(Marzo 29 de 2022) VERSIÓN ÚNICA Radicación 19-130128 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011(modificado por el artículo 6 del Decreto 92 de 2022), el numeral 3 del artículo 74 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y,
CONSIDERANDO
PRIMERO. Que mediante Resolución N°. 27387 del 6 de mayo de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió́ imponer una sanción pecuniaria a la empresa MEDINUCLEAR S.A.S., identificada con el Nit. 800.223.618-0, de VEINTINUEVE MILLONES NOVECIENTOS NOVENTA MIL CUATROCIENTOS OCHO PESOS M/CTE ($29.990.408), correspondiente OCHOCIENTOS VEINTISÉIS (826) Unidades de Valor Tributario (UVT) por la violación al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
De igual manera, mediante dicho acto administrativo ordenó lo siguiente: • La sociedad MEDINUCLEAR S.A.S., deberá́ adoptar una Política de Tratamiento de información conforme a lo señalado en la Ley 1581 de 2012 y, particularmente al artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. • La sociedad MEDINUCLEAR S.A.S., deberá́ modificar sus manuales para dar cumplimiento a lo señalado en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015, con el fin de que la recolección, almacenamiento, uso y circulación de los datos personales sean objeto de tratamiento durante el tiempo que sea razonable y necesario.
SEGUNDO. Que, estando dentro del término legal establecido, el día 1 de junio de 2021 mediante escrito radiado bajo el número 19-130128-00026, la sociedad investigada interpuso ante esta Superintendencia recurso de reposición y en subsidio de apelación contra la Resolución número 27387 del 6 de mayo de 2021 con fundamentado los siguientes argumentos: 1.
Señaló la investigada que en diciembre 7 de 2020 entró en vigencia la “Política de Tratamiento de Datos Personales ODSI001 – versión 2”, lo cual “deja en evidencia que con anterioridad a la expedición de la Resolución No. 27387 de fecha 6 de mayo de 2021 ( ) MEDINUCLEAR S.A.S ya había procedido con la actualización de su Política de Tratamiento de Datos Personales, dando cabal cumplimiento a lo dispuesto en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.” En razón a esto, solicita revocar la sanción impuesta y la orden administrativa.
HOJA Nº, 2 2. Indica que, el “Procedimiento de Seguridad y Trazabilidad de la Información PRSI002” fue modificado en diciembre de 2020 “con el fin de que incluyera de manera expresa lo correspondiente a la recolección, almacenamiento, uso, circulación y supresión de la información” por lo que “actualmente cumple con los requisitos establecidos en el artículo 2.2.2.25.2.8. del Decreto Único Reglamentario 1074 de 2015.” Por lo anterior, solicitó revocar la orden administrativa “relacionada con la modificación de Manuales”, debido a que dicha orden ya ha sido acatada. 3.
Manifestó que, en caso de que no prospere la petición de revocatoria de la sanción y de las órdenes administrativas, solicita reconsiderar el valor de la multa teniendo en cuenta los siguientes argumentos: Que se tenga en cuenta lo dispuesto en el literal f del artículo 24 de la ley 1581 de 2012 toda vez que previo a la expedición de la Resolución número 27387 del 6 de mayo de 2021, la sociedad ya había actualizado su Política de Tratamiento de Datos Personales, pues señaló que: “(e)n efecto MEDINUCLEAR S.A.S. había adoptado una política de tratamiento de Datos personales que entró en vigencia el 12 de junio de 2019 y fue la que presentó en el marco de su escrito de descargos en ejercicio de su derecho de defensa, por tal motivo no acepto(sic) en su momento y de manera expresa la comisión de la infracción. ( ) Sin embargo, de manera posterior y en atención a los requerimientos de la autoridad, esta sociedad evidenció la necesidad de actualizar y complementar su Política de Tratamiento de Datos Personales con el fin de cumplir cabalmente con los requisitos establecidos en el artículo 2.2.2.25.3.1 del Decreto Reglamentario 1074 de 2015 y adelantó dicha actuación antes de que la autoridad emitiera el acto administrativo por medio del cual se impuso la sanción”.
Indicó que, la Resolución en mención no dio cumplimiento al deber de motivación del acto administrativo, vulnerando así el debido proceso y derecho de defensa. “El hecho de que la Política de Tratamiento de Datos Personales de la sociedad MEDINUCLEAR S.A.S., vigente para dicha fecha, no cumpliera con la totalidad de los requisitos establecidos en el artículo 2.2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 no implica per sé que se afectó de forma real y concreta los intereses jurídicos tutelados por la Ley” (negrilla y subraya del texto original) Señaló que: “La Dirección cita como sustento de la ‘afectación real y concreta de los intereses jurídicos’ un incumplimiento de carácter normativo, sin que en el presente caso se materializara un daño real y concreto.
Es importante mencionar que, hasta la fecha, no se ha configurado y demostrado la vulneración de los derechos de algún titular de la inforación respecto del cual MEDINUCLEAR S.A.S. tenga la calidad de responsable, así como tampoco se han recibido quejas en materia de protección de datos por parte de algún titular por un indebido uso de sus datos personales.
( ) De igual manera, indicó que: “Revisada de manera detallada la Resolución No. 27387 de 2021, es posible concluir que no se presenta fundamentación que sustente el valor de la multa, de hecho, no es posible determinar cómo la Dirección de Investigación de Datos Personales determinó el cálculo de las 825UVT ( ) La ausencia de dichos elementos impide el correcto ejercicio de defensa de MEDINUCLEAR S.A.S. debido a que con los elementos expuestos en la citada resolución no es posible presentar contraargumentos frente al valor determinado por la autoridad”.
HOJA Nº, 3 Manifiesta que, teniendo en cuenta lo consagrado en el artículo 49 de la Ley 1437 de 2011 que establece que “el funcionario competente proferirá el acto administrativo definitivo dentro de los treinta (30) días siguientes a la presentación de los alegatos” y que los alegatos de conclusión se presentaron el 30 de octubre de 2019, “la autoridad debió proferir acto administrativo el 13 de diciembre de 2019” y por tanto la autoridad debió tomar en cuenta el valor de los UVT para el año 2019 y no el valor de los UVT para el año de expedición de la Resolución número 27387 de 2021, solicitando así “la aplicación de la normativa vigente a la fecha en que se debió imponer la sanción (año 2019)” Como señala “si la autoridad hubiera fallado en cumplimiento de los términos de ley era viable la aplicación del SMLMV del año 2019” y “no existe justificación fáctica frente a la dilación del trámite para decidir el presente proceso sancionatorio”.
Con base a los argumentos expuestos previamente, las pretensiones de la recurrente son las siguientes: PRINCIPALES: “REPONER PARA REVOCAR el artículo primero de la Resolución 27387 de 2020 por medio de la cual se impone una sanción y en su lugar ARCHIVAR LA ACTUACIÓN adelantada en contra de la sociedad MEDINUCLEAR S.A.S, titular NIT. 800223.618-0, de acuerdo con los argumentos expuestos en el numeral 1 del acápite II del presente recurso” “REPONER PARA REVOCAR el artículo segundo de la Resolución No. 27387 de 2020 por medio del cual se imparten dos órdenes administrativas y en su lugar ARCHIVAR LA ACTUACIÓN adelantada en contra de la sociedad MEDINUCLEAR S.A.S, titular NIT. 800223.618-0, de acuerdo con los argumentos expuestos en el numeral 1 y 2 del acápite II del presente recurso.” SUBSIDIARIAS: En caso de no prosperar la pretensión principal 2.2. solicitamos respetuosamente: REPONER EN EL SENTIDO DE MODIFICAR el artículo primero de la Resolución No. 27387 de 6 de mayo de 2020, disminuyendo el valor de la multa impuesta como sanción de conformidad con los argumentos expuestos en el numeral 3 del acápite II del presente recurso.
En ningún caso hacer la situación más gravosa, en virtud del principio de non reformatio in peius”.
TERCERO. Que mediante Resolución N°. 67664 del 20 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió lo siguiente: “ARTÍCULO PRIMERO: REVOCAR el artículo segundo de la Resolución número 27387 del 6 de mayo de 2021 porque la sociedad MEDINUCLEAR S.A.S. identificada con el Nit. 800.223.618-0 acreditó prueba de su cumplimiento con ocasión del recurso de reposición. ARTÍCULO SEGUNDO: CONFIRMAR en sus demás partes la Resolución número 27387 del 6 de mayo de 2021, por las razones expuestas en la parte motiva de este acto administrativo”.
CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 1 (modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
HOJA Nº, 4 “(…) 8. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”
2. DE LAS ORDENES ADMINISTRATIVAS QUE FUERON REVOCADAS MEDIANTE RESOLUCIÓN N°. 67664 DEL 20 DE OCTUBRE DE 2021 En su escrito de reposición y en subsidio de apelación, la sociedad recurrente solicitó: “REPONER PARA REVOCAR el artículo segundo de la Resolución No. 27387 de 2020 por medio del cual se imparten dos órdenes administrativas y en su lugar ARCHIVAR LA ACTUACIÓN adelantada en contra de la sociedad MEDINUCLEAR S.A.S, titular NIT. 800223.618-0, de acuerdo con los argumentos expuestos en el numeral 1 y 2 del acápite II del presente recurso”.
(Destacamos). Por su parte, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N°. 67664 del 20 de octubre de 2021 decidió: “ARTÍCULO PRIMERO: REVOCAR el artículo segundo de la Resolución número 27387 del 6 de mayo de 2021 porque la sociedad MEDINUCLEAR S.A.S. identificada con el Nit. 800.223.618-0 acreditó prueba de su cumplimiento con ocasión del recurso de reposición”.
De esta manera, las pretensiones de la recurrente ya fueron satisfechas por esta autoridad. Por ende, este Despacho no se pronunciará sobre los reparos que la recurrente presentó respecto de las órdenes administrativas impartidas mediante Resolución N°. 27387 del 6 de mayo de 2021.
3. DEL TIEMPO EN QUE LA SOCIEDAD RECURRENTE INCUMPLIÓ EL DEBER LEGAL TRANSGREDIDO En el presente caso, la Dirección de Investigación de Protección de Datos Personales pudo determinar que por la fecha de entrada en vigor de la Política de Tratamiento de Datos Personales allegada, el documento fue elaborado con posterioridad al requerimiento de esta autoridad.
Esto resulta en un incumplimiento sumamente grave puesto que la investigada no tenía elaborados los documentos sabiendo que maneja información sensible e impidiendo que los Titulares puedan hacer valer sus derechos. Más aún, considerando que la sociedad recurrente se constituyó en 1994 y que la Ley 1581 de 2012 fue promulgada el 17 de octubre del 2012 y entró en vigor hasta el 17 de abril del 2013, de acuerdo con el régimen de transición dispuesto en el artículo 28 de la misma ley, la investigada debía adecuar sus procedimientos hasta el 17 de abril del 2013 para efectos de cumplir con la normatividad mencionada.
Sin embargo, teniendo presente que la documentación aportada no refleja esta última fecha, se tiene que la sociedad se demoró un total de siete (7) años, siete (7) meses y veintiún (21) días en cumplir la citada ley. Fecha en que debía adecuar procedimientos 17 de abril del 2013 Fecha en que se adecuaron los procedimientos 7 de diciembre de 2020 Entonces, la sociedad MEDINUCLEAR S.A.S. incumplió el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, por un tiempo de siete (7) años, siete (7) mes y veintiún (21) días.
HOJA Nº, 5
4. DE LOS TÉRMINOS DISPUESTOS PARA QUE LA AUTORIDAD EXPIDA UNA DECISIÓN La sociedad recurrente afirma en su recurso de apelación lo siguiente: “En el presente caso los alegatos de conclusión se presentaron el 30 de octubre de 2019, razón por la cual, la autoridad debió proferir acto administrativo definitivo el 13 de diciembre de 2019, en cumplimiento del término de los treinta (30) días establecidos en el artículo 49 de la Ley 1437 de 2011.
Contrario a lo anterior, la Resolución No. 27387 se expidió el 6 de mayo de 2021, es decir, un año y cinco meses después del término regulado en la ley.” Este Despacho no comparte el hilo argumentativo de la sociedad recurrente. Resulta pertinente reiterar la jurisprudencia del Consejo de Estado respecto de los términos procesales. Dicha corporación afirma que, “(…) los términos procesales que tiene el Estado para proferir las decisiones correspondientes son términos de tipo perentorio pero no necesariamente preclusivos.
Es decir que, así esté vencido un plazo, la decisión correspondiente resulta válida y eficaz, salvo que el legislador expresamente haya consagrado otra disposición como cuando estipula la preclusión del término en el sentido de indicar que la Administración pierde competencia para decidir y que, en su lugar, surja el acto ficto o presunto favorable al administrado”2.
(Destacamos). De ahí que, el artículo 52 de la Ley 1437 de 2011 establece lo siguiente respecto a la caducidad de la facultad sancionatorio de la administración: “Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado”.
(Destacamos). Según la información que reposa en el expediente, la sociedad recurrente cesó el incumplimiento al Régimen General de Protección de Datos Personales el 7 de diciembre de 2020. Por tanto, esta autoridad actuó dentro del término legal establecido para imponer sanciones en concordancia con el artículo 52 de la Ley 1437 de 2011 En suma, no son de recibo los argumentos de la recurrente por no ajustarse a derecho y porque la sanción fue emitida dentro de los términos de ley.
La Superintendencia de Industria y Comercio no perdió la facultad sancionatoria por no emitir la decisión dentro de los 30 días siguientes a la radicación del escrito de alegatos de conclusión.
5. DE LA MOTIVACIÓN DE LOS ACTOS ADMINISTRATIVOS La sociedad recurrente afirma lo siguiente en su recurso de apelación: “Revisada de manera detallada la Resolución No. 27387 de 2021, es posible concluir que no se presenta fundamentación que sustente el valor de la multa, de hecho, no es posible determinar cómo la Dirección de Investigación de Datos Personales determinó el cálculo de las 826 UVT para finalmente determinar el valor de VEINTINUEVE MILLONES NOVECIENTOS NOVENTA MIL CUATROCIENTOS OCHO PESOS M/CTE ($29.990.408)”.
La resolución recurrida cumplió todos los requisitos de ley, entre ellos, la debida motivación del acto administrativo. Precisamente, en la página 19 de la Resolución N°. 27387 del 6 de mayo de 2021 se recopilan, en los siguientes términos, las conclusiones del caso: 2 CONSEJO DE ESTADO. SALA DE LO CONTENCIOSO ADMINISTRATIVO. SECCION CUARTA.
C.P.: HUGO FERNANDO BASTIDAS BARCENAS. Radicación número: 25000-23-27-000-2006-01364-01(17497) del 12 de abril de 2012 HOJA Nº, 6 De ahí que, el fundamento que sustenta el valor de la sanción impuesta es la desatención a los deberes legales establecidos en la Ley 1581 de 2012 y su decreto reglamentario. En especifico, lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.
Vale la pena recordar que la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
(Destacamos). Así las cosas, es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio.
6. DE LA PROPORCIONALIDAD Y DOSIFICACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”3. La sociedad recurrente afirma, entre otras cosas, lo siguiente en su recurso de apelación: “Al respecto, y en aras de dar cumplimiento estricto al principio de razonabilidad y proporcionalidad a la hora de establecer el valor de la multa, la autoridad debe contemplar para el cálculo la norma aplicable para el año en que se debió imponer la correspondiente sanción de acuerdo con los término de ley establecidos para el procedimiento sancionatorio administrativo y lo dispuesto en el literal a) artículo 23 de la Ley 1581 de 2012, es decir el año 2019 (…)”.
Como es sabido, la Ley Estatutaria 1581 ordena, entre otras, lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº, 7 Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó (…)”. (Destacamos). De la simple lectura de la norma se puede concluir que la resolución recurrida respetó lo establecido en el literal a) del artículo 23 de la Ley 1581 de 2012, toda vez que el cálculo de la sanción se realizó con base al SMMLV al momento de la imposición de la sanción, es decir, el 2021.
De acuerdo con lo establecido previamente, esta Superintendencia no perdió la facultad sancionatoria por no emitir la decisión dentro de los 30 días siguientes a la radicación del escrito de alegatos de conclusión. De ahí que, la sanción i) se impuso dentro del plazo legal permitido y ii) el monto de la misma se calculó con el SMMLV vigentes al momento de la imposición de la sanción, tal y como lo ordena el citado artículo.
Ahora bien, refiriéndose a la “constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato”, la Corte Constitucional precisó que la facultad investigativa y sancionatoria de esta entidad, “(…) es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”4.
La resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Estos se encuentran consagrados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración por parte del Banco de Bogotá de la regulación sobre tratamiento de datos personales5.
Es necesario destacar lo siguiente: En primer lugar, el monto de la multa impuesta a MEDINUCLEAR S.A.S. es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. Precisamente, quedó demostrado que la sociedad MEDINUCLEAR S.A.S., transgredió el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, por un tiempo de siete (7) años, siete (7) meses y veintiún (21) días6.
No sobra señalar que la sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Dato personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia. 4 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.21.3.1 5 Se comprobó que la sociedad BANCO DE BOGOTÁ infringió abiertamente las normas sobre protección de datos personales consagradas en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012. 6 Tiempo en el cual se vio afectado el derecho fundamental de los Titulares de información como: los accionistas, candidatos a vacantes, aprendices, practicantes, trabajadores, profesionales de salud, estudiantes, residentes, candidatos a proveedores de bienes y servicios, contratistas/proveedores de bienes o servicios, clientes, pacientes, usuarios y visitantes, incluyendo menores de edad, entre otros.
HOJA Nº, 8 En todo caso, la multa impuesta es proporcional si se tiene en cuenta que el momento límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes, por lo que, para este caso, dicha multa, equivale a 1,65% del monto máximo permitido por la Ley. La vulneración del derecho de la protección de Datos pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Finalmente, resulta necesario señalar lo siguiente: • La multa impuesta mediante la Resolución N°. 27387 del 6 de mayo de 2021 ($29.990.408) equivale al 1,65% del máximo legal permitido por el artículo 23 de la Ley 1581 de 2012. • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. • La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. • Las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de Datos personales.
Es decir, las normas que protegen el derecho de habeas data o protección de Datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. Así las cosas, la defensa de un derecho fundamental no puede doblegarse ante los intereses económicos de un Responsable que violentó el ordenamiento jurídico. Por los motivos expuestos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.
7. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.
Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”7. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. 7 Cfr. Corte Constitucional, sentencia T-227 de 2003. HOJA Nº, 9 El artículo 268 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”9 Es de resaltar que la Corte Constitucional mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.
El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.
Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.
Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;
(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho 8 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 9 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
HOJA Nº,10 al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”10. (Destacamos). Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de Datos personales.
El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza 11 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales. El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.
Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.
Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 12.(Énfasis añadido).
El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos.
8. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política de Colombia señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa 10 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.
M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm 11 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. 12 Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
HOJA Nº,11 ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.
Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto.
En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios.
En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Ahora, según el artículo 22 de la Ley 222 de 1995 13 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 24 14 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han 13 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 14 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores.
El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.
HOJA Nº,12 obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”15.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: • La sociedad MEDINUCLEAR S.A.S. incumplió el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, por un tiempo de siete (7) años, siete (7) meses y veintiún (21) días. • La multa impuesta mediante la Resolución N°. 27387 del 6 de mayo de 2021 ($29.990.408) equivale al 1,65% del máximo legal permitido por el artículo 23 de la Ley 1581 de 2012.. • La vulneración del derecho de la protección de Datos pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución N°. 27387 del 6 de mayo de 2021.
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR la Resolución N°. 27387 del 6 de mayo de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo y en los términos que fue modificada mediante la Resolución N°. 67664 del 20 de octubre de 2021.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a MEDINUCLEAR SOCIEDAD POR ACCIONES SIMPLIFICADA MEDINUCLEAR S.A.S. identificada con el NIT. 800.223.618-0 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 29 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.29 ANGARITA Fecha: 17:47:19 -05'00' NELSON REMOLINA ANGARITA ALC 15 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.
Notificación Sociedad: MEDINUCLEAR SOCIEDAD POR ACCIONES SIMPLIFICADA MEDINUCLEAR S.A.S Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: NIT. 800.223.618-0 JAVIER JESÚS PAZ MORA C.C. No. 12.981.687 gerencia@grupomedinuclear.com Carrera 34 N°. 11 A – 12 Barrio la Aurora San Juan de Pasto, Nariño República de Colombia HOJA Nº,13