Decisión 24313 de 2022 — SIC

(28 ABRIL 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-5267 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 80023 del 7 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 de NOVENTA Y OCHO MILLONES NOVECIENTOS DOS MIL NOVECIENTOS NOVENTA Y DOS PESOS M/CTE ($98.902.992), equivalente a DOS MIL SETECIENTAS VEINTICUATRO (2.724) Unidades de Valor Tributario Vigentes, por la violación a lo dispuesto en (i) literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem.” (…).

ARTÍCULO SEGUNDO: ORDENAR a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 cumplir con las siguientes instrucciones:  La entidad AVANTEL SAS – EN REORGANIZACIÓN deberá desarrollar, implementar y mantener un procedimiento para atender todas las peticiones de los Titulares y contestar de fondo y de manera congruente sobre el contenido de las mismas.  La entidad AVANTEL SAS – EN REORGANIZACIÓN deberá desarrollar, implementar y monitorear los controles de seguridad de la información suficientes para garantizar la confidencialidad, disponibilidad e integridad de los datos personales, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Adicionalmente, la entidad AVANTEL S.A.S. – EN REORGANIZACIÓN, deberá: Primero: Acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad. Dicha certificación debe ser emitida por una persona jurídica-nacional o extranjero-, la cual debe ser un tercero imparcial y especializado en los temas que involucra la implementación de cada orden.

Segundo: Realizar una auditoría externa enfocada en la verificación de la aplicación de las medidas efectivas y apropiadas para cumplir con todo lo ordenado por esta entidad. Los resultados de la auditoría deben ser remitidos a la Superintendencia de Industria y Comercio, en el término de tres (3) meses siguientes al cumplimiento oportuno de las órdenes.” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, SEGUNDO: Que la Resolución N°. 80023 del 7 de diciembre de 2021 se notificó, mediante aviso N°. 31247 del 20 de diciembre de 2021, a la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-5267-56 del 13 de enero de 2022.

TERCERO: Que, dentro del término concedido para el efecto, mediante escritos radicados bajo los números 19-5267-54 y 19-5267-55 del 31 de diciembre de 2021, la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, a través de su apoderada general, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°.80023 del 7 de diciembre de 2021, el cual fundamentó con los siguientes motivos: 3.1 Sostiene que el Despacho no tuvo en cuenta los argumentos planteados por la sociedad investigada en el curso del proceso administrativo sancionatorio de la referencia; en la medida que, el tratamiento de los datos personales del denunciante era atribuible exclusivamente a un tercero, con quien la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN sostuvo una relación comercial.

Con este planteamiento, la sociedad investigada asevera que no pretende descargar su responsabilidad en un tercero, sino que, por el contrario, busca: - Que esta Dirección considere que “la calidad de Responsable de Tratamiento de AVANTEL en el presente caso está aminorada por la conducta exclusiva y personal del funcionario contratado por el Encargado (Avanza Colombia S.A.S.) que administraba el correo electrónico xxxxxxxxxxxxxxxxxxxx”. 1 - Que la sociedad Avanza Colombia S.A.S., en su calidad de Encargado, “ha inducido al Despacho en error en su Despacho en error en su respuesta con radicado Nº. 19-5267-35-1 del 11 de octubre de 2019 al asegurar que sus trabajadores utilizaban el correo electrónico corporativo con domino “@avanzasa.com”, pero sin desvirtuar en ningún momento la calidad de contratista para AVANZA COLOMBIA S.A.S. de la señora XXXXX XXXXXXXX XXXXXXXXX, funcionaria que contrariando las cláusulas del contrato comercial suscrito entre AVANTEL SAS EN REORGANIZACIÓN y AVANZA COLOMBIA S.A.S. realizó la recolección, el tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX, y la omisión en gestionar la reclamación del señor XXXX XXXXXXX XX XXXXXX XXXXX o al menos comunicarla a AVANTEL SAS EN REORGANIZACIÓN. No puede el Despacho tomar como probado que la señora XXXXX XXXXXXXX XXXXXXXXX era contratista de AVANTEL y no del Encargado por el solo hecho de que usaba un correo electrónico con dominio “avantel.com.co cuando en las relaciones comerciales de agencia este es un hecho común.”2 - Demostrar que, en el presente caso, la sociedad AVANZA COLOMBIA S.A.S., a través de su colaboradora XXXXX XXXXXXXX XXXXXXXXX, realizó la recolección y tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX y, en consecuencia, ostenta la calidad de Responsable del Tratamiento. 3.2 Frente al deber de tramitar los reclamos presentados por los Titulares de la información, la sociedad investigada sostiene que la solicitud enviada por el señor XXXX XXXXXXX XX XXXXXX XXXXX el día 11 de enero de 2019 a la dirección de correo electrónico xxxxxxxxxxxx@avantel.com.co, además de no haberse realizado por los medios de contacto previstos por la compañía en su Política de Tratamiento de Datos Personales, no cumple con los requisitos previstos en el artículo 15 de la Ley 1581 de 2012. 3.3 Posteriormente, sostiene que la sanción impuesta desconoce los principios de proporcionalidad y razonabilidad propios del derecho administrativo sancionador. 3.4 Finaliza su escrito, solicitándole al Despacho que revoque la sanción impuesta mediante Resolución N°. 80023 del 7 de diciembre de 2021.

Subsidiariamente, solicita que esta Dirección, de una parte, atenúe la sanción pecuniaria impuesta y, de otra, se abstenga de impartir las órdenes administrativas contenidas en el artículo segundo del acto administrativo 80023 de 2021. Radicado 19-5267-54, página 3. Radicado 19-5267-54, páginas 3 y 4. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la recurrente, este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los argumentos de la recurrente se enmarcan en los siguientes puntos: (i) Frente a la calidad de Responsable del Tratamiento;

(ii) Frente al deber de tramitar los reclamos presentados por los Titulares de la información; (iii) Frente a la proporcionalidad y razonabilidad de la sanción y (iv) frente a las pretensiones. 5.1 Frente a la calidad de Responsable del Tratamiento La sociedad recurrente sostiene que el Despacho no tuvo en cuenta los argumentos planteados en el curso de la actuación administrativa sancionatoria; en la medida que alega que el tratamiento de los datos personales del denunciante estaba exclusivamente en cabeza de un tercero, con quien la sociedad sostuvo una relación comercial.

Con este planteamiento, la sociedad investigada asevera que no pretende descargar su responsabilidad en un tercero, sino que, por el contrario, busca: i) Que esta Dirección considere que “la calidad de Responsable de Tratamiento de AVANTEL en el presente caso está aminorada por la conducta exclusiva y personal del funcionario contratado por el Encargado (Avanza Colombia S.A.S.) que administraba el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxx”. 3 ii) Que la sociedad Avanza Colombia S.A.S., en su calidad de Encargado, “ha inducido al Despacho en error en su Despacho en error en su respuesta con radicado Nº. 19-5267-35-1 del 11 de octubre de 2019 al asegurar que sus trabajadores utilizaban el correo electrónico corporativo con domino “@avanzasa.com”, pero sin desvirtuar en ningún momento la calidad de contratista para AVANZA COLOMBIA S.A.S. de la señora XXXXX XXXXXXXX XXXXXXXXX, funcionaria que contrariando las cláusulas del contrato comercial suscrito entre AVANTEL SAS EN REORGANIZACIÓN y AVANZA COLOMBIA S.A.S. realizó la recolección, el tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX, y la omisión en gestionar la reclamación del señor XXXX XXXXXXX XX XXXXXX XXXXX o al menos comunicarla a AVANTEL SAS EN REORGANIZACIÓN. No puede el Despacho tomar como probado que la señora XXXXX XXXXXXXX XXXXXXXXX era contratista de AVANTEL y no del Encargado por el solo hecho de que usaba un correo electrónico con dominio “avantel.com.co cuando en las relaciones comerciales de agencia este es un hecho común.” 4 iii) Demostrar que, en el presente caso, la sociedad AVANZA COLOMBIA S.A.S., a través de su colaboradora XXXXX XXXXXXXX XXXXXXXXX, realizó la recolección y tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX y, en consecuencia, ostenta la calidad de Responsable del Tratamiento.

Frente a los argumentos esgrimidos por la sociedad recurrente, este Despacho encuentra necesario realizar las siguientes precisiones: El artículo 3 de la Ley Estatutaria 1581 de 2012 en el literal d) define al Encargado del Tratamiento como la “Persona natural o jurídica, pública y privada que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento” y en el literal e) al Responsable del Tratamiento como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre las bases de datos y/o el Tratamiento de los datos”.

Respecto de las calidades de Encargado y Responsable, la Corte Constitucional, mediante sentencia C-748 de 2011, señaló lo siguiente: 3 Radicado 19-5267-54, página 3. 4 Radicado 19-5267-54, páginas 3 y 4. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, “Constitucionalidad de los literales d) y e): definiciones de encargado y responsable del tratamiento del dato En los literales d) y e) del artículo 3, se hace expresa mención al encargado y al responsable del dato, respectivamente.

La sala observa que la diferenciación de estos dos sujetos era determinante, por cuanto de ello depende el ámbito de sus deberes, enumerados en el título VI del proyecto, de modo que dichas definiciones están ligadas al principio de legalidad en materia sancionatoria y son una garantía para el titular del dato respecto de quién es el obligado a cumplir diferentes prerrogativas que se desprenden del habeas data.

Sin embargo, se debe señalar desde ahora, al igual que se indicó en la sentencia C-1011 de 2008, que todos los principios de la administración de datos personales identificados en este proyecto –los cuales serán estudiados en otro acápite- son oponibles a todos los sujetos involucrados en el tratamiento del dato, entiéndase en la recolección, circulación, uso, almacenamiento, supresión, etc., sin importar la denominación que los sujetos adquieran, es decir, llámese fuente, responsable del tratamiento, operador, encargado del tratamiento o usuario, entre otros.

Hechas estas aclaraciones, pasa la Sala a examinar la constitucionalidad de las definiciones. El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos.

Estas definiciones parecen inspirarse en el derecho comunitario europeo, especialmente en la Directiva 95/46/CE y en el Dictamen 1/2010 del Grupo Consultivo sobre Protección de Datos, a las que vale la pena remitirnos por razones meramente ilustrativas y con el fin de acercarnos al correcto entendimiento de uno y otro concepto, labor que a veces se torna difícil por el avance de las tecnologías de la información y otros retos que impone la globalización. El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.

También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento.

Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera.

De otro lado, el criterio de delegación coincide con el término “por cuenta de” utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato. Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable- le señala a la otra –el encargado- como quiere el procesamiento de unos determinados datos.

En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital.

En este caso, el encargado del tratamiento de los datos es la persona jurídica que se contrata para el procesamiento de las hojas de vida (sic). También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada personal o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.

En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición del responsable y encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.

Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita;

(ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho. Establecida la diferencia entre responsable y encargado, la Sala observa, en primer lugar, que las definiciones de los literales d) y e) representan ejercicio legítimo de la libertad de configuración del legislador estatutario justificada en la forma cómo se desarrolla el tratamiento del dato, y en segunda (sic) lugar, que la clasificación tiene además utilidad desde el punto de vista constitucional, esta es, definir el régimen de responsabilidades y obligaciones de quienes participan en el tratamiento del dato personal.

En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato.

La calidad de responsable igualmente impone un haz de responsabilidades, específicamente en lo que se refiere a la seguridad y a la confidencialidad de los datos sujetos a tratamiento. En la sentencia C-1011 de 2008, se señaló que en la administración de datos personales es posible identificar varias etapas, cuya diferenciación permite adscribir determinados niveles de responsabilidad a los sujetos que participan de él. Así, por ejemplo, sobre la calidad de la información, el encargado del tratamiento tendrá deberes de diligencia y cuidado en la medida en que como lo consagra el proyecto de ley, está obligado a realizar de forma oportuna, la actualización, rectificación o supresión del dato, según el caso, literal c) del artículo 18.

En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta.

Las anteriores aclaraciones, le permiten a la Sala declarar la exequibilidad de los literales d) y e) del artículo 3.” (Negrilla fuera de texto original) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Por lo expuesto, y conforme a las pruebas que obran en el expediente de la referencia, la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN ostenta la calidad de Responsable del Tratamiento de los datos personales del señor XXXX XXXXXXX XX XXXXXX XXXXX, en la medida que: 1.

Determina la finalidad del tratamiento de la información, debido al giro normal de la actividad que desarrolla, la cual, según el Certificado de Existencia y Representación Legal de la Compañía, es la siguiente: “La sociedad tiene como objeto principal la provisión de redes y/o servicios de telecomunicaciones en el territorio colombiano. La Sociedad podrá realizar, ya sea por cuenta propia o de terceros, las siguientes actividades: 1.

Proveer redes y/o servicios de telecomunicaciones en el territorio nacional de Colombia y en el extranjero; la obtención, explotación y uso de permisos sobre bienes escasos, incluyendo espectro radioeléctrico; la obtención de concesiones, licencias y/o inscripción de registros para efectos de la provisión de redes y/o todo tipo de servicios de telecomunicaciones; la provisión del servicio de televisión en cualquiera de sus modalidades, incluyendo pero no limitándose a servicios de televisión por suscripción o televisión de operación privada; y la realización de toda clase de actos necesarios para la instalación y operación de infraestructura de telecomunicaciones. 2.Celebrar y ejecutar todo tipo de acuerdos, contratos y operaciones, de cualquier naturaleza, relacionadas con el objeto social de la sociedad, así como cualesquiera actividades similares, conexas o complementarias o que permitan facilitar o desarrollar el comercio o la industria de la sociedad; 3.

Participar como asociado, socio, accionista o titular de derechos, o asumir cualquier forma asociativa o de colaboración empresarial, con personas naturales o jurídicas, nacionales o extranjeras, para el desarrollo de proyectos vinculados o relacionados con el objeto social; 4. Constituir filiales, subsidiarias, o representaciones, en el país o en el extranjero con el propósito de desarrollar sus actividades sociales; 5.

Abrir, operar y cancelar cuentas bancarias; 6. Girar, endosar, comprar, aceptar, protestar, pagar, descontar, cancelar y negociar toda clase de títulos valores; 7. Obtener y otorgar préstamos; 8. Otorgar poderes; 9. Transigir, desistir y someter a decisiones arbitrales, las cuestiones en que tenga interés propio frente a terceros; 10. Garantizar obligaciones propias, de terceros o de sus accionistas, previa autorización de la Asamblea General de Accionistas; 11.

Solicitar, registrar, adquirir o poseer en cualquier otra forma, usar y explotar marcas, diseños, dibujos, insignias, nombres comerciales, patentes, invenciones y procedimientos, así como cualquier otro bien incorporal, y 12. En general, la realización de cualquier actividad comercial o civil lícita tanto en Colombia como en el extranjero.

Parágrafo Primero. En general, la sociedad podrá llevar a cabo todos los actos, operaciones y contratos de cualquier naturaleza requeridos para el normal funcionamiento y desempeño de su objeto social. (Subraya y negrilla fuera del texto original) 2. Para el normal funcionamiento y desempeño de su objeto social, AVANTEL S.A.S. – EN REORGANIZACIÓN suscribió el contrato de prestación de servicios número 2017-000301 con la sociedad AVANZA COLOMBIA S.A.S. en el mes de octubre de 2017.

El objeto del referido negocio jurídico es el siguiente: “1. Clausula (sic) 1º: Objeto del Contrato 1.1. De conformidad con los términos y condiciones del presente contrato, el Contratista se obliga a prestar a Avantel el servicio de suministro de infraestructura técnica, operativa y humana denominada en modo BPO, Contact Center para el proceso de promoción, venta y posventa de los productos y servicios ofrecidos por AVANTEL, utilizando las mejores prácticas y estrategias de marketing y ventas bajo los parámetros establecidos por AVANTEL y presentados bajo la oferta comercial presentada por el Contratista, que hace parte integral de este contrato.

(Subrayado y negrilla fuera del texto original) 3. A través del contrato de prestación de servicios número 2017-000301, la sociedad investigada le delegó a la sociedad contratista, entre otras funciones, el proceso de promoción y venta de los productos y servicios ofrecidos por la compañía. 4. En el marco de la ejecución del mencionado negocio jurídico y de la existencia de una delegación, la sociedad AVANZA COLOMBIA S.A.S., por conducto de su colaboradora, XXXXX XXXXXXXX XXXXXXXX (xxxxxxxxx@avantel.com.co), actuando en nombre y representación de la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, remitió un correo electrónico a múltiples destinatarios, con el propósito de promocionar los planes ofrecidos por la compañía AVANTEL S.A.S. – EN REORGANIZACIÓN. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Por otra parte, la recurrente sostiene que “No puede el Despacho tomar como probado que la señora XXXXX XXXXXXXX XXXXXXXXX era contratista de AVANTEL y no del Encargado por el solo hecho de que usaba un correo electrónico con dominio “avantel.com.co cuando en las relaciones comerciales de agencia este es un hecho común”.

Frente a dicha afirmación, este Despacho observa la necesidad de realizar la siguiente aclaración: i. Dista de las funciones legalmente atribuidas a este Despacho el evaluar la relación laboral o civil existente entre la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN y la señora XXXXX XXXXXXXX XXXXXXXXX. Contrario a lo afirmado por la sociedad recurrente, le corresponde a esta Autoridad la vigilancia, control y garantía de los datos personales, entre otros, a través del examen de la posición que ocupa cada agente en el tratamiento de la información. ii.

Así las cosas, y bajo el entendido que al analizar el contexto del presente caso y las actuaciones de los agentes concernidos en el mismo, para establecer su verdadera posición y por consiguiente sus obligaciones y régimen de responsabilidad, encuentra este Despacho que, en efecto, tal y como lo señala la recurrente, usar un correo electrónico con dominio “@avantel.com.co” no solo es una práctica común en las relaciones comerciales de agencia, sino que se constituye como uno de los ejes útiles y determinantes para establecer la diferencia entre Responsable y Encargado.

Así las cosas, no puede perderse de vista entonces que, a todas luces, resulta incuestionable que es AVANTEL S.A.S. – EN REORGANIZACIÓN quien determina los fines y medios del tratamiento de la información, debido a que no existe material probatorio que acredite que sociedad AVANZA COLOMBIA S.A.S. o la señora XXXXX XXXXXXXX XXXXXXXXX hayan sido quienes determinaron los fines y los medios esenciales del tratamiento de los datos o estuvieran en la capacidad de determinación. 5.

Aunado a lo anterior y conforme a la cláusula 13 del contrato de prestación de servicios número 2017-000301, la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN ostenta la calidad de Responsable, en los siguientes términos: “13. Cláusula 13º: Protección de Datos y Manejo de la Información Avantel declara que respecto de los archivos a los que el Contratista tendrá acceso como consecuencia del desarrollo del contrato, ha cumplido con todos los requisitos y formalidades exigidos por las leyes aplicables, en materia de Hábeas Data y Derecho a la información Así mismo Avantel, en calidad de Responsable del Tratamiento, declara que ha obtenido todas las licencias, permisos y autorizaciones necesarias de los titulares de la información suministrada a el Contratista para el desarrollo del contrato, y que cuenta con una Política de Tratamiento de Datos conforme lo dispuesto en la Ley 1581 de 2012 y el Decreto 1377 de 2013, así como que ha efectuado todos los registros que está obligado a realizar de acuerdo con la norma relativa a la protección de datos de carácter personal, al objeto de cumplir las obligaciones previstas en este Contrato, por lo cual el Contratista no será responsable de cualquier infracción a la normatividad sobre la materia que se origine en un incumplimiento, pero si será responsable del buen manejo, confidencialidad y reserva de los datos que Avantel le suministre o a aquellos que tenga acceso.

Con el fin de poder prestar a Avantel los Servicios, el Contratista deberá tratar datos de carácter personal contenidos en archivos de Avantel en nombre y por cuenta de éste, asumiendo la consideración de Encargado del Tratamiento. (…)”. 6. Llama la atención del Despacho que la sociedad recurrente pretenda desligar su responsabilidad aduciendo que en el presenta caso estamos ante una “conducta exclusiva y personal de la funcionaria contratada por el Encargado”5.

Dicha afirmación, no solamente desconoce las 5 Radicado 19-5267-54, página 3 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, obligaciones que le asisten en calidad de Responsable del Tratamiento, sino que además van en contravía de los pactos contractuales estipulados en el negocio jurídico número 2017000301, en materia de protección de datos personales.

Lo anterior, si se tiene en cuenta que la totalidad de las piezas probatorias obrantes en el expediente de la referencia dan cuenta de que la sociedad AVANZA COLOMBIA S.A.S. realizó operaciones sobre los datos personales de los múltiples destinatarios, incluido el denunciante, a los cuales remitió un correo con prospectiva comercial el día 11 de enero de 2019, por cuenta y riesgo de la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN. 7.

Bajo circunstancia alguna, puede considerarse aminorada la calidad de Responsable del Tratamiento. Por el contrario, se le recuerda a la sociedad recurrente que es a partir de esta calidad que tiene unos mayores compromisos y deberes frente a los Titulares de la información, pues está llamada a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato.

Así las cosas, tal y como quedó acreditado en el proceso de la referencia, la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN, en su calidad de Responsable del Tratamiento, incumplió el deber dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley y, en consecuencia, fue sancionada, según lo señalado en el acto administrativo N°. 80023 del 7 de diciembre de 2021.

Por lo expuesto, encuentra esta Dirección que los motivos de inconformidad propuestos por la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN en este acápite del escrito de recurso no están llamados a prosperar. 5.2 Frente al deber de tramitar los reclamos presentados por los Titulares de la información Frente al deber de tramitar los reclamos presentados por los Titulares de la información, la sociedad investigada sostiene que la solicitud enviada por el señor XXXX XXXXXXX XX XXXXXX XXXXX el día 11 de enero de 2019 a la dirección de correo electrónico xxxxxxxxx@avantel.com.co, además de no haberse realizado por los medios de contacto previstos por la compañía en su Política de Tratamiento de Datos Personales, no cumple con los requisitos previstos en el artículo 15 de la Ley 1581 de 2012.

Sobre el particular, este Despacho encuentra que es procedente realizar el siguiente análisis: - El documento denominado Avantel S.A.S. Política de Protección de Datos aportado por la sociedad investigada, junto con su escrito de recurso, entró en vigencia el 26 de septiembre de 2018 y en el numeral 11.3 enlista los canales de protección de datos y los medios de contacto, así: - El señor XXXX XXXXXXX XX XXXXXX XXXXX envío una queja el 11 de enero de 2019 a la dirección electrónica xxxxxxxx@avantel.com.co, tal y como se evidencia en el mensaje “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, aportado por el Titular, junto con su escrito de denuncia, el 11 de enero de 2019 con radicado 19-5267-0; en los siguientes términos: “¿Cómo es posible que sean tan irresponsables de enviar correos masivos CC en los que todo el mundo puede ver las direcciones de los destinatarios? ¡Qué vergüenza! Eso no lo hace nadie hoy en día y menos que menos debería hacerlo una compañía que en teoría se dedica a la responsabilidad de proteger los datos de sus usuarios y futuros usuarios.

Suficiente razón para NO considerarlos. Por favor, además retíreme de sus listas de correo. Gracias” Como se puede observar, las piezas documentales obrantes en el expediente de la referencia permiten corroborar los argumentos expuestos por la sociedad investigada, al señalar que, el señor XXXX XXXXXXX XX XXXXXX XXXXX remitió la solicitud de eliminación de sus datos personales a la dirección de correo electrónico corporativo xxxxxxxx@avantel.com.co, la cual no estaba habilitada para la recepción y trámite de las mismas, según la información contenida en la Política de Protección de Datos de la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN. Aunado a lo anterior, el artículo 15 de la Ley Estatutaria 1581 de 2012 establece, entre otras cosas, las reglas que se deben observar para efectos de la presentación de reclamos en materia de protección de datos personales, así: i. Solicitud que debe contener la identificación y dirección del solicitante; ii.

La descripción de los hechos que originan el reclamo; y iii. Los soportes documentales que se requieren hacer valer. En aquellos casos en que la solicitud no esté completa, se debe requerir al solicitante dentro de los cinco días de recibida la solicitud para que subsane las falencias. Si transcurridos dos meses del requerimiento no se acreditan los requisitos exigidos, se entiende que se ha desistido de la reclamación. En este orden de ideas, está plenamente demostrado que: El Titular de la información envió una reclamación el día 11 de enero de 2019 a la dirección de correo electrónico xxxxxxxx@avantel.com.co y sin el lleno de los requisitos previstos en el artículo 15 de la Ley 1581 de 2012, para el efecto.

Para mayor ilustración, se presenta a continuación el contenido del artículo en mención: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, 3.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” (Negrilla fuera del texto original) Por lo anterior, le asiste la razón a la sociedad AVANTEL S.A.S. – EN REORGANIZACIÓN (Responsable del Tratamiento), en tanto puso a disposición de los Titulares los mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de sus datos de las bases de datos de la compañía, haciendo la aclaración de que al Titular de la información NUNCA le fue remitida tal información con el fin de que este pudiera ejercer a cabalidad su derecho fundamental al habeas data.

Consecuencia de lo anterior, el Titular no recibió respuesta a la solicitud presentada el 11 de enero de 2019, dentro del término legal previsto para el efecto, debido a que envió su petición a través de un canal diferente a aquellos previstos por la compañía para el trámite de reclamos en materia de protección de datos personales y sin el lleno de los requisitos previstos en el artículo 15 de la Ley Estatutaria 1581 de 2012.

Por lo expuesto, esta Dirección ordenará el archivo del cargo segundo. No obstante lo anterior, y aun cuando esta Superintendencia no se aparta de las medidas adoptadas por parte de la sociedad recurrente para el trámite de peticiones en materia de protección de datos personales, de las cuales no aporta soporte alguno; considera el Despacho que la orden administrativa impartida, mediante Resolución N°. 80023 del 7 de diciembre de 2021, resulta imperativa en el marco de la garantía real del derecho de habeas data de los Titulares de la información. 5.3 Frente a la proporcionalidad y razonabilidad de la sanción La sociedad recurrente sostiene que la sanción impuesta, mediante Resolución N°. 80023 del 7 de diciembre de 2021, desconoce los principios de proporcionalidad y razonabilidad propios del derecho administrativo sancionador.

En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “24.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub examine, quedó demostrado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

Igualmente, quedó demostrado que la investigada incumplió con su deber legal de tramitar los reclamos presentados por los Titulares, ya que no se observa dentro del expediente que la sociedad investigada haya tramitado, de conformidad con lo establecido en la Ley 1581 de 2012 y la jurisprudencia citada líneas atrás, la petición del Titular cuya pretensión “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, era la eliminación de su información de las listas de correo electrónico que maneja la investigada.

En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo; (ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros;

(iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente 6. Por tanto, se impondrá como sanción: (i) Frente al cargo primero relacionado con el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley;

(ii) Frente al cargo segundo relacionado con el deber de tramitar los reclamos presentados por los Titulares, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem. 24.1.2.

Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción;

(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. Así mismo, no se beneficiará del criterio de atenuación del literal f) ibídem, con relación a los cargos, porque no aceptó la comisión las infracciones.” No obstante lo anterior, y de conformidad con lo expuesto en el numeral 5.2 del presente acto administrativo, este Despacho encuentra necesario modificar el considerando 24 y el artículo primero de la Resolución 80023 del 7 de diciembre de 2021, los cuales quedarán así: “(…) 24.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse Corte Constitucional, Sentencia T-167 de 2015. M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo;

(ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros; (iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente 7. Por tanto, se impondrá como sanción: (i) Frente al cargo primero relacionado con el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley; 24.1.2.

Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción;

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1 de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes, por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley.

(…)”. Por lo expuesto, se tiene que la ley establece que los criterios relacionados en el artículo 24 de la Ley 1581 de 2012 se tendrán en cuenta SOLO en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Por lo anterior, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Corte Constitucional, Sentencia T-167 de 2015. M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción se encuentra ajustada a derecho.

Sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.8 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.

Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios impone la suma de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes, de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: Cfr. Corte Constitucional, sentencia C-699/08, M.P. Alberto Rojas Ríos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 9 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.

Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-011 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.

Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso donde se demostró que la sociedad AVANTEL SAS – EN REORGANIZACIÓN incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en los deberes legales señalados y contenidos en las siguientes normas: i) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley.

Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.

Ahora bien, la multa impuesta a la sociedad recurrente es insignificante para el tope establecido en la norma, ya que porcentualmente la sanción fue del 2,72% del rango previsto permitido por la Ley 1581 del 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. Así mismo, es pertinente precisar que la sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los titulares por el uso ilegal de su información, es decir, las normas que proteger el derecho de habeas data no se refieren a la responsabilidad civil del responsable del tratamiento de datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental a la protección de datos. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, No puede perderse de vista que la vulneración del derecho de habeas data no solo afecta al titular, también pone en riesgo los derechos de la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante de poca cuantía, ni mucho menos como si las incidencias del proceso lo conviertan en uno de indemnización de daños y perjuicios.

Esto en razón a que existe de por medio una transgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamiento o teorías complicadas, a fin de desatender o negar una verdad inconclusa, cual es el quebrantamiento de derechos constitucionales.

Recuérdese que. según la Declaración Universal de los Derechos Humanos, “e/ desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”30. Por eso, según dicho documento, se considera "esencial que los derechos humanos sean protegidos por un régimen de Derecho".

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 01. Así las cosas, recalcamos, la violación de los derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en la primera instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad AVANTEL SAS – EN REORGANIZACIÓN no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución N°. 80023 del 7 de diciembre de 2021; razón por la cual, este Despacho confirmará la proporcionalidad de la sanción inicialmente calculada para el cargo primero. 5.4 Frente a las pretensiones En su escrito de recurso, la sociedad AVANTEL SAS – EN REORGANIZACIÓN le solicita al Despacho que revoque la sanción impuesta mediante Resolución N°. 80023 del 7 de diciembre de 2021.

Subsidiariamente, solicita que esta Dirección, de una parte, atenúe la sanción pecuniaria impuesta y, de otra, se abstenga de impartir las órdenes administrativas contenidas en el artículo segundo del acto administrativo 80023 de 2021. En referencia a las pretensiones de la sociedad recurrente, esta Dirección: No encuentra procedente imponer una sanción administrativa de carácter pecuniario, por la violación de las disposiciones contenidas en el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem; razón por la cual, el cargo segundo será desestimado y, en consecuencia, se ordenará su archivo.

Encuentra que los demás motivos de inconformidad esgrimidos por la sociedad AVANTEL SAS – EN REORGANIZACIÓN en su escrito de recurso no tienen vocación de prosperar y fueron desvirtuados en los numerales 5.1, 5.2 y 5.3 del presente acto administrativo. En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

SEXTO: CONCLUSIONES 1. Quedó demostrado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN, en calidad de Responsable del Tratamiento, incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo. 2.

Se encuentra suficientemente acreditado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN no incumplió el deber de tramitar los reclamos presentados por los Titulares de la información; en la medida que el Titular envió su petición a través de un canal diferente a “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, aquellos previstos por la compañía para el trámite de reclamos en materia de protección de datos personales y sin el lleno de los requisitos previstos en el artículo 15 de la Ley Estatutaria 1581 de 2012. 3.

La graduación de la sanción no obedeció a una decisión caprichosa de esta Dirección, sino que se realizó con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección modificará la decisión material adoptada mediante la Resolución N°. 80023 del 7 de diciembre de 2021, de acuerdo con las consideraciones expresadas en los acápites 5.2 y 5.3 del presente acto administrativo.

OCTAVO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad AVANTEL SAS – EN REORGANIZACIÓN con Número de Identificación Tributaria 830.016.046-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculada al correo electrónico de notificación judicial de la sociedad notificacionesjudiciales@avantel.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad AVANTEL SAS – EN REORGANIZACIÓN considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: MODIFICAR la Resolución Nº. 80023 del 7 de diciembre de 2021, proferida por este Despacho, específicamente, el numeral 24 de la parte considerativa y el artículo primero de la parte resolutiva, así: “(…) 24.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 17, En el caso sub examine, quedó demostrado que la sociedad AVANTEL SAS – EN REORGANIZACIÓN incumplió su obligación de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto la misma envió un correo a cincuenta y seis (56) destinatarios sin tomar las medidas de seguridad necesarias para que estos Titulares de información no pudieran ver las direcciones de correo de todos los destinatarios del mismo.

(iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente 10. Por tanto, se impondrá como sanción: (i) Frente al cargo primero relacionado con el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUARENTA Y NUEVE MILLONES CUATROCIENTOS CINCUENTA Y UN MIL CUATROCIENTOS NOVENTA Y SEIS PESOS M/CTE ($49.451.496) correspondiente a MIL TRESCIENTOS SESENTA Y DOS (1.362) Unidades de Valor Tributario Vigentes por la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la misma ley; 24.1.2.

Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción;

(…)”.

ARTÍCULO SEGUNDO: CONFIRMAR las demás disposiciones de la Resolución N°. 80023 del 7 de diciembre de 2021.

ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la entidad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO CUARTO: NOTIFICAR a la sociedad AVANTEL SAS – EN REORGANIZACIÓN, identificada con Nit. 830.016.046-1, a través de su representante legal y de su apoderada general, entregándoles copia de la misma.

ARTÍCULO QUINTO: COMUNICAR el contenido de la presente Resolución al señor XXXX XXXXXXX XX XXXXXX XXXXX. Corte Constitucional, Sentencia T-167 de 2015. M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 18, ARTÍCULO SEXTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 28 ABRIL 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.04.28 13:33:57 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: AVANTEL S.A.S. – EN REORGANIZACIÓN Nit. 830.016.046 – 1 ALEXANDRA TURBAY ARANGO 33.334.398 TRANSVERSAL 23 # 95 - 53 EDIFICIO ECOTEK Bogotá, D.C. notificacionesjudiciales@avantel.com.co GLORIA EUGENIA MEJÍA VALLEJO C.C. 52.344.530 T.P. 115.957 del C.S. de la J. Transversal 23 No. 95 – 53 Bogotá D.C. notificacionesjudiciales@avantel.com.co COMUNICACIÓN: Denunciante: Señor: Identificación: Correo electrónico: No se cuenta con la identificación. XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXX11 XXXXXXXXXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 24313 de 2022

CONSIDERANDO

RESUELVE