Resolución sancionatoria N° 79324 de 2022

REPÚBLICA DE COLOMBIA (10 NOVIEMBRE 2022) “Por la cual se impone una sanción” VERSIÓN ÚNICA Radicación 20-120429 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con NIT 900.017.916-0, quien en adelante se denominará el Responsable de Tratamiento de datos personales, llevó a cabo el Registro Nacional de Bases de Datos según lo establecido en el artículo 25 de la Ley 1581 de 2012 y el Decreto 1074 de 2015.

SEGUNDO: Que el Responsable de Tratamiento de datos personales frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” del Registro Nacional de Bases de Datos reconoció que (i) no ha implementado acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) no cuenta con un procedimiento para la Gestión de usuarios con acceso a la información personal, (iii) no ha implementado una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final) y (iv) no cuenta con una política y procedimientos implementados de gestión de incidentes de seguridad de la información personal.

TERCERO: Que el Responsable de Tratamiento de datos personales reconoció que está realizando Tratamiento de información de menores de edad, lo cual, tiene una protección especial y por lo tanto se debe velar por el uso adecuado de los principios y obligaciones establecidos en la Ley 1581 de 2012 y el Decreto 1074 de 2015.

CUARTO: Que el Responsable de Tratamiento de datos personales, cargó sus políticas de Tratamiento de datos personales al realizar la inscripción el Registro Nacional de Bases de Datos.

QUINTO: Que, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N° 33212 del 30 de junio de 2020 impartió a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con NIT 900.017.916-0, las siguientes ordenes administrativas: “(…)

ARTÍCULO PRIMERO: ORDENAR a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. identificada con el Nit 900.017.916-0 que, en su calidad de responsable del Tratamiento, cumpla con la siguiente orden: 1.1 Implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal. 1.2 Documentar e implementar una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final).

“Por la cual se impone una sanción ” HOJA 2 VERSIÓN ÚNICA ARTÍCULO SEGUNDO: La sociedad mencionada deberá cumplir lo ordenado en esta resolución dentro de los SEIS (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: La sociedad mencionada, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto señalado en el parágrafo anterior. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.

Dicha certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas por esta Dirección y que las mismas están operando con suficiente efectividad.

ARTÍCULO TERCERO: ADVERTIR a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con el Nit 900.017.916-0, que debe cumplir la orden impartida por esta Dirección. De no hacerlo, se procederá a iniciar la respectiva actuación administrativa de carácter sancionatorio.” 1 SEXTO: Que, Resolución N° 33212 del 30 de junio de 2020 le fue notificada a la sociedad investigada por aviso N° 14693 el día 17 de julio de 2020, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-120429- 7 del 13 de agosto de 2020.

SÉPTIMO: Que, la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. allegó complemento de información el 8 de julio de 2020 mediante radicado No. 20-120429- 4, por medio del cual autorizó la notificación de la Resolución mencionada al correo de notificación judicial de la sociedad.

OCTAVO: Que, vencido el término establecido en el parágrafo primero del artículo segundo de la Resolución No. 33212 del 30 de junio de 2020, se evidencia que la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. con número de identificación tributaria 900.017.916-0 guardó silencio y no acreditó el cumplimiento de las órdenes impartidas por este Despacho.

NOVENO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar, se inició la presente investigación administrativa mediante la expedición de la Resolución N° 42910 de 6 de julio de 2022 por medio de la cual se formuló cargo único a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. por el presunto incumplimiento a las disposiciones contenidas en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.

DÉCIMO: Que, la Resolución N° 42910 de 6 de julio de 2022 le fue notificada a la investigada mediante aviso N° 15411 el 18 de julio de 2022, de conformidad con la certificación con número de radicado 20-120429- 13 de fecha de 21 de julio de 2022 expedida por la Secretaría General de esta Superintendencia, para que la investigada se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendía hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

DÉCIMO PRIMERO: Que, mediante comunicación radicada bajo número 20-120429- 14 de fecha de 8 de agosto de 2022 la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. presentó los respectivos descargos argumentando, entre otras cosas, que: “se tiene que la formulación de cargos en contra de la sociedad a la cual represento surge en el marco de la presunta trasgresión a las ordenes (sic) impartidas mediante Resolución N° 33212 del 30 de junio de 2020 por parte de la Superintendencia de Industria y Comercio; cuestión que como pasará a explicarse en el acápite de fundamentos jurídicos no atiende a la realidad fáctica de las actuaciones emanadas de SERVICIOS ESPECIALIZADOS FCB S.A.S., quien en cumplimiento de lo ordenado por la Autoridad procedió a dar cumplimiento cabal de las ordenes (sic) impartidas.

IV. CONSIDERACIONES JURÍDICAS. - Del análisis de la culpabilidad como elemento configurativo en el proceso administrativo sancionatorio. 1 Resolución N° 33212 del 30 de junio de 2020. Folio 10. HOJA 3 “Por la cual se impone una sanción ” VERSIÓN ÚNICA El proceso administrativo sancionatorio es el mecanismo mediante el cual el Estado ejerce el poder punitivo que la Constitución y la ley le otorgan, a través de las entidades administrativas que determina para llevar a cabo funciones de inspección, vigilancia y control; para que impongan a los administrados una sanción proporcional a la acción u omisión de los deberes y/o obligaciones legales a las cuales están sometidos según el sector en el que actúen.

Por consiguiente, derivado de la existencia del proceso administrativo sancionatorio debe indicarse que el mismo se encuentra revestido por unos principios bases para su consecución, sobre los cuales, se desprende el principio de culpabilidad; el cual, se encuentra dentro del conjunto de garantías individuales que rigen el Estado Social de Derecho, teniendo su importancia en la operatividad de los límites de la potestad punitiva del estado y como consecuencia formar las condiciones mínimas necesarias para la imposición de sanciones.

Al respecto, es de fundamental observancia para el caso en concreto, el análisis del principio de culpabilidad, establecido en el artículo 29, donde no solamente se incluye la potestad sancionadora del Estado, sino que establece igualmente los principios que rigen las actuaciones penales y administrativas. Entre estos postulados, con piso constitucional, se encuentra el de culpabilidad, que se refiere a la exigencia de dolo o culpa del infractor para la imposición de una sanción. La posición de la Corte constitucional en relación con la aplicación de los principios del derecho penal al administrativo ha consistido en extender los principios del primero al segundo. En consecuencia, esta delegatura, establece en la Resolución No. 42910 de 2022 “Por la cual se inicia una investigación administrativa y se formulan cargos” contra la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. un cargo único que versa exclusivamente sobre la presunta infracción por parte de la investigada, en su condición de Responsable del Tratamiento, del deber de cumplir con las instrucciones que imparta la autoridad de control, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.

Cuestión que resulta a todas luces debatible y como pasará a demostrarse no encuentra prueba de la culpabilidad de SERVICIOS ESPECIALIZADOS FCB S.A.S., ya que esta sociedad procedió a reconducir su conducta bajo los parámetros establecidos y solicitados por parte de la incluso allego a las instancias del despacho un complemento de información mediante radicado No. 20-120429- 4 tal y como obra dentro del proceso.

En observancia con lo anterior, el concepto de culpabilidad tiene su definición inicial respecto del derecho, en donde se entiende como (…) la conciencia de la antijuridicidad de la conducta, es decir supone la reprochabilidad del hecho ya calificado como típico y antijurídico, fundada en el desacato del autor frente al Derecho por medio de su conducta, mediante la cual menoscaba la confianza general en la vigencia de las normas.

Derivado de lo anterior, como pasará a demostrarse al Despacho, la Institución a la cual represento cumplió dentro del término establecido por la Delegatura con la subsanación de los faltantes dentro de la implementación de la política de tratamiento de datos personales, (…) Ergo, como se demostrará en el presente documento, dentro del término establecido por la (sic) impartidas y transcritas con anterioridad, respecto de ello, se tiene que el termino establecido por la autoridad constituían seis meses.

Con base en lo anterior, se tiene que el término que se tenía para interponer los recursos de ley vencía el 3 de agosto del 2020, de modo que la Resolución en cuestión quedó en firme a partir del 4 de agosto de 2020. Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, es claro que el plazo para dar cumplimiento a estas vencía el 4 de febrero de 2021.

Es así, como SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a cumplir dentro del plazo dado por este Despacho, teniendo como fecha máxima el día 04 de febrero de 2021, pero habiendo implementado la subsanación de lo requerido por la autoridad administrativa dentro del término previsto, es decir, antes del 04 de febrero de 2021, tal y como pasa a demostrarse a continuación: “Por la cual se impone una sanción ” HOJA 4 VERSIÓN ÚNICA En concordancia, SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a dar cumplimiento a cada una delas ordenes (sic) impartidas por el Despacho para el asunto, tal y como se aporta en las pruebas allegadas a la delegatura, cuestión que, por demás, rompe con la presunción de infracción de la Institución en cuestión. Para ello, es menester sostener, que el cargo único formulado por este Despacho se subsume dentro de la inobservancia del deber de cumplir con las instrucciones que imparta la autoridad de control, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma normatividad.

Lo cual, tal y como se demostró no encuentra cimientos fácticos justificables para dicha atribución; ya que, SERVICIOS ESPECIALIZADOS FCB S.A.S. para el año 2020 y luego de conocer las órdenes dadas por el Despacho, procedió a implementar cada una de ellas en su gestión administrativa. “Por la cual se impone una sanción ” HOJA 5 VERSIÓN ÚNICA También se tiene que el principio de culpabilidad establece la garantía constitucional que tiene una persona en un Estado social de derecho de no ser juzgada y sancionada por la simple verificación de la realización de un hecho constituido como ilícito.

Para los efectos, es demostrable la actuación de SERVICIOS ESPECIALIZADOS FCB S.A.S. al dar cumplimiento dentro del año 2020 de las ordenes (sic) impartidas por la Autoridad respecto de la necesidad de implementación de varios aspectos sustanciales, los cuales, fueron acatados y estructurados dentro del término establecido para ello. De conformidad con lo establecido en el Artículo 22 de la Ley 1581 de 2012 sobre datos personales, se tiene que: Trámite.

La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.

Por lo anterior, el proceso que aquí se surte, se encausa en un proceso sancionatorio administrativo preceptuado en el artículo 47 del Código de procedimiento administrativo y de lo contencioso administrativo, procedimiento que cuenta con unas garantías únicas llamadas a cumplirse y que establece para todos los efectos un análisis de culpabilidad de tipo subjetivo y no objetivo, sin que sea dable atribuir una conducta simplemente por el hecho de presumir su no cumplimiento máxime cuando la misma fue acatada y cumplida por la Institución a la cual represento.

Así las cosas, la Corte Constitucional en sentencia T-145 de 1993, sostuvo que, la potestad sancionatoria de la administración debe ceñirse necesariamente a los principios mínimos que establece la Constitución no sólo en pro del interés público, sino también para salvaguardar los intereses de los ciudadanos. En similar sentido, expresó la Corte, en sentencia C-595 de 2010, que en toda actuación administrativa debe mediar un debido proceso, en el cual, prevalezcan los principios de legalidad y de justicia social, y se aseