(30 ABRIL 2021) “Por la cual se impone una sanción y se imparten ordenes” Radicación 18-278601 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad COLOMBIA RED 365 S.A.S. (en adelante la investigada) identificada con Nit. 900.650.146-1, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX: 1.1 Asegura que: "El día 16 de julio de 2018, recibí una llamada telefónica de COLOMBIA RED 365 S.A.S., mediante la cual, se me solicitó su confirmación de mis datos personales, a saber: número telefónico, nombres y apellidos completos, número de la cédula de ciudadanía, número de mi TARJETA DE CRÉDITO OLÍMPICA MASTERCARD, domicilio, entre otros". 1.2 Manifiesta que: "( ) me acerqué a una sede de BANCO SERFINANZA S.A., ubicada en el SAO de La Pajuela (Sincelejo), con el fin de solicitar información de la debitación (sic) efectuada con mi TARJETA DE CRÉDITO OLIMPICA MASTERCARD, constatándose la existencia de una transacción realizada el día 16 de julio de 2018, por el valor de, OCHOCIENTOS NOVENTA MIL PESOS M/TE.
($890.000), a favor de la empresa COLOMBIA RED 365 S.A.S. por concepto de un portafolio de servicios que en ningún momento solicité, ni acepté de manera expresa". 1.3 Aseveró que: "( ) el día 03 de octubre de 2018, presenté reclamación escrita ante las empresas COLOMBIA RED 365 S.A.S. y BANCO SERFINANZA S.A." 1.4 Enfatizó que: "( ) autoricé el tratamiento de mi información personal sólo para unos fines específicos que me informó BANCO SERFINANZA S.A. En este orden de ideas, utilizaron dicha información sin estar autorizados para ello, vulnerando de esta manera los principios de finalidad, circulación restringida, seguridad y confidencialidad". 1.5.
Así las cosas, solicitó "( ) se inicie investigación administrativa en contra de BANCO SERFINANZA S.A., por la presunta violación de las disposiciones sobre administración de datos personales de carácter financiero, con el fin de proteger mi interés particular, así como, el interés general de la comunidad"
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4° y el literal a) del artículo 12 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 7238 de 2019 por medio de la cual se formularon tres (3) cargos a la sociedad COLOMBIA RED 365 S.A.S., identificada con Nit. 900.650.146-1.
HOJA N “Por la cual se impone una sanción y se imparten ordenes” La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada a las denunciantes.
TERCERO: Que la Resolución No. 39705 de 21 de julio de 2020 fue notificada mediante Aviso No. 17223 al señor XXXXXXXXXXXXXXXXXXX, en representación de la sociedad COLOMBIA RED 365 S.A.S., el día el 10 de marzo de 2020, según consta en la certificación del 4 de junio del 2020 expedida por la Secretaría General Ad-Hoc de esta Superintendencia, expediente digital radicado 18-278601-19.
CUARTO: Que, vencido el término concedido de quince (15) días hábiles para que la sociedad investigada ejerciera su derecho de defensa y contradicción de acuerdo a lo establecido por el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardó silencio.
QUINTO: Que mediante Resolución No. 71756 del 10 de noviembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-278601, con el valor legal que le corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
SEXTO: Que, vencido el término concedido de diez (10) días hábiles para que la sociedad investigada rindiera los alegatos respectivos, conforme a lo dispuesto en el inciso segundo del artículo 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardó silencio.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por las reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4o y el literal a) del artículo 12 de la misma Ley, así como el inciso primero del artículo 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N “Por la cual se impone una sanción y se imparten ordenes” 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por las denunciantes, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Respecto del deber de solicitar y conservar copia de la autorización El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.
Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”2.
Por lo anterior, se concluye que sin la autorización previa e informada del titular, los datos personales no podrán ser registrados, divulgados, ni tratados. Sin embargo, tal prohibición no es absoluta pues la Ley 1581 de 2012 en su artículo 10 establece los casos en los que no es necesario contar con la autorización por parte del titular, entre los cuales se encuentran los datos de naturaleza pública3.
El principio rector, que para el cargo primero es el de libertad, debe confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el cargo es relevante mencionar el deber consagrado en el literal b) de solicitar y conservar copia de la respectiva autorización otorgada por el titular.
Adicionalmente, el artículo 9 de la misma Ley, señala que “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”. (subraya fuera del texto) En este mismo sentido, la Corte Constitucional señaló lo siguiente: 2 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaljub. 3 “Artículo 10. Casos en que no se necesita la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.
Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. HOJA N “Por la cual se impone una sanción y se imparten ordenes” “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (Resaltado fuera del texto) (…) La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos.
Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.
Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.
Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data.
(Resaltado fuera del texto)”4 Así mismo, el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015 fue claro en indicar lo siguiente: “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.
Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” En este sentido, esta Dirección encontró preliminarmente que la sociedad la sociedad COLOMBIA RED 365 S.A.S. no solicitó ni conserva la autorización previa para el Tratamiento de datos personales de la Titular, en la medida en que este Despacho requirió a la investigada mediante los oficios con expediente digital radicado 18-278601-3, 18-278601-11 y 18-278601-12 para que manifestara si contaba con la autorización expresa, previa e informada de la Titular XXXXXX XXXXXXXXXXX, y remitiera copia del formato y/o modelo a partir del cual surte dicho procedimiento, respectivamente. 4 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaljub. HOJA N “Por la cual se impone una sanción y se imparten ordenes” En respuesta al radicado 18-278601-3, la investigada mediante el radicado 18-278601-5 expresó que contaba con un CD que contiene el audio que con “la autorización expresa y previa” por parte de la titular. Frente al cargo objeto de estudio, se observa que obran en el expediente las siguientes pruebas: - Un (1) CD [Testigo Documental] obrante a folio 5 y que contiene una grabación telefónica con la que la investigada pretende acreditar que cuenta con la autorización de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX, para el tratamiento de sus datos personales.
Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: (i) Que la investigada aporta un audio referente a una llamada telefónica realizada por el asesor XXXXXXXXXXXX, quien se identifica como ejecutivo comercial de la sociedad COLOMBIA RED 365 S.A.S., con la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX: en la que el asesor le menciona datos personales correspondientes a (i) dirección de residencia (ii) teléfono (lapso 0:00:00 a 00:01:26) y iii) número de cédula (lapso 0:09:41 a 00:09:46).
Sin embargo, no se encuentra evidencia de que la investigada haya obtenido de manera previa la autorización de la Titular para el Tratamiento de esos datos personales. (ii) Que el 27 de mayo de 2019, este Despacho realizó un segundo requerimiento para que la investigada, COLOMBIA RED 365 S.A.S. expediente digital radicado 18-278601-11 informara lo siguiente: "En la llamada que hace el asesor de ventas a la señora XXXXXXXXXXXX se mencionan sus datos personales como lo es: (i) dirección de residencia, (ii) teléfono y, (iii) cédula de ciudadanía. Sírvase acreditar a este Despacho cuáles fueron los mecanismos a través del cual recolectó esta información previamente a la llamada realizada a la Titular"' Esta comunicación fue entregada a la sociedad COLOMBIA RED 365 S.A.S. el 31 de mayo de 2019 en la dirección física carrera 25 No. 47 - 78 ofi. 401 la cual figura en el Certificado de Existencia y Representación Legal verificada en el Registro Único Empresarial (RUES).
El anterior envío consta en la guía RA128986665C019 expedida por la empresa de mensajería SERVICIOS POSTALES NACIONALES S.A. (472). Sin embargo, la sociedad COLOMBIA RED 365 S.A.S. no suministró respuesta al anterior requerimiento. Una vez analizado lo anterior, se pudo determinar que la investigada ya tenía en sus bases de datos los datos personales de la denunciante, tales como el número telefónico y dirección del domicilio, y a pesar de manifestar que se trataba de datos recolectados con anterioridad al Decreto 1377 de 2013, la investigada no logró acreditar la forma de obtención de los datos en el momento en que fue requerida por esta Dirección para que indicara cuál fue el mecanismo que implementó para la recolección de los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXXXXXXX.
Adicionalmente, es claro que durante la llamada telefónica, el asesor comercial continuó recolectando datos de la denunciante, tales como la información relacionada con su tarjeta de crédito o su fecha de nacimiento, sin antes solicitar la autorización para su tratamiento. Máxime, si se tiene en cuenta que de conformidad con lo establecido en el literal g) del artículo 3 de la Ley 1581 de 2012, se entiende por Tratamiento “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento (…)”.
En este orden de ideas, se evidencia que el consentimiento recolectado por la investigada no cumplió con los preceptos legales y constitucionales, al no haber sido previa, ni expresa. Así las cosas, se concluye que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de solicitar y conservar copia de la autorización previa y expresa, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, se impondrá una sanción por el cargo objeto de estudio y se impartirá una orden administrativa. 8.2.2 Respecto del deber de informar debidamente al titular las finalidades de la recolección HOJA N “Por la cual se impone una sanción y se imparten ordenes” El literal c) del artículo 17 de la Ley 1581 de 2012 consagra el deber de los Responsables del Tratamiento, de “(i)nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;”.
Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado que: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas (…)”.
Por su parte el artículo 4 de la Ley 1581 de 2012, contempla los principios para el tratamiento de datos personales, entre los cuales se encuentra el principio de finalidad que señala que “(e)l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explicito, razón por la cual se impone el deber de informar clara, suficiente y previamente al titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.
Adicionalmente, el artículo 12 de la Ley 1581 de 2012, señala que el responsable debe informar clara y expresamente al titular: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;
(iii) Los derechos que le asisten como Titular; (iv) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el responsable del tratamiento, en los términos del artículo 2.2.2.25.2.2 del Decreto 1074 de 2015, esto es, informarle al Titular “(…) los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)”.
Frente al cargo objeto de estudio y una vez revisado el acervo probatorio que obra en el expediente, se encontró que la investigada no acreditó que contaba con la autorización previa y expresa por parte del Titular para el tratamiento de sus datos personales, tal como fue analizado en el cargo anterior. En consecuencia, es claro para esta Dirección que la investigada tampoco cumplió con su deber como responsable de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, esto aunado al hecho de que la sociedad no aportó descargos, ni alegatos y por tanto, no aportó prueba alguna que acredite que previo a la llamada aportada, la sociedad había informado al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
Así las cosas, se concluye que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de informar debidamente a las Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único HOJA N “Por la cual se impone una sanción y se imparten ordenes” Reglamentario 1074 de 2015.
En consecuencia, se impondrá una sanción por el cargo objeto de estudio y se impartirá una orden administrativa. 8.2.3 Respecto del deber de los Responsables del Tratamiento de cumplir las instrucciones y requerimientos que imparta esta Superintendencia Por su parte, frente al cargo tercero, se observa que presuntamente la investigada habría incumplido el deber en su condición de Responsable del Tratamiento de atender los requerimientos de la autoridad de protección de datos personales, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012; norma que preceptúa lo siguiente: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así, una vez analizado el acervo probatorio, se evidencia que, dentro del caso concreto, el 27 de mayo de 2019, esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, requirió a COLOMBIA RED 365 S.A.S., mediante el oficio expediente digital radicado 18-278601-11, con el fin de que suministrara la siguiente información: "En la llamada que hace el asesor de ventas a la señora XXXXXXXXXXXX se mencionan sus datos personales como lo es: (i) dirección de residencia, (ii) teléfono y, (iii) cédula de ciudadanía. Sírvase acreditar a este Despacho cuáles fueron los mecanismos a través del cual recolectó esta información previamente a la llamada realizada a la Titular"' No obstante, la investigada no dio respuesta al requerimiento de información realizado mediante el oficio enunciado en el párrafo anterior, incluso, teniendo en cuenta que este fue enviado a la dirección de notificación judicial que constan en el certificado de existencia y representación legal de la investigada, esto último de conformidad con y su correspondiente guía de envío RA 128986665 CO3, expedida por la empresa de mensajería SERVICIOS POSTALES NACIONALES S.A. (472).
De esta manera, quedó probado el actuar negligente por parte de la investigada al quebrantar lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, razón por la cual, se le impondrá una sanción.
NOVENO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad COLOMBIA RED 365 S.A.S. deberá implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar la información personal de los titulares respecto de los cuales no conserve copia de la autorización5. • La sociedad COLOMBIA RED 365 S.A.S. deberá documentar e implementar un procedimiento que garantice que, previo al tratamiento de datos personales 5 Para este fin, la investigada tiene a su disposición la guía " Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios", publicada en la página de la Superintendencia de Industria y Comecio "www.sic.gov.co" Protección de Datos Personales en la pestaña de publicaciones, link https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov 22.pdf HOJA N “Por la cual se impone una sanción y se imparten ordenes” (almacenamiento, uso, etc) se informe a los titulares: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
La sociedad deberá establece un procedimiento o medio para informar que permita conservar prueba del mismo6. De lo anteriormente ordenado la sociedad COLOMBIA RED 365 S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”1 Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros1. 6 Ibidem.
HOJA N “Por la cual se impone una sanción y se imparten ordenes” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”1.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia1. En virtud de lo expuesto y en ejercicio de la potestad sancionatoria otorgada en la Ley 1581 de 2012 se procede a imponer la siguiente sanción: 10.1.1 Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
En el caso sub examine quedó demostrado que: (i) Se encuentra demostrado el incumplimiento por parte de la sociedad investigada del deber de solicitar y conservar copia de la autorización previa y expresa, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
(ii) Se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de informar debidamente a las Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
(iii) Se encuentra demostrado que la investigada no dio respuesta al requerimiento de información realizado mediante el oficio, quebrantando así lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012. (iv) La sociedad COLOMBIA RED 365 S.A.S.no presentó escrito de descargos. (v) De igual modo, la sociedad COLOMBIA RED 365 S.A.S., no presentó alegatos de conclusión. Por lo anterior, se impondrá a la sociedad investigada COLOMBIA RED 365 S.A.S. con Nit. 900.650.146-1, 2012la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses contados a partir de la ejecutoria de la presente Resolución, por el incumplimiento del deber previsto en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el HOJA N “Por la cual se impone una sanción y se imparten ordenes” inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y (iii) literal o) del artículo 17 de la Ley 1581 de 2012.
