manera en que este cumple con sus obligaciones, forma parte indiscutible de la información que la sociedad tiene derecho a conocer, precisamente porque tales datos se refieren a la calidad del servicio que el profesional o trabajador ofrece, lo cual tiene un impacto directo en la comunidad.
Por lo tanto, concluir que la información sobre el cumplimiento de las obligaciones profesionales de un conductor puede ser catalogada como información sensible contradice lo dispuesto por la normativa. Esta conclusión no solo es inconsistente con el texto expreso del Decreto 1377, sino que además podría crear un precedente peligroso, donde las entidades administrativas se extralimiten en sus funciones, invadiendo áreas que la ley no ha contemplado.
Catalogar como información sensible datos que, según la ley, son claramente públicos, no solo altera el marco jurídico aplicable, sino que también compromete la imparcialidad y la justicia del proceso sancionatorio. El Estado de Derecho exige que las normas sean aplicadas conforme a su sentido natural y obvio, y que cualquier modificación a su alcance sea realizada por las vías legislativas correspondientes, no mediante interpretaciones administrativas que desvirtúan el propósito del legislador.
Además, este tipo de interpretaciones no alineadas con la ley vigente puede llevar a una afectación injusta de los derechos de los investigados, quienes verían comprometida su capacidad de defensa frente a cargos basados en interpretaciones legales improcedentes. En un sistema jurídico que se precia de garantizar la justicia y el debido proceso, resulta inadmisible que se utilicen conclusiones extralegales como fundamento para la imposición de sanciones”.
De acuerdo con lo expuesto por la recurrente, la Dirección incurre en un error de derecho al considerar que ciertos tipos de datos personales, como los “relativos a la profesión u oficio” o al “cumplimiento de obligaciones profesionales de un conductor” son datos sensibles. Asimismo, indica como un “precedente peligroso” catalogar como información sensible, datos que son claramente públicos.
Considera que tales interpretaciones de la ley afectan el principio de legalidad y el debido proceso. Pasa la Delegatura a analizar estos argumentos. 8.5.1 De las clasificaciones de los datos personales, el carácter de los datos sensibles, su definición y el listado abierto del legislador estatutario. El literal c) del artículo 3 de la Ley 1581 de 2012, define el dato personal como “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.
Por su parte, la Ley 1266 de 2008 en su artículo 3, definió y clasificó el dato personal como se indica a continuación: e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley.
Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley.
Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el “Por la cual se resuelve un recurso de apelación” dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.
Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. Ahora, el artículo 2.2.2.25.1.3 del Decreto 10174 de 2015, que incorporó el Decreto 1377 de 2013, definió el dato público en los siguientes términos: 2. Dato público. Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público.
Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. La Corte Constitucional respecto de la clasificación de los datos personales, mediante sentencia SU-139 del 14 de mayo de 2021 indicó: 73. las normas sobre la materia y esta Corte, además de ocuparse sobre el concepto de dato personal, también se han referido muy especialmente a su clasificación. Aun cuando existen diferentes criterios para clasificar los datos personales, para los fines de esta sentencia, es necesario considerar dos criterios de manera específica.
El primero hace referencia al interés que recae sobre un dato y a los límites que tiene su acceso. El segundo atiende a la sensibilidad del mismo o al riesgo que representa para su titular. ( ) 79. Como puede advertirse, este último grupo del primer criterio de clasificación tiene plena conexión con el segundo criterio, el cual alude a la sensibilidad del dato y al riesgo que representa para su titular.
Así, el artículo 5 de la Ley 1581 de 2012 29[78] dispuso que los datos sensibles son aquellos “que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”. 80.
En este punto, vale destacar que la clasificación de los datos personales tiene un sentido práctico fundamental, pues, en rigor, constituye un criterio sumamente relevante para definir los límites a su divulgación y para tener certeza sobre su estándar de protección. Así las cosas, el sujeto u entidad que tiene a su cargo la administración de los datos debe valerse de tales elementos para el correcto tratamiento de la información y para la debida aplicación de los principios que gobiernan la administración de los datos personales, ya que la garantía efectiva del derecho fundamental al habeas data está asociada al cumplimiento de estos últimos.
(negritas fuera de texto) En resumen, es claro que el régimen jurídico de la protección de datos personales colombiano incluye varias clasificaciones de los datos personales, a partir de incorporar criterios ontológicos y funcionales. Estos criterios han sido empleados tanto por el Legislador como por la Corte Constitucional como parte de su ejercicio de precisar el alcance de los derechos y deberes de los distintos actores que participan en el tratamiento de datos personales.
Dicho esto, esta Delegatura considera que la Dirección, lejos de incurrir en una aplicación indebida de tales criterios para caracterizar el tipo de información sometida a tratamiento por RISKS INTERNATIONAL en las plataformas tantas veces mencionadas, se limitó a una aplicación razonable de los mismos, como se indicará enseguida, a partir de retomar la tipología de novedades relevantes para realizar los reportes que el propio RISKS INTERNATIONAL reconoció dentro de este proceso.
Aspecto este central del análisis y que la recurrente parece rehuir en su argumentación. RISKS INTERNATIONAL ofrece a sus suscriptores, como se dijo en líneas anteriores, un listado de novedades para ser consideradas para un eventual reporte relacionado con el riego LA/FT-PADM, en la plataforma SIRIEST – SISCOM, a saber: [78] “Por la cual se dictan disposiciones generales para la protección de datos personales.” “Por la cual se resuelve un recurso de apelación” 1.
“No relacionada: Este ítem no especifico en concreto a la novedad a reportar. (Referente a esta no es usada porque no corresponde a ningún hecho generador) 2. Anticipo presenta Apropiación de anticipo e incumplimiento de inicio de viaje. (Corresponde a un riesgo Operativo, ya que corresponde a una perdida sufrida en la operación del sector transporte, correspondiente a la perdida de dinero y el no perfeccionamiento del contrato de transporte) 3.
Presunto incumplimiento de contrato de carga por presunto hurto o piratería. (Corresponde a riesgo operativo y reputacional, en el entendido que se genera una perdida a la empresa, lo cual genera mala imagen y reputación con proveedores, contratistas y terceros en la operación) 4. Presunto incumplimiento por falta de entrega parcial destino faltante (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 5.
Noticias ante la FGN – Hecho Notorio. (Riesgo contagio, por haber tenido o tener vínculos) 6. Presunto incumplimiento en el cargue de mercancía despacho. (Riesgo operativo, financiero genera pérdidas económicas) 7. Información pública (Riesgo contagio, por haber tenido o tener vínculos) 8. Noticias medios públicos. (Riesgo contagio, por haber tenido o tener vínculos) 9.
No supero (sic) la revisión documental interna aparente inconsistencia documental. (Riesgo legal, puede incurrir en un incumplimiento de contrato por la perdida, o por no contar con la experiencia para manejo de cierto tipo de mercancías) 10. Presento (sic) incumplimiento por falta de entrega por accidente de tránsito. (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 11.
Presunto riesgo de contagio LAFT. (Corresponde a riesgo de contagio, está definido como un impacto que puede generar a vinculación con personas que estén directa o indirectamente asociada a conductas LAFT) 12. Presunto riesgo LAFT por presuntos delitos conexos LAFT. (Riesgo legal, reputacional, operativo, contagio, en el entendido que vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgo en la operación) 13.
Inclusión en lista LAFT vinculantes. (Riesgo legal, reputacional, operativo, contagio, en el entendido que vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgo en la operación) Según lo alegado por la recurrente todos los datos personales que tenga una empresa para soportar un reporte, conforme a cualquier novedad que se pueda presentar, son de naturaleza pública.
Esta afirmación no es cierta. Pero sobre todo desestima una situación particular propia y específica del tratamiento de datos personales que se realiza a través de la mentada plataforma SIRIEST-SISCOM: el carácter desfavorable o negativo de las “novedades”. En efecto, Una vez verificadas cada una de las citadas “novedades” evidencia esta Delegatura que la información que se recolecte para justificar el reporte en la plataforma SIRIEST - SISCOM, independiente de la fuente o de la clase, necesariamente será desfavorable para el titular respecto de quien se realiza ese reporte.
Esto se desprende de la explicación seguida entre paréntesis sobre cada ítem, encabezada con la expresión riesgo: “legal”, “reputacional”, “operativo” o “contagio”, pero también del alegado propósito o finalidad de dichas bases de datos relacionada con la “prevención, detección, monitoreo y control, del lavado de activos y del financiamiento del terrorismo” La naturaleza o la connotación de información personal negativa de toda esta información merece una atención especial.
Desde la Sentencia C-185 de 2003, “Por la cual se resuelve un recurso de apelación” la Corte Constitucional ha considerado la información personal negativa como un tipo especial de información a la que deben aplicarse de manera estricta los principios de la administración de datos personales, en especial, los principios de veracidad y calidad de la información, y el principio de caducidad.
Por una razón sencillísima que es la que liga este tipo de información a la información de carácter sensible: la misma puede ser utilizada con fines discriminatorios. Valga la cita pertinente de la Sentencia C-185 de 2003. Por otro lado, ha sido jurisprudencia de esta Corte que la información negativa u odiosa, es decir aquella que asocia una situación (no querida, perjudicial, socialmente reprobada o simplemente desfavorable) al nombre de una persona, esté sometida a un término de caducidad bajo la idea de su permanencia limitada en el tiempo.
En este sentido la Corte le ha reconocido validez al principio de caducidad o de temporalidad de la información negativa, lo que implica que la información personal desfavorable al titular de la misma debe ser retirada de las bases de datos siguiendo criterios de razonabilidad y de oportunidad. Por otra parte, no puede olvidar esta Delegatura que, en el Derecho colombiano, el origen del concepto “información personal sensible” está ligado al imperativo constitucional de evitar la discriminación, y de controlar el poder informático que conceden las bases de datos centralizadas y que pueden generar prácticas de exclusión. Por eso la definición inaugural de los llamados datos sensibles en la Sentencia T-307 de 1999 que inspirará posteriormente la definición legal, introducida en la Ley 1581 de 2012, estaba especialmente ligada al valor de la igualdad y a la prohibición de discriminación. Consideró la Corte Constitucional en la Sentencia T-307 de 1999: “[A]l amparo de la Carta de 1991, no puede menos que sostenerse que todo dato debe recolectarse para una finalidad constitucionalmente legítima.
Lo anterior significa, entre otras cosas, que no puede recolectarse información sobre datos “sensibles” como, por ejemplo, la orientación sexual de las personas, su filiación política o su credo religioso, cuando ello, directa o indirectamente, pueda conducir a una política de discriminación o marginación”. Y estableció el Legislador, en la Ley 1581 de 2012, sobre la definición de datos sensibles: Artículo 5°.
Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
(negritas fuera del original) De la interpretación sistemática de la jurisprudencia constitucional originaria sobre el concepto de datos sensibles en 1999 y de la decisión del legislador sobre qué debía entenderse por datos sensibles de 2012, es claro que la información sensible es aquella que “pueda conducir a una política de discriminación o marginación” o “cuyo uso indebido puede generar [] discriminación”.
No puede aceptar entonces esta Delegatura la visión restringida de la recurrente sobre el contenido y alcance de la expresión “dato sensible” o “información personal sensible”. Visión restringida que claramente no se aviene ni a los términos legales, ni a los términos jurisprudenciales, como acaba de demostrarse, ni a los términos en que la misma fue utilizada en este asunto por la Dirección de Investigaciones.
Máxime si la propia Corte Constitucional consideró que el listado de los datos sensibles del artículo 5 de la Ley 1581 de 2012 es un listado abierto. Aspecto explícitamente mencionado por la Dirección, en las páginas 31 y 32 de la Resolución ahora bajo examen, al momento de pronunciarse sobre el segundo de los cargos, como puede advertirse en la siguiente cita textual: “Por la cual se resuelve un recurso de apelación” Al punto, resulta imperioso traer a colación el pronunciamiento de la alta Corporación, en Sentencia C-748 de 2011, frente a lo que puede considerarse dato sensible: “En efecto, como explicó la Corte en la sentencia C-1011 de 2008, la información sensible es aquella “(…) relacionada, entre otros aspectos, con la orientación sexual, los hábitos del individuo y el credo religioso y político.
En estos eventos, la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella 'esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico.” Conforme a esta explicación, la definición del artículo 5 es compatible con el texto constitucional, siempre y cuando no se entienda como una lista taxativa, sino meramente enunciativa de datos sensibles, pues los datos que pertenecen a la esfera intima son determinados por los cambios y el desarrollo histórico”.
(se destaca) (así en el original) Ahora bien, es claro que el reporte negativo relacionado con el cumplimiento o no de una carga contractual, en principio no podría considerarse información que derive en una conducta discriminatoria, sin embargo en el momento en que ese dato se vincula con hechos delictivos que puedan afectar los distintos ámbitos en que se desenvuelve el titular afectado, como su intimidad, su libertad personal o su buen nombre puede adquirir tal categoría. Sobre el particular señaló la Corte Constitucional “(…) merece la pena señalar que el derecho fundamental al habeas data tiene íntima relación con los derechos a la presunción de inocencia y a la libertad personal (…) Ahora bien, por las particularidades propias del asunto objeto de análisis, el derecho fundamental al habeas data también adquiere relevancia en aquellos escenarios en los que la administración de los datos de contenido negativo impacta los derechos a la libertad personal y a la presunción de inocencia” Adicionalmente, considera pertinente esta Delegatura, a partir del debate sobre el alcance de los datos sensibles que plantea la recurrente, ahondar sobre el tipo de datos personales, y en general del tipo de información personal sobre la que RISKS INTERNATIONAL, en calidad de responsable, adelanta actividades de tratamiento.
Varias de las “novedades” sobre las que se adelantan los reportes y en las que consiste en últimas el tratamiento de datos personales por parte de RISKS INTERNATIONAL, ameritan una mención especial. No solo en relación con su alegada naturaleza de datos personales públicos vis a vis datos sensibles. Sino también en relación con las condiciones efectivas para su tratamiento.
En primer lugar, frente a la forma y oportunidad en que debe solicitarse la autorización de los titulares, y en segundo lugar frente los criterios que deben seguirse para garantizar la calidad y veracidad de esta información, y también eventualmente su caducidad, todos ellos necesarios para concretar el cumplimiento del deber de “garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data”.
Así las cosas, que cierta información de los titulares, como lo indica la recurrente, pueda ser eventualmente recogida de fuentes públicas, o incluso que sea de naturaleza pública, no le quita su carácter de información que puede ser utilizada con fines discriminatorios. Y por ello, en el específico contexto en el que funciona la plataforma SIRIEST-SISCOM y sus expresas y declaradas finalidades ligadas a la prevención del lavado de activos y del terrorismo, la misma puede ser razonablemente considerada información personal sensible.
Esto no impide per se su tratamiento, como ya se sabe, sino que implica el cumplimiento de deberes reforzados en materia de autorización, estricta finalidad, medidas especiales para asegurar la veracidad y la calidad de la información y deberes estrictos de caducidad, precisamente, para poder cumplir con los deberes de los literales a y b, del artículo 17 de la Ley 1581 de 2012, por cuyo incumplimiento fue sancionada RISKS INTERNATIONAL. 8.5.2.
Sobre un supuesto “peligroso precedente” de catalogar datos públicos, como los relativos a la profesión u oficio, como datos sensibles. “Por la cual se resuelve un recurso de apelación” Esta Delegatura entra a analizar el argumento de la recurrente, según el cual, la Dirección estaría introduciendo un “peligroso precedente” al catalogar datos públicos, como los relativos a la profesión u oficio, como información sensible.
Considérense sobre este punto dos argumentos. El primero, relativo a la discusión sobre la especie datos personales relativos a la profesión u oficio como datos públicos y la supuesta inadvertencia de dicha condición por parte de la Dirección, que plantea la recurrente. Frente a la descripción del tipo de tratamiento de datos personales realizado mediante la plataforma SIRIES-SISCOM este argumento de la recurrente tiene sobre todo un carácter retórico.
Esto es así, porque no dialoga de forma profunda y efectiva con la fabulosa variedad de reportes de novedades con las que se alimenta la plataforma SIRIEST-SISCOM. Y porque no demuestra, ni ejemplifica, cómo estas novedades, una a una, pueden ser catalogadas razonablemente como especies de datos públicos relativos a la profesión u oficio.
El argumento parece descansar en una asunción abstracta. Como si en efecto RISKS INTERNATIONAL se limitara a registrar en su plataforma datos personales relacionados con el oficio de los transportadores de carga y punto. Como si su plataforma SIRIEST-SISCOM fuera un equivalente al archivo de recursos humanos de una empresa o un proxy del SECOP o del SIGEP donde constan, ahí sí, datos personales sobre la profesión u oficio de empleados, contratistas y servidores públicos.
La diversidad de registros con la que la plataforma SIRIEST-SISCOM se alimenta, en donde se incluyen desde posibles incumplimientos contractuales, defectos en la presentación documental, incidentes relacionados con accidentes de tránsito, hasta hechos relacionados con la comisión de delitos en donde no es claro si el transportador puede ser víctima o victimario, no puede razonablemente considerarse como información personal relativa a la profesión u oficio.
No ve cómo se pueda extraer de aquí la conclusión de considerar que esta información, por el hecho de estar relacionada con las múltiples vicisitudes de la actividad del transporte de carga, tiene el carácter de información personal pública, como pretende hacerlo ver la recurrente. Las novedades tantas veces citadas y descritas en esta resolución van más allá de la catalogación del oficio de conductor de carga, de su formación o de su experiencia profesional; exceden el marco conceptual de lo que puede considerarse razonablemente información relativa a la profesión o al oficio.
El segundo argumento con el que esta Delegatura controvierte lo afirmado por la recurrente está relacionado con una posible confusión conceptual a partir del aparato clasificatorio de los datos personales del régimen colombiano de protección de datos personales. Como se sabe, el régimen de protección de datos personales colombiano tiene varios aparatos clasificatorios de la información personal.
Uno que los clasifica por su vocación circulatoria en públicos, semiprivados y privados; otro que los clasifica en sensibles o no sensibles, dependiendo de su vínculo fuerte con la vida privada o la intimidad, o porque su tratamiento puede engendrar prácticas discriminatorias; y otro que los clasifica en información favorable o desfavorable, según la valoración social extendida.
Según el argumento de la recurrente es un “peligroso precedente”, una contradicción legal, considerar, al mismo tiempo, un dato personal público (por su vocación de circulación) un dato sensible (por su posible uso con fines discriminatorios). Esta Delegatura estima que esto, lejos de ser un imposible legal, es perfectamente probable. Y sucede, por vía de ejemplo, con la información sobre la filiación política de los servidores públicos de elección popular; información que al mismo tiempo es sensible y pública.
O con la de los reconocidos líderes sindicales; información que al mismo tiempo es pública y sensible. “Por la cual se resuelve un recurso de apelación” La Corte Constitucional terció en este debate sobre la traspolación de aparatos clasificatorios, en la Sentencia C-748 de 2011. Y lo hizo precisamente al momento de efectuar el control de constitucionalidad del texto original del artículo 6 de la que sería la Ley 1581 de 2012, relativo a los datos sensibles.
Entonces, consideró inexequible una de las excepciones a la prohibición del tratamiento de datos sensibles, a saber, la que permitía su tratamiento cuando “el titular los haya hecho manifiestamente públicos”. Entonces, consideró la Corte que el “hecho de que un dato sensible se haga público, no lo convierte en un dato de naturaleza pública que cualquier persona pueda someter a tratamiento.”30 Esta situación, que parece contraevidente es perfectamente posible y más usual de lo que parece.
De hecho, ha sido reconocida también por la Corte Suprema de Justicia, en un famoso caso de tutela resuelto en el año 202131. Entonces un periodista demandó en tutela a la empresa Du Brands y al Departamento Administrativo de la Presidencia por haber sido objeto de perfilamiento a partir de sus posiciones ideológicas y sus posturas políticas, especialmente expresadas en la entonces red social Twitter.
Du Brands había sido contratada para hacer un estudio de la percepción y del seguimiento de medios y de influenciadores sobre el gobierno de entonces. Los resultados del estudio en el que se hacía seguimiento mensual a la postura de cerca de 400 periodistas, influenciadores y líderes de opinión se filtraron. El periodista solicitó que sus datos personales sensibles (relacionados con sus posiciones ideológicas) fueran eliminados del informe y no fueran sometidos a ese o a cualquier otro tratamiento.
La parte demandada se defendió con el argumento de que los datos personales habían sido extraídos de fuentes públicas (la red social mencionada) y que por tanto los datos eran públicos y para ello no se requería la autorización de su titular. La Corte Suprema no estuvo de acuerdo con este argumento y le concedió la razón al periodista. Sobre el punto afirmó: Independientemente que la información del accionante en su cuenta de Twitter y trinos puedan ser consultados abiertamente por el público, la accionada no estaba facultada para hacer uso de la misma como si se tratase de datos de naturaleza pública y con fundamento en ello elaborar el listado de influenciadores en el que incluyó al acto, pues es evidente que lo que determinó su inclusión y el calificativo de «negativo» fue precisamente su ideología política, plasmada en su interacción en la red social.
Se presenta entonces en este caso dos situaciones que no pueden ser inadvertidas por la Sala: i) que aun cuando el contrato tenía como finalidad mejorar la imagen del Gobierno actual en las redes sociales, durante su ejecución se elaboró una lista de influenciadores de la red social Twitter en la que se incluyó al actor con nombre propio sin su consentimiento previo, y ii) independientemente que el accionante, como usuario de la red social hubiese hecho pública su orientación política, por tratarse de datos sensibles, para su tratamiento por parte de la entidad resultaba necesario una autorización previa Sirva entonces este precedente para resaltar un elemento de especial importancia para el régimen jurídico del tratamiento de datos personales.
Es posible que los datos personales se clasifiquen al mismo tiempo, como datos personales públicos y como datos sensibles. Pero, sobre todo, del hecho de que la información sea accesible al público o esté disponible en fuentes públicas, no nace el derecho o la prerrogativa en cabeza de cualquier persona de adelantar tratamiento ordenado y sistemático de la misma, sin contar con la autorización de los titulares y sin cumplir con los deberes y principios de la Ley 1581 de 2012.
Y mucho menos, si tal información tiene connotación negativa y puede engendrar prácticas de exclusión o discriminación. En conclusión, de conformidad con lo hasta aquí indicado, los argumentos presentados por RISKS INTERNATIONAL sobre una supuesta interpretación Corte Constitucional. Sentencia C-748 de 2011. MP Jorge Ignacio Pretelt Chaljub, consid. 2.8.4.4 Inexequibilidad del literal d) [del artículo 6] Corte Suprema de Justicia. Sala de Casación Penal.
Expediente STP9319-2020, Radicación No. 112867. Acta 227. 27 de octubre 2020. MP Eugenio Fernández Carlier. Elmer Montaña vs. DAPRE y Du Brands. “Por la cual se resuelve un recurso de apelación” indebida de la ley por parte de la Dirección, en relación con la naturaleza o el tipo de información personal objeto de tratamiento, no están llamados a prosperar.
Primero porque incurren en una equivocada lectura de la Ley y la Jurisprudencia vigentes. Y segundo, y sobre todo, porque no controvierten la ratio por la cual la Dirección la consideró en esos términos, teniendo en cuenta su funcionalidad y el contexto propio del tratamiento de datos a partir de la plataforma SIRIEST-SISCOM. 9. Conclusiones. 9.1.
En el marco de este recurso de apelación, RISKS INTERNATIONAL no pudo desvirtuar el incumplimiento de los deberes establecidos en: (i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8 y los literales b) y d) del artículo 4 de la citada Ley y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, y (ii) el literal b) del artículo 17 de la Ley 1581 de 2012.
El literal a) del artículo 3, los literales a) y c) del artículo 4 y los artículos 5, 6, y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015, tal y como fue declarado por la Dirección de Investigaciones de Protección de Datos Personales en la Resolución No. 43121 del 31 de julio de 2024. 9.2. El tratamiento de datos personales que adelanta RISKS INTERNATIONAL en su calidad de Responsable, a través de su plataforma SIRIEST – SISCOM no está excluido del ámbito de aplicación de la Ley 1581 de 2012.
Esta conclusión se soporta en razones materiales, relacionadas con la falta de relación necesaria, directa y puntual entre los datos personales efectivamente recabados por RISKS INTERNATIONAL y la declarada finalidad de “prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo” de su plataforma. Y también, en razones normativas, a partir de la lectura sistemática e integral de la Ley 1581 de 2012, de su artículo 2, y de la Jurisprudencia de la Corte Constitucional, en especial, la sentada en la Sentencia C-748 de 2011. 9.3.
La decisión de archivo del radicado 24-37401 no constituye precedente administrativo a cuyo seguimiento la Dirección o esta Delegatura estuviese o esté legalmente compelida. Adicionalmente, en tanto se indicaron las razones materiales y normativas para no aplicar en este caso el literal b, del artículo 2 de la Ley 1581 de 2012, y haberse motivado con suficiencia el asunto, ni la Dirección ni esta Delegatura desconocen o desconocieron el derecho a la igualdad establecido como principio de la función administrativa en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 9.4.
La Dirección no desconoció los mandatos del artículo 333 de la Constitución, en concordancia con los artículos 114, 121, 150, 152 y 153 del mismo instrumento. Del hecho de que RISKS INTERNATIONAL no tuviese la obligación de implementar el SIPLAFT, no se sigue ni la prohibición de adelantar tratamiento de datos personales relacionados o no con dicho instrumento, ni una eventual exoneración de cumplir con los principios y deberes de la Ley 1581 de 2012. 9.5.
De la Resolución 74854 del 21 de diciembre de 2016 de la Superintendencia de Transportes (SIPLAFT) y su relación con la plataforma SIRIEST-SISCOM de la cual RISKS INTERNATIONAL es Responsable, esta Delegatura concluye que el tratamiento de datos personales adelantado por RISKS INTERNATIONAL no cuenta con un fundamento jurídico o normativo que soporte su funcionamiento de forma explícita.
Adicionalmente, no existe una Ley de la República que lo habilite para ello y algo así no se puede concluir, ni siquiera, a partir de la más extensiva de las interpretaciones de la Resolución 74854 del 21 de diciembre de 2016, citada. 9.6. En el presente caso no ha caducado la facultad sancionatoria de esta Superintendencia respecto de las conductas investigadas, pues existe evidencia suficiente de que al menos para el 16 de marzo de 2023, fecha de la segunda “Por la cual se resuelve un recurso de apelación” visita administrativa realizada por la Dirección, RISKS INTERNATIONAL realizaba tratamiento intensivo de datos personales a través de la plataforma SIRIEST-SISCOM.
Algunas de las particularidades de este tratamiento fueron las que motivaron y fundamentaron tanto el pliego de cargos, como la decisión sancionatoria ahora recurrida. 9.7. Para el ejercicio de la facultad sancionatoria, en el marco del régimen sancionatorio especial de la Ley 1581 de 2012, no es necesaria la demostración puntual de las afectaciones al derecho fundamental al habeas data del quejoso o de los quejosos.
La Dirección de Investigaciones puede adelantar sus funciones de vigilancia, control y sanción de manera oficiosa. Adicionalmente, el tipo de responsabilidad administrativa propia de este tipo de actuaciones está orientada a una verificación del cumplimiento de los deberes legales que la Ley le impone a Responsables y Encargados de tratamiento.
Esta Delegatura concluyó que, de acuerdo con lo establecido en el artículo 22 de la Ley 1581 de 2012, para la imposición de una sanción sólo se requiere demostrar, después del procedimiento administrativo sancionatorio correspondiente, “el incumplimiento de las disposiciones de la presente ley”. Situación que efectivamente sucedió en este asunto y a lo que en todo momento se atuvo la Dirección y que, además, la recurrente no pudo desvirtuar. 9.8.
En relación con una alegada prueba “ficticia” practicada por la Dirección sobre el funcionamiento de la plataforma SIRIEST-SISCOM y considerada por la recurrente como “determinante”, esta Delegatura pudo constatar que la misma se practicó debidamente en el contexto de una visita administrativa, que fue oportunamente allegada al expediente y que no es, ni obedece al extraño epíteto de “ficticia”, como lo indica la recurrente.
Para resaltar la validez y la regularidad de la práctica de este tipo de pruebas, en las que se deja constancia de cómo funciona un sistema de información a partir del uso que del mismo hacen los funcionarios instructores o sustanciadores, en el contexto controlado de la producción de material probatorio, se tomó como referencia lo realizado por la Corte Constitucional en el trámite del expediente de tutela que terminó con la Sentencia T-323 de 2024. 9.9.
En el presente caso no se desconoció la garantía procesal de la presunción de inocencia. Porque no es cierto, como ya se demostró, que hubiese sido incorporado al acervo probatorio que fundamentó la decisión una supuesta “prueba ficticia” (vid., supra 8.2.8). Y porque el procedimiento se desarrolló siguiendo las ritualidades del procedimiento administrativo, en el cual se planteó la hipótesis, que después se logró demostrar, con plena garantía del debido proceso, de que RISKS INTERNATIONAL vulneró los deberes legales por cuyo incumplimiento resultó sancionada en primera instancia. 9.10.
Respecto de la plataforma SIRIEST-SISCOM, RISKS INTERNATIONAL actúa en calidad de responsable. A esta conclusión llegó la Dirección, y la Delegatura lo confirma, a partir de constatar que efectivamente RISKS INTERNATIONAL decide sobre los fines y los medios del tratamiento de dicha plataforma. Esto, a partir de verificar el funcionamiento efectivo de la plataforma, la descripción de cómo se adelanta el tratamiento de los datos personales, el análisis de quiénes y cómo toman las decisiones, de cómo se clasifica y se organiza la información y de quiénes y cómo tienen acceso a ella.
La calidad de responsable no depende de una atribución formal, a partir de lo señalado en un contrato, o de lo que se indique en documentos privados. El hecho de que la Dirección no haya estimado el mérito de ciertos documentos privados no significa, primero, que no los haya tenido en cuenta, y segundo, que con ello se vulnerara, desde un punto vista sustantivo, el derecho al debido proceso en su modalidad contradicción y valoración de las pruebas.
Vulneración que en efecto no sucedió. 9.11. La definición legal y jurisprudencial del concepto de datos sensibles tiene tres elementos. Uno ontológico, que liga los datos a la esfera privada. Otro funcional que los liga a la prohibición de discriminación, y un listado abierto o en numero apertus. La Delegatura reafirma la jurisprudencia constitucional según la cual el listado de los datos sensibles del artículo 5 de la Ley 1581 de “Por la cual se resuelve un recurso de apelación” 2012 es un listado abierto.
A partir de estas razones se desestimaron los argumentos de la recurrente orientados a defender una tesis restringida de dicho concepto que, por ejemplo, no permitiría incluir en su definiens el tipo de información incorporada al sistema SIRIEST-SISCOM. Toda información negativa, en los términos de la jurisprudencia constitucional, que pueda ser incluida en una plataforma, desde la que se ejerce poder informático, que permita la discriminación o la exclusión de las personas o que pueda ser usada con fines discriminatorios es susceptible de considerarse información sensible.
En el específico contexto en el que funciona la plataforma SIRIEST-SISCOM y sus expresas y declaradas finalidades ligadas a la prevención del lavado de activos y del terrorismo, la misma puede ser razonablemente considerada información personal sensible. A partir de todo lo dicho, esta Delegatura concluye que los argumentos de la recurrente no tienen la fuerza jurídica suficiente para desvirtuar la validez de la Resolución No. 43121, del 31 de julio de 2024, expedida por la Dirección de Investigaciones de Protección de Datos Personales, por eso, y por sus méritos propios, la misma será confirmada en su integridad.
En mérito de lo expuesto, esta Delegatura RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 43121 del 31 de julio de 2024, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a RISKS INTERNATIONAL S.A.S, identificada con el NIT 900.352.786-5, a través de su representante legal o apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. EXHORTAR a la Dirección de Investigaciones de Protección de Datos Personales para que, conforme su competencia y si así lo estima pertinente, adelante averiguaciones previas en relación con el tratamiento de datos personales que adelanta Risk Consulting Colombia S.A.S. con el fin de verificar si dicho tratamiento se ajusta a la Ley 1581 de 2012.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 de junio 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CARLOS UPEGUI JUAN CARLOS JUAN MEJIA 2025.06.26 12:53:16 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó: JCUM Aprobó: JCUM “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo Electrónico: RISKS INTERNATIONAL S.A.S. Nit.
No. 900.352.786-5 SILVIA CATALINA REINA ARCHILA C.C. 1.049.611.974 Calle 25 B No. 39 A – 30 Bogotá D.C. contactos@riskint.com Apoderado: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo Electrónico: NELSON REMOLINA ANGARITA C.C. 13.925.487 No. 72.751 Calle 84 A No. 12 – 12 Oficina 503 Bogotá D.C. nelsonremolina@me.com