(20 ABRIL 2021) “Por la cual se impone una sanción y se imparte una orden” Radicación 20-120507 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Dirección, en ejercicio de la función vigilancia para garantizar que en el Tratamiento de Datos Personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen General de Protección de Datos Personales, otorgada por el artículo 19 de la Ley 1581 de 2012 y conforme a la función de administración del Registro Nacional Público de Bases de Datos1 –en adelante RNBD– consagrada en el literal h) del artículo 21 ejúsdem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, procedió a examinar la información cargada en el RNBD por la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con el NIT. 900071924 - 9, evidenciando preliminarmente que esta sociedad no cumplió con el deber de implementar una Política de Tratamiento de la Información.
SEGUNDO: Que el artículo 25 de la Ley 1581 de 2012 estableció que “para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes”.
(Negrilla fuera del texto)
TERCERO: Que mediante Resolución No. 39705 de 21 de julio de 20201 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa, y en consecuencia, formular pliego de cargos contra la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., en adelante, “la investigada”, identificada con Nit. 900.071.924-9, por la presunta violación de las normas de protección de datos personales, en particular las contenidas en las siguientes disposiciones: i) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.
CUARTO: Que la Resolución No. 39705 de 21 de julio de 2020 fue notificada mediante Aviso No. 17223 al señor, en representación de la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. el día 4 de agosto de 2020, según consta en la certificación del 25 de agosto de 2020 expedida por la Secretaría General Ad-Hoc de esta Superintendencia, expediente digital radicado 20-120507-6.
QUINTO: Que, vencido el término concedido de quince (15) días hábiles para que la sociedad investigada ejerciera su derecho de defensa y contradicción de acuerdo a lo establecido por el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardó silencio.
SEXTO: Que mediante Resolución No. 69663 del 30 de octubre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-120507, con el HOJA N “Por la cual se impone una sanción y se imparte una orden” valor legal que les correspondía, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
OCTAVO: Que mediante comunicación de fecha 3 de noviembre de 2020, expediente digital radicado N° 20-120507-8 y 10, este Despacho corrió traslado de la Resolución No. 69663 del 30 de octubre de 2020 a la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., por el término de diez (10) hábiles para que, en caso de encontrarlo pertinente, presentara los alegatos de conclusión respectivos con fundamento en el artículo 48 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).
NOVENO: Que, vencido el término concedido de diez (10) días hábiles para que la sociedad investigada rindiera los alegatos respectivos, conforme a lo dispuesto en el inciso segundo del artículo 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardó silencio.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(i) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración (i) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; normas que preceptúan lo siguiente: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;
(…) HOJA N “Por la cual se impone una sanción y se imparte una orden” Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (Subraya adicionada) Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.
(Subrayado y negrita adicionados) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.
Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.
Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.
Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.
(Subrayado y negrita adicionados) En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, las razones de hecho y de derecho aducidas por la investigada y el conjunto de pruebas allegadas al expediente No. 20-120507. 11.2 Valoración probatoria y conclusiones 11.2.1 Del deber de adoptar una Política de Tratamiento de Datos Personales Ley 1581 de 2012 “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) HOJA N “Por la cual se impone una sanción y se imparte una orden” k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;
(…)” “ARTÍCULO 25. DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.
(Subrayado y negrita adicionados) Así mismo, conforme al principio de legalidad en materia de datos personales, cualquier forma de Tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Único Reglamentario 1074 de 201513, lo que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y carácter vinculante que la ley estatutaria.
El artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, se establece el contenido mínimo que debe reunir el documento que haga sus veces de Política de Tratamiento de la información, el cual indica lo siguiente: “ARTÍCULO 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.
Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.
Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.
La reunión de estos elementos permiten garantizar ”el ámbito de protección del derecho de habeas data” 1 pues resultan oponibles al sujeto obligado en los procesos de recolección, 1 Corte Constitucional, sentencia C-748 de 2011. M.P María Victoria Calle Correa. HOJA N “Por la cual se impone una sanción y se imparte una orden” tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data a través de la implementación y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En efecto, el Responsable tiene el deber de Tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas, por el Régimen de Protección de Datos Personales, pues así lo dispuso la ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero, que ”Las políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”, disposición que, igualmente, refuerza la hipótesis esgrimida entorno a que mediante la política de tratamiento se pretende cimentar los pilares de la protección al derecho.
Sobre el particular, se tiene que este cargo fue formulado en razón a que, preliminarmente se encontró que: “la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., no acreditó que cuenta con una Política de Tratamiento de la Información, la cual estaba en el deber de desarrollar, conforme a lo previsto en las normas arriba citadas, conducta que a su vez se subsume típicamente en un presunto incumplimiento de la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.” Teniendo en cuenta lo anterior, es preciso enfatizar que pese a que se notificó la resolución de formulación y se comunicó la resolución de pruebas, a la dirección de notificación judicial indicada en el certificado de existencia y representación de la sociedad, la misma guardó silencio.
Por lo anterior se procede a analizar el cargo revisando el material probatorio obrante en expediente. Al respecto, este Despacho luego de consultar nuevamente la información registrada por la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., en el Registro Nacional de Bases de Datos, encontró que el documento cargado por la investigada no corresponde con su política de tratamiento de información, tal como lo exige la norma enunciada en el punto 8.2.1 y como se evidencia a continuación: HOJA N “Por la cual se impone una sanción y se imparte una orden” Teniendo en cuenta lo anterior, se encuentra demostrado el actuar negligente de la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9, al no atender los requerimientos efectuados por este Despacho respecto de la Política de Tratamiento de Datos Personales.
De igual modo, es preciso mencionar que a lo largo de la presente investigación la sociedad investigada no aportó prueba alguna que acredite que tiene implementada y puesta a disposición de los titulares las Políticas de Tratamiento de Datos. En consecuencia de lo anterior, es claro que la sociedad investigada ejecutó una conducta violatoria de las normas de protección de datos personales en su condición de Responsable del Tratamiento, por tanto se impondrá la correspondiente sanción y se impartirá una orden.
DÉCIMO SEGUNDO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9 deberá implementar y poner a disposición de los titulares la Política de Tratamiento de Datos Personales, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
De lo anteriormente ordenado la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9 deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 2. Esta potestad sancionatoria, que es una 2Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha HOJA N “Por la cual se impone una sanción y se imparte una orden” manifestación del poder punitivo del Estado, derivado de los artículos 2 3, 4 4 y 6 5 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo6.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso (…)”.7 (Negrita añadida) De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional8 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos”.
“Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. (Negrita añadida) 4 “Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) 5 “Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones”.
(Negrita añadida) 6 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 7 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.
(…)”. (Negrilla añadida) HOJA N “Por la cual se impone una sanción y se imparte una orden” implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”.9 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros10. La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”11.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia12. Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1 Suspensión de las actividades del banco de datos hasta por un término de seis (6) meses.
Artículo 18 de la Ley 1266 de 2008 De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008. 9 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C010-03, Magistrada Ponente Clara Inés Vargas. 11 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos 12 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N “Por la cual se impone una sanción y se imparte una orden” En el caso sub examine quedó demostrado que: (i) Se encuentra demostrado que la sociedad no aportó prueba alguna que acredite que tiene implementada y puesta a disposición de los titulares una Política de Tratamiento de Datos Personales con el contenido mínimo establecido en la Ley, de acuerdo al deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
(ii) La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. no presentó escrito de descargos. (iii) De igual modo, la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., no presentó alegatos de conclusión. (iv) Que luego de consultar nuevamente el Registro Nacional de Bases de Datos, este Despacho encontró que la sociedad investigada registró como Política de Tratamiento de Datos un documento que tiene como título “POLÍTICA DE LA CALIDAD” el cual no constituye una Política de Tratamiento de Datos y además corresponde a una sociedad diferente.
De este modo, a la fecha la investigada no cuenta con una Política de Tratamiento de la información y por tanto incurre en una violación al deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
Por lo anterior, se impondrá a la sociedad investigada CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. con matrícula mercantil No. 900.071.924 - 9 una sanción de suspensión de actividades de banco de datos, por el término de 3 meses contados desde la notificación de este acto administrativo, por el incumplimiento del deber previsto en i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
La sociedad deberá cumplir la orden indicada en el presente acto administrativo. Adicionalmente, en caso de no cumplir con la orden que se impartirá en esta resolución, mediante acto administrativo motivado esta entidad evaluaría la procedencia del cierre o clausura de las operaciones del banco de datos de la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. con matrícula mercantil No. 900071924 - 9. 13.1.2 Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no hubo reincidencia; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (vi) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no hubo un reconocimiento expreso de la comisión de la infracción.
DÉCIMO CUARTO: CONCLUSIÓN Se procederá a imponer una sanción e impartir unas órdenes administrativas por las siguientes razones: (i) Se encuentra demostrado que la sociedad no aportó prueba alguna que acredite que tiene implementada y puesta a disposición de los titulares una Política de Tratamiento de Datos Personales con el contenido mínimo establecido en la Ley, de acuerdo al deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
HOJA N “Por la cual se impone una sanción y se imparte una orden” (ii) La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. no presentó escrito de descargos. De igual modo, la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., no presentó alegatos de conclusión. (iii) Que luego de consultar nuevamente el Registro Nacional de Bases de Datos, este Despacho encontró que la sociedad investigada registró como Política de Tratamiento de Datos un documento que tiene como título “POLÍTICA DE LA CALIDAD” el cual no constituye una Política de Tratamiento de Datos y además corresponde a una sociedad diferente.
De este modo, a la fecha la investigada no cuenta con una Política de Tratamiento de la información y por tanto incurre en una violación al deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
(iv) Que se encontró procedente impartir una orden para que la sociedad implemente y ponga a disposición de los titulares una Política de Tratamiento de Datos. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. con matrícula mercantil No. 900071924 - 9, la sanción correspondiente a la suspensión de actividades de banco de datos, por el término de 3 meses contados desde la notificación de este acto administrativo.
Adicionalmente, en caso de no cumplir con la orden que se impartirá en esta resolución, mediante acto administrativo motivado se evaluaría la procedencia del cierre o clausura de operaciones del banco de datos.
DÉCIMO QUINTO: Que, en virtud de la situación actual, teniendo en cuenta la Emergencia Sanitaria decretado por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;
Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción de suspensión de actividades de banco de datos a la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. con matrícula mercantil No. 900071924 - 9, por el término de TRES (3) MESES contados desde la ejecutoria de este acto administrativo, por el incumplimiento del deber previsto en i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
HOJA N “Por la cual se impone una sanción y se imparte una orden”
ARTÍCULO SEGUNDO: ORDENAR a la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S. con matrícula mercantil No. 900071924 - 9, acreditar el cumplimiento de la siguiente orden impartida por esta Dirección en el presente acto administrativo: • La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9 deberá implementar y poner a disposición de los titulares la Política de Tratamiento de Datos Personales, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO PRIMERO: La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9, deberá dar cumplimiento a anterior orden administrativa dentro de los tres (3) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO SEGUNDO: La sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9 PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará que la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con Nit. 900.071.924 – 9, acreedora de las sanciones previstas en la ley.
Dentro de las sanciones que prevé el artículo 18 de la Ley 1266 de 2008, se evaluaría en particular la procedencia de una sanción de cierre o clausura temporal de las operaciones del banco de datos.
ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S., identificada con el Nit. 900071924 – 9, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,20 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.20 18:29:08 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ JBG/AMV “Por la cual se impone una sanción y se imparte una orden” NOTIFICACIÓN: Investigada: Entidad: CENTRO DE RECONOCIMIENTO DE CONDUCTORES SU PASE S.A.S Identificación: Nit.: 900071924 – 9 Representante legal: Identificación: C.C. Dirección: Avenida 6 # 41C 08 Correo electrónico: supaseipsltda@hotmail.com Ciudad: Bogotá D.C HOJA N