Dentro del término establecido la sociedad deberá adoptar los correctivos establecidos en el artículo NOVENO de la parte motiva del presente acto administrativo.
DÉCIMO PRIMERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y (iii) literal o) del artículo 17 de la Ley 1581 de 2012, razón por la cual se impuso una sanción multa pecuniaria. ii.
De igual manera respecto del cumplimiento de los deberes establecidos en i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (ii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, se impartieron unas ordenes. iii.
Con dichas conductas, el Responsable violó el derecho de habeas data de la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXX, al no haberle solicitado de manera previa, expresa e informada la autorización para el tratamiento de sus datos personales, así como al no haber puesto en conocimiento de ésta, las finalidades de la recolección de sus datos y los derechos que le asisten como Titular. iv.
Quedó plenamente demostrado que la sociedad investigada no respondió al requerimiento efectuado por este Despacho. v. Quedó plenamente demostrado que la sociedad investigada no obró con la debida diligencia para garantizar el derecho fundamental de habeas data de la señora XXXX XXXXXXXXXXXXXXXXXXXXXXXX. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, se encontró demostrada la violación del derecho fundamental de habeas data del denunciante y que se está poniendo en peligro el derecho de todos los titulares cuyos datos se encuentran en custodia de la sociedad investigada.
En consecuencia, se procede a imponer la sanción de suspensión de actividades relacionadas con el tratamiento de datos personales por tres (3) meses, y dentro del término deberá adoptar los correctivos señalados en el artículo NOVENO de la parte motiva de la presente resolución.
DÉCIMO SEGUNDO: Que, en virtud de la situación actual, teniendo en cuenta la Emergencia Sanitaria decretado por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;
Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. HOJA N “Por la cual se impone una sanción y se imparten ordenes” No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción de suspensión de las actividades relacionadas con el Tratamiento de datos personales a la sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1, por un término de TRES (3) meses contados a partir de la ejecutoria de la presente Resolución. Por el incumplimiento de los deberes establecidos en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y (iii) literal o) del artículo 17 de la Ley 1581 de 2012, de conformidad con lo expuesto en la parte motiva de la presente resolución.
PARÁGRAFO PRIMERO: Los correctivos que deber adoptar la sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1, dentro del término previamente señalado, serán los ordenados en el artículo segundo de la parte resolutiva de la presente decisión.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de DOS (2) meses siguientes a la ejecutoria de la presente decisión. Las instrucciones son las siguientes: i) La sociedad COLOMBIA RED 365 S.A.S. deberá implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar la información personal de los titulares respecto de los cuales no conserve copia de la autorización7. ii) La sociedad COLOMBIA RED 365 S.A.S. deberá documentar e implementar un procedimiento que garantice que, previo al tratamiento de datos personales (almacenamiento, uso, etc) se informe a los titulares: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
La sociedad deberá establece un procedimiento o medio para informar que permita conservar prueba del mismo 8.
PARÁGRAFO PRIMERO: La sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de las órdenes, y suscrita por el representante legal de la sociedad. 7 Para este fin, la investigada tiene a su disposición la guía " Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios", publicada en la página de la Superintendencia de Industria y Comecio "www.sic.gov.co" Protección de Datos Personales en la pestaña de publicaciones, link https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov 22.pdf 8 Ibidem.
HOJA N “Por la cual se impone una sanción y se imparten ordenes”
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1, acreedora de las sanciones previstas en la ley.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COLOMBIA RED 365 S.A.S. identificada con el Nit. 900.650.146-1 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión a la señora XXXXXXXXX XXXXXXXXXXXXXXXXXXXX., identificado con C.C. 64.567.781
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JBG Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: COLOMBIA RED 365 S.A.S Identificación: Nit.: 900.650.146-1 Representan te Legal: XXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXX Dirección: CRA 25 # 47- 78 OF 401 AV PARALELA Ciudad: Manizales Correo electrónico: colombiared365@gmail.com COMUNICACIÓN: Señora: XXXXXXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. XXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXXXX