REPÚBLICA DE COLOMBIA (23 de junio) Radicación: 18-88067 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 18848 del 31 de mayo de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió:
SEGUNDO. Que, en el término legal establecido, mediante escrito del 5 de julio de 2019, la sociedad DIEZ MEDELLÍN S.A.S (en adelante la recurrente, el Hotel o Hotel Diez Medellín) interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°18848 del 31 de mayo de 2019, con fundamento en los siguientes argumentos: • Proporcionalidad.
Por su parte, la recurrente solicita la aplicación del principio de proporcionalidad de las sanciones. En sus palabras, “entendido como aquel que busca que la autoridad administrativa aplique la norma de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma; así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada. • Criterios de graduación. Al respecto, la recurrente afirma lo siguiente: RESOLUCIÓN NÚMERO 30489 DE 2020 • Ausencia de un perjuicio.
En adición, afirma que, “Tal y como se observa al momento de analizar las fotografías, no se suministraron datos personales o sensibles de los esposos, de acuerdo con lo establecido en la Ley 1581 de 2012”.
TERCERO. Que mediante la Resolución Nº. 55551 de 18 de octubre de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, confirmando en todas sus partes la Resolución N° 18848 del 31 de mayo de 2019.
CUARTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que en el presente caso no se trata de una actuación relacionada con la garantía del habeas data contenido en el artículo 15 de la Constitución Política y cuyo texto es el siguiente: “Todas las personas (…) tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.
Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)” RESOLUCIÓN NÚMERO 30489 DE 2020 QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución Nº. 18848 del 31 de mayo 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO DE ACUERDO CON LA LEY 1581 DE 2012. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 19 de la Ley 1581 de 2012 dispone que, una Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, será la encargada de ejercer la vigilancia, a fin de garantizar que, en el tratamiento de esa clase de datos, se respeten los principios, derechos, garantías y procedimientos previstos en esa ley.
Por su parte, el artículo 16 del Decreto 4886 de 26 de diciembre de 2011 1 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”.
2. DEL PRINCIPIO DE LEGALIDAD, DEBIDO PROCESO Y COMPETENCIA Ordena lo siguiente la Constitución Política de Colombia: “ARTICULO 6o. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” “ARTICULO 209.
La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones”. (Destacamos) La ley 1437 2 de 2011, por su parte, estable lo que sigue a continuación: ARTÍCULO 3o.
PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. RESOLUCIÓN NÚMERO 30489 DE 2020 Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.
En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” El principio de legalidad ha sido entendido por la Corte Constitucional en los siguientes términos: “El principio constitucional de la legalidad tiene una doble condición de un lado es el principio rector del ejercicio del poder y del otro, es el principio rector del derecho sancionador.
Como principio rector del ejercicio del poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley. Este principio exige que todos los funcionarios del Estado actúen siempre sujetándose al ordenamiento jurídico que establece la Constitución y lo desarrollan las demás reglas jurídicas”3.
En este orden de ideas, esta Autoridad está limitada en el ejercicio de sus funciones a lo establecido por la normatividad correspondiente. Por ende, esta Delegatura solo puede decidir sobre los temas de su competencia razón por la cual no puede adoptar ninguna decisión o consideración sobre derechos de autor sino sobre lo relacionado con el Tratamiento de datos personales, es decir, su recolección, uso, circulación, entre otros.
Entendemos que el anterior asunto es importante para el recurrente, pero como Autoridad de protección de datos personales no somos competentes para pronunciarnos sobre el mismo. Lo que si es necesario tener presente es que cuando se toma una foto a una o varias personas se están recolectando datos sobre ella como la imagen de su rostro o cuerpo.
Incluso, estos datos son de naturaleza sensible porque se trata de información biométrica.
3. LAS FOTOS COMO DOCUMENTOS QUE CONTIENEN DATOS PERSONALES Y LA TOMA DE UNA FOTOGRAFÍA COMO UN ACTO DE TRATAMIENTO DE ESA CLASE DE INFORMACIÓN. La palabra “foto” hace referencia a una “imagen” 4 de cosas, paisajes, personas, etc., mientras que la expresión “fotografía” es usada como sinónimo de foto y es definida de la siguiente manera: “procedimiento o técnica que permite obtener imágenes fijas de la realidad mediante la acción de la luz sobre una superficie sensible o sobre un sensor” o “imagen obtenida por medio de la fotografía. ”5.
(Destacamos). El análisis jurídico de una foto puede hacerse desde varias perspectivas como, entre otras: Corte Constitucional. Sentencia C-710 del 2001. M.P. JAIME CÓRDOBA TRIVIÑO. Cfr. Real Academia Española (RAE). Diccionario de la lengua española. https://dle.rae.es/foto?m=form (RAE). Cfr. Real Academia Española https://dle.rae.es/fotograf%C3%ADa#7z5EURG Diccionario de la lengua española.
RESOLUCIÓN NÚMERO 30489 DE 2020 (i) La foto y los derechos de autor: Según la Dirección Nacional de Derechos de Autor (DNDA), “no todas las fotografías están protegidas por el derecho de autor, sino solo aquellas que tengan mérito artístico. No obstante lo anterior, el mérito artístico aquí descrito está referido esencialmente a la originalidad de la obra, la cual será determinada caso a caso.
En el evento de ser protegida, la titularidad de la obra recaerá́ sobre su autor (creador).”6. (ii) La foto y los actos de competencia desleal como, entre otros, la explotación de la reputación ajena. A título de ejemplo, en la Sentencia 1990 del 30 de abril de 2012 de la Delegatura para asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio se concluyó que una sociedad “incurrió en el acto de competencia desleal de explotación de reputación ajena respecto de la publicación de la imagen de la demandante únicamente en la edición No. 464 de la revista Aló” y, adicionalmente, se le ordenó “abstenerse de utilizar la imagen de Patricia López Ruíz en sus notas editoriales con fines publicitarios, siempre que no cuente con la debida autorización para tal efecto.” 7 (iii) La foto y el derecho a la imagen: Esta entidad, ha sostenido que “una fotografía (…), que es utilizada para ser entregada al público como incentivo para que adquiera un producto, reviste un carácter comercial que se aleja bastante del carácter artístico, literario, científico, didáctico o cultural al que hacen referencia las normas de propiedad intelectual, por lo cual no es dable ampararse en los derechos del titular de la fotografía física, para desconocer los derechos a la propia imagen que tiene la persona que en ella aparece.
Admitir lo contrario, es decir, que cualquier fotografía tomada en público constituye una obra artística protegida por los derechos de autor, y que la publicación de dicha fotografía es absolutamente libre (libertad que abarcaría el uso de la fotografía con fines comerciales), equivaldría a permitir e incentivar que se desconociera el derecho fundamental que tiene la persona sobre su propia imagen y propiciaría que cualquiera pudiera utilizar con fines comerciales o publicitarios, fotografías (…) para vincularlos sin su autorización, como parte de campañas publicitarias para promover la adquisición de productos” 8 (iv) La foto como documento que contiene datos personales.
Para los efectos de este caso y la competencia de esta Delegatura es pertinente analizar la última faceta jurídica de la foto. De conformidad con el artículo 243 de la ley 1564 de 2012, “son documentos los escritos, impresos, planos, dibujos, cuadros, mensajes de datos, fotografías, cintas cinematográficas, discos, grabaciones magnetofónicas, videograbaciones, radiografías, talones, contraseñas, cupones, etiquetas, sellos y, en general, todo objeto mueble que tenga carácter representativo o declarativo, y las inscripciones en lápidas, monumentos, edificios o similares” (Destacamos).
Como se observa, la definición legal de documentos es muy amplia y comprende, entre otras, las fotos y las videograbaciones. Estos documentos pueden contener diferentes tipos de información dentro de la cual están los datos personales. Por Cfr. DNDA concepto jurídico del 27 de marzo de 2020, radicado 2-2020-21352) Cfr. Delegatura para asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio.
Sentencia 1990 del 30 de abril de 2012. Expediente: 08-058739 El texto de la sentencia puede consultarse en: https://www.sic.gov.co/sites/default/files/files/sentencia%20de%20competencia%20desleal/Sentencia_1990_2 012.pdf Ibíd. Pág. 9-10 RESOLUCIÓN NÚMERO 30489 DE 2020 ende, si mediante una fotografía se obtienen datos personales, entonces se deben observar las reglas de la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias.
Ahora bien, no toda foto es, per se, un dato personal. Sólo lo serán aquellas que contengan “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” 9. Por eso, la foto será dato personal en la medida que permita establecer la identidad de una o varias personas naturales en particular.
Si, por ejemplo, la foto contiene la imagen de personas con máscaras en su rostro o que están de espaldas de tal forma que no se pueda establecer la identidad de cada una de ellas, pues esa fotografía no es un dato personal. Adicionalmente, nótese que algunas fotos captan la imagen del rostro o la cara de las personas, las cuales son consideradas como información biométrica.
Los datos biométricos, a su vez, son un ejemplo de dato sensible 10 tal y como se puede constatar en la definición legal del artículo 5 de la Ley Estatutaria 1581 de 2012. Los «datos biométricos»: incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y “comportamentales” (forma de firmar, tono de voz) sobre las personas 11.
En la regulación europea son definidos como: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos” 12 (Destacamos).
Para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del decreto 1377 de 201313 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012. La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas.
No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de que obtuvo el consentimiento previo, expreso e informado del Titular del Datos. De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización” 14, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular” 15 En suma, quien toma o usa una fotografía a personas naturales determinadas o determinables está tratando datos personales.
Por eso, debe cumplir las normas señaladas y usar las fotos sólo para los fines autorizados por el Titular del dato o por la ley. Esta es la definición legal de dato personal del Los datos sensibles fueron definidos en la ley 1581 de 2012 y en el decreto 1377 de 2013 como “ aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos” (Artículo 5 de la ley 1581 de 2012, repetido en el numeral 3 del artículo 3 del decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015).
Saini, Nirmala y Sinha, Aloka. Soft biometrics in conjunction with optics based biohashing. Optics Communications, Volume 284, Issue 3, pag. 756. February 2011. Cfr. Numeral 14 del artículo 4 del Reglamento europeo de protección de datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
Incorporado en el Decreto 1074 de 2015 Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. RESOLUCIÓN NÚMERO 30489 DE 2020
4. ANÁLISIS DE CASO Y DE LA RELACIÓN JURÍDICA DEL HOTEL DIEZ MEDELLÍN, EL FOTÓGRAFO Y LAS PERSONAS FOTOGRAFIADAS En el presente caso se publicaron en la Revista Caras algunas fotos de la fiesta del matrimonio de la denunciante. Desde la perspectiva de la regulación de datos personales resulta relevante establecer si el Hotel obró como Responsable o Encargado del Tratamiento porque esto es determinante para precisar sus deberes legales respecto de lo que ordena la Ley Estatutaria 1581 de 2012.
De las pruebas del expediente se constata que la denunciante (no el Hotel Diez Medellín) contrató al fotógrafo. Es decir que el fotógrafo actuó como Responsable del Tratamiento. Lo anterior, como lo afirma la denunciante en los siguientes términos 16: La denunciante contrató los servicios del Hotel Diez Medellín según consta en el “Contrato del evento Nº 001044” 17 y en la Factura de venta Nº 071182 del 22 de noviembre de 201418.
El fotógrafo Andrés Felipe Alonso Arango no forma parte de la nómina del Hotel Diez Medellín. Él, se repite, fue contratado por la denunciante y posteriormente le suministró al Hotel Diez Medellín algunas fotos para que este las difundiera en medios publicitarios digitales e impresos. Esto último se evidencia en la siguiente “autorización de uso de derechos de propiedad intelectual” 19: Folio 1.
Página 9 documento con número de radicado 18-088067-00013-0001. Página 13 documento con número de radicado 18-088067-00013-0001. Página 8 Documento con número de radicado 18-088067-00013-0001. RESOLUCIÓN NÚMERO 30489 DE 2020 Como se observa, el documento anterior solo se refiere a aspectos de propiedad intelectual sobre las fotos pero de ninguna manera suple la autorización previa, expresa e informada que exige la Ley 1581 de 2012 para el tratamiento de datos personales como lo son las imágenes del rostro de las personas fotografiadas.
Por eso, esa “autorización de uso de derechos de propiedad intelectual” no sirve para cumplir los requerimientos legales sobre la captura, uso o publicación de fotos que contengan datos personales. En suma, la denunciante contrató por separado el servicio de fotografía y la recepción de su matrimonio. El primero con el fotógrafo XXXXXXXX, el segundo, con el Hotel Diez Medellín. Fue posteriormente, que éstos dos, celebraron un contrato ajeno al conocimiento de la denunciante, en donde el fotógrafo le ponía a disposición del Hotel Diez Medellín unas fotografías para que fueran usadas por el establecimiento en el “Especial de Novias” de agosto de 2017 de la Revista Caras.
Así las cosas, desde la perspectiva de la regulación de datos personales, el fotógrafo es un Responsable del Tratamiento que suministró a otro Responsable del Tratamiento (Hotel Diez Medellín) fotos con datos personales configurándose así una “transferencia 20” de datos personales entre uno y otro. Visto lo anterior, a continuación se analizará la situación jurídica y las responsabilidades de la sociedad DIEZ MEDELLÍN S.A.S. en sede de apelación. En otro acto administrativo se hará lo propio respecto del fotógrafo.
En el presente caso, el fotógrafo suministró a la sociedad DIEZ MEDELLÍN S.A.S. unas fotos de la denunciante que luego fueron publicadas sin su autorización en una revista. Lo anterior se pone de presente de la siguiente manera en la Resolución No. 18848 del 31 de mayo de 2019: El término transferencia está definido de la siguiente manera en el numeral 5 del artículo 3 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015): “La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país” RESOLUCIÓN NÚMERO 30489 DE 2020 Para efectos de la sanción a la recurrente, se tuvo en cuenta lo siguiente en la Resolución No. 18848 del 31 de mayo de 2019: Allí se dejó constancia que el recurrente aceptó que no cumplió el deber establecido en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012, razón por la cual se redujo la sanción por ese cargo: Una de las fotos publicada contiene la imagen de la denunciante y su esposo, razón por la cual estamos frente a datos personales, los cuales debieron recolectarse, usarse y tratarse observando lo dispuesto en la Ley Estatutaria 1581 de 2012.
RESOLUCIÓN NÚMERO 30489 DE 2020 Nótese que el fotógrafo actuó de buena fe y reconoció que no obtuvo autorización de las personas fotografías (la denunciante y su esposo) para tomar las fotos ni mucho menos le informó que las proporcionaría al Hotel con miras a que se publicaran. Adicionalmente, el fotógrafo también admite que suministró las fotos a la recurrente con miras a “posicionarse” en su profesión y promocionar su marca.
No obstante lo anterior, ello no exime al Hotel de cumplir sus deberes legales como Responsable del Tratamiento. En el presente caso, el Hotel no acreditó prueba de la autorización del Titular del dato para publicar sus fotos en una revista ni mucho menos de que le hubiese informado de que utilizaría sus fotografías para dicho propósito. Adicionalmente, el hotel reconoció que no tramitó debidamente la solicitud presentada por la denunciante.
Como es sabido, en materia de tratamiento de datos le corresponde al Responsable del Tratamiento probar el cumplimiento de sus deberes. En este sentido, el artículo 26 del Decreto 1377 21 de 2013 dispone lo siguiente: “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto” (Destacamos) En suma, el recurrente infringió los siguientes deberes establecidos en la Ley Estatutaria 1581 de 2012: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
(…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley” Dado lo anterior, no se encuentra ninguna irregularidad de parte de esta entidad, razón por la cual se confirmará la decisión adopta por la Dirección de Investigaciones.
5. NO ES NECESARIO QUE SE CAUSE UN DAÑO PARA PODER IMPONER SANCIONES POR LA VULNERACIÓN DEL DERECHO A LA PROTECCIÓN DE DATOS PERSONALES Afirma la recurrente que toda vez que la Revista Caras es una publicación que responde a los más altos estándares de calidad, en ningún momento de ven perjudicados por salir (la pareja) en dicha revista. Es importante recordad que en esta materia es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder Incorporado en el Decreto 1074 de 2015.
RESOLUCIÓN NÚMERO 30489 DE 2020 sancionatorio dentro de los límites fijados en la ley. En este sentido, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas” 22. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal” 23. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Resulta útil reiterar la diferencia que existe entre los elementos que configuran la responsabilidad civil extracontractual y la facultad sancionatoria del Estado. Confunde el recurrente estas dos instituciones cuando afirma que en la resolución apelada “no se tienen en cuenta los argumentos esgrimidos tendientes a demostrar la inexistencia de un daño o peligro del bien jurídico protegido” 24.
La protección de los derechos de las personas respecto del tratamiento de sus datos personales no está sujeta a demostrar el acaecimiento de un daño y/o perjuicio. La vulneración del debido Tratamiento de los datos personales no solo lesiona los derechos de una persona en particular sino que pone en riesgo los derechos humanos de toda la sociedad.
Basta la sola infracción de la norma para que se pueda imponer una sanción, la cual, desde luego, debe tener en cuenta lo dispuesto en el artículo 24 de la Ley 1581 de 2012 para graduar las sanciones a que se refiere el artículo 23 de dicha norma. Bajo esta premisa, el ordenamiento jurídico colombiano le ha conferido a la Superintendencia de Industria y Comercio el deber de ejercer la vigilancia necesaria para garantizar que “en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley” 25.
De este modo, no se enmarcan dentro de las competencias atribuidas a esta entidad aquellas que se desprenden de la configuración de la responsabilidad civil extracontractual. Corte Constitucional. Sentencia C-406 de 2004. Corte Constitucional. Sentencias C-1161 de 2000. Folio 176 Artículo 19 de la Ley 1581 de 2012. Por la cual se dictan disposiciones generales para la protección de datos personales.
RESOLUCIÓN NÚMERO 30489 DE 2020 Es decir, las normas que protegen las personas respecto del Tratamiento de sus datos personales no se refieren a la responsabilidad civil de los Responsables o Encargados del Tratamiento de datos. Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental 26 a la protección de datos 27.
En suma, la Superintendencia de Industria y Comercio, está facultada para sancionar una vez se hubiese probado el desconocimiento de cualquiera de las disposiciones de la Ley 1581 de 2012.
6. CADA RESPONSABLE DEL TRATAMIENTO DEBE CUMPLIR SUS DEBERES LEGALES RESPECTO DEL TRATAMIENTO DE DATOS PERSONALES EN GENERAL Y LOS DATOS SENSIBLES EN PARTICULAR. En el caso concreto, la recurrente quien reconoce que fotografías del matrimonio fueron publicadas en la Revista Caras, pero, además, que en una de ellas aparece el rostro (dato personal) de la pareja.
Lo anterior, en los siguientes términos: Adicionalmente, la recurrente afirma lo que sigue a continuación: Por las razones expresadas en líneas anteriores, para esta entidad no queda duda que en el presente caso la foto publicada es un dato personal de naturaleza sensible porque en ella aparece la imagen facial de la denunciante y su esposo.
Por ende, para el tratamiento de esa categoría especial de datos, el Hotel como Responsable del Tratamiento debió solicitar y conservar la autorización previa, expresa, informada y especial que exige la regulación especial. Recalcamos que toda foto no es, per se, un dato personal. Sólo lo serán aquellas que contengan “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” 28.
Por eso, la foto será dato personal en la medida que permita establecer la identidad de una o varias personas naturales en particular. Adicionalmente, algunas fotos captan la imagen del rostro o la cara de las personas, las cuales son consideradas como información biométrica. Los datos biométricos, a su vez, son un ejemplo de dato sensible 29 tal y como se puede constatar en la definición legal del artículo El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
Esta es la definición legal de dato personal del Los datos sensibles fueron definidos en la ley 1581 de 2012 y en el decreto 1377 de 2013 como “ aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la RESOLUCIÓN NÚMERO 30489 DE 2020 5 de la Ley Estatutaria 1581 de 2012.
Los «datos biométricos»: incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y “comportamentales” (forma de firmar, tono de voz) sobre las personas 30. Para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del decreto 1377 de 201331 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012.
La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.
De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización” 32, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular” 33 Ahora bien, considerando que efectivamente si hubo un Tratamiento de los datos personales, le asiste la carga de la prueba al Responsable del dato en demostrarle a esta autoridad que efectivamente solicitó y conservo la autorización de los Titulares para dicho Tratamiento.
No obstante, como bien lo afirma la recurrente: En este punto es relevante señalar que el Hotel obró como Responsable del Tratamiento de datos personales contenidos en las fotos. Como tal, debe cumplir sus deberes legales con independencia de si los datos los obtuvo o no directamente del Titular del Datos. Desde la perspectiva de la regulación de datos no es eximente de responsabilidad respecto del cumplimiento de obligaciones legales sus deberes, el hecho de que un tercero haya obtenido los datos y luego los transfiera a otro Responsable.
Por ende, el hotel debió solicitar la autorización o asegurarse que quién le suministró los datos tenía autorización para obtener los datos y transferírselos al hotel con fines de publicidad. Nótese que, en materia de tratamiento de datos le corresponde al Responsable del Tratamiento probar el cumplimiento de sus deberes tal y como lo orden el artículo 26 del Decreto 1377 34 de 2013.
Por ende, concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por el recurrente vulnera las normas citadas anteriormente. Así las cosas, no se acogerá el argumento expuesto por el recurrente.
7. PROPORCIONALIDAD DE LA SANCIÓN Y DOSIMETRÍA PUNITIVA. pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos” (Artículo 5 de la ley 1581 de 2012, repetido en el numeral 3 del artículo 3 del decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015).
Saini, Nirmala y Sinha, Aloka. Op. cit. Incorporado en el Decreto 1074 de 2015 Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. Incorporado en el Decreto 1074 de 2015. RESOLUCIÓN NÚMERO 30489 DE 2020 La recurrente considera que la Dirección de Investigación de Protección de Datos no dio aplicación a criterios de graduación. De igual forma, solicita la aplicación del principio de proporcionalidad.
Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, para la graduación de la multa impuesta a la investigada se aplicaron debidamente los criterios pertinentes del artículo 24 de la Ley 1581 de 2012. No debe perderse de vista que DIEZ MEDELLÍN S.A.S desatendió varios deberes legales consagrados en el artículo 17 de la Ley 1581 de 2012 para publicar en una revista datos personales sensibles de la denunciante y su esposo.
Es decir, el actuar de la recurrente carece de una debida diligencia no sólo en el Tratamiento de los datos para fines no autorizados, pero, además, en el haber realizado una orden de publicación en una revista de amplia circulación de imágenes que no contaban con su debida autorización para hacer dicha operación. Lo anterior, se observa en la siguiente imagen (folio 19): En segundo lugar, es claro que la Resolución No. 18848 del 31 de mayo de 2019 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajusta a Derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).
Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En tercer lugar, la ley ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012.
En este orden de ideas, la artículo 23 de la Ley 11581 de 2012, y fue precisamente dentro de tales límites que impuso la sanción. En cuarto lugar, mediante la Sentencia C -748 del 2011, la Corte Constitucional determinó la constitucionalidad del artículo 24 de la Ley 1581 de 2012 en los siguientes términos: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar RESOLUCIÓN NÚMERO 30489 DE 2020 determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
La recurrente considera que en su caso no hubo aplicación de los criterios de atenuación, como consecuencia del reconocimiento de la infracción y colaboración de su parte. Por eso, solicita la disminución de la sanción que le fue impuesta. Sin embargo, esta Delegatura verificó que efectivamente se realizó un analisis de los criterios de agravación y el criterio de atenuación. En cuanto a éste último se dispuso lo siguiente en la Resolución 18848 del 31 de mayo de 2019: Ahora bien, este Despacho pone de presente que en el recurso de reposición del fotográfo, la Dirección de Investigación redujo en un 60% las sanciones impuestas sobre las cuales el investigado reconoció la comisión de la infracción. En el caso del Hotel, y con miras a garantizar un trato igualitario, se procederá de la misma manera respecto de la conducta reconocida por el mismo.
En efecto, la recurrente aceptó que desconoció lo que ordena el literal j) del artículo 17 de la Ley 1581 de 2012. Por esa razón, la Dirección le impuso multa de $12,331,740. Teniendo en cuenta la reducción del 60% mediante la resolución 55689 del 18 de octubre de 2019, se disminuirá esta sanción en el mismo porcentaje, es decir en $7,399,044, de tal manera que la multa por la infracción al citado literal j) será de $4,932,696.
En todo lo demás, por considerarse ajustado a derecho, se confirmará el monto de las sanciones impuestas.
8. DE LA RESPONSABILIDAD DEMOSTRADA Y DE LA RESPONSABILIDAD DE LOS ADMINISTRADORES Aunque las razones anteriores son suficientes para confirmar la Resolución No. 18848 de 31 de mayo de 2019, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales. ii.
Responsabilidad Personal de los Administradores.
8.1. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES. Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable o al Encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.
Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber RESOLUCIÓN NÚMERO 30489 DE 2020 constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante” 35. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2636 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.” 37 Cfr. Corte Constitucional, sentencia T-227 de 2003.
El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
RESOLUCIÓN NÚMERO 30489 DE 2020 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada 38(accountability) 39”. El término “accountability” 40, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza 41 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término inglés accountability puede ser traducido por rendición de cuentas.
Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.
Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
RESOLUCIÓN NÚMERO 30489 DE 2020 En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 42.
(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 43, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos” 44.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 45. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance” 46. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 47 que les permita Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. RESOLUCIÓN NÚMERO 30489 DE 2020 “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales” 48. 8.2.
RESPONSABILIDAD PERSONALES. DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los Derechos Humanos, los cuales, son imprescindibles para que cualquier individuo sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en ese mundo no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.
Ahora, según el artículo 22 de la Ley 222 de 1995 49 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.
Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y, además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).
Ibidem. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 30489 DE 2020 En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma.
Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas. Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.
No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 24 50 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros” 51.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo expuesto, se exhortará a la sociedad DIEZ MEDELLÍN S.A.S para que adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.
Respetar y garantizar los derechos de los titulares de los datos. 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)” 52. 5.
Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas. Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.
No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.
Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 30489 DE 2020
9. DE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO
49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) Por su parte el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, dispone lo siguiente:
ARTÍCULO
87. FIRMEZA DE LOS ACTOS ADMINISTRATIVOS. Los actos administrativos quedarán en firme: 1. Cuando contra ellos no proceda ningún recurso, desde el día siguiente al de su notificación, comunicación o publicación según el caso. 2. Desde el día siguiente a la publicación, comunicación o notificación de la decisión sobre los recursos interpuestos. 3.
Desde el día siguiente al del vencimiento del término para interponer los recursos, si estos no fueron interpuestos, o se hubiere renunciado expresamente a ellos. 4. Desde el día siguiente al de la notificación de la aceptación del desistimiento de los recursos. 5. Desde el día siguiente al de la protocolización a que alude el artículo 85 para el silencio administrativo positivo.
(destacamos) De conformidad con las normas anteriormente citadas, este Despacho modificará el artículo primero de la Resolución Nº. 55689 de 18 de octubre de 2019 para indicar en Unidades de Valor Tributario (UVT) 53 el valor de la multa impuesta en pesos colombianos, de conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019. 10.
CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones del recurrente por las siguientes razones: 1. Para publicar fotos que captan la imagen del rostro o la cara de una persona, es necesario que el Responsable del Tratamiento solicite la autorización previa, expresa e informada a que se refiere la Ley Estatutaria 1581 de 2012.
Esta se puede obtener mediante cualquiera de los mecanismos autorizados por la ley y sus normas reglamentarias, pero el Responsable debe asegurarse de conservar copia de la misma para suministrarla al Titular del dato cuando la requiera en virtud del literal b) del artículo 8 de la citada ley y para dar cumplimiento al literal b) del artículo 17 de la misma.
De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 RESOLUCIÓN NÚMERO 30489 DE 2020 2. Es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración pueda ejercer su poder sancionatorio.
No es necesario que se cause un daño para poder imponer sanciones por la vulneración del derecho a la protección de datos personales. 3. Se confirmó que la recurrente efectivamente incurrió en las irregularidades por las cuales fue sancionado. Para efectos de la graduación de la sanción se aplicaron los criterios pertinentes del artículo 24 de la Ley 1581 de 2012 y se tuvo en cuenta que el recurrente admitió que no cumplió lo que dispone el literal j) del artículo 17 de la citada ley.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, este Despacho concluye que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 18848 de 31 de mayo de 2019, pero modificando el monto de la multa por la infracción del literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: MODIFICAR el ARTÍCULO PRIMERO de la Resolución No. 18848 de 31 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO PRIMERO: Imponer las siguientes sanciones pecuniarias a la sociedad DIEZ MEDELLÍN S.A.S., identificada con el Nit. 900.360.649-8: (i) el pago de cuarenta y un millones ciento cinco mil ochocientos pesos M/TCE ($41.105.800), equivalente a 1154,430309 Unidades de Valor Tributario (UVT), por la violación del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la referida ley.
(ii) El pago de veinte millones quinientos cincuenta y dos mil novecientos pesos M/TCE ($20.552.900), correspondiente a 577,2151543 Unidades de Valor Tributario (UVT), por la violación del literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma ley. (iii) El pago de cuatro millones novecientos treinta y dos mil seiscientos noventa y seis pesos M/TCE ($4,932,696), correspondiente a 138,531637 Unidades de Valor Tributario (UVT), por la violación del literal j) del artículo 17 de la Ley 1581 de 2012.
ARTÍCULO SEGUNDO: CONFIRMAR en todas sus partes la Resolución No. 18848 de 31 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo y las modificaciones realizadas en la presente Resolución.
ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a la sociedad DIEZ MEDELLÍN S.A.S identificada con NIT. 900.360.649-8, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión a la señora ALEJANDRA PRENTT RINCON identificada con la Cédula de Ciudadanía No. 52.427.647, RESOLUCIÓN NÚMERO 30489 DE 2020 entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO QUINTO. Exhortar a la sociedad DIEZ MEDELLÍN S.A.S para que adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1. Respetar y garantizar los derechos de los titulares de los datos. 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. 4.
Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)” 54. 5. Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.
ARTÍCULO SEXTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNIQUESE Y CÚMPLASE Dada en Bogotá, D.C., 23 de junio de 2020 El Superintendente Delegado para la Protección de Datos Personales ALC El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 30489 DE 2020 Notificación Entidad: Identificación: Dirección: Representante legal: Identificación: Ciudad: Correo electrónico: DIEZ MEDELLÍN S.A.S NIT. 900.360.649-8 Calle 10 A 34-11 INT 127 MARYORI OTÁLVARO MESA C.C. 43.097.830 Medellín, Antioquia.
Maryori.otalvaro@diezhotel.com Apoderada: Señora: Identificación: Dirección: Ciudad: Correo electrónico: LUISA FERNANDA DIEZ FONNEGRA C.C 43.591.082 Carrera 48 N° 12 sur – 148 oficina 803 Medellín, Antioquia. luisafdadiez@hotmail.com Comunicación Reclamante Señora: Identificación: Dirección: Ciudad: ALEJANDRA PRENTT RINCON C.C. Nº 52.427.647 Calle 6b Sur N 37-51 Apto 803 Edificio Ceylan Duplex Medellín, Antioquia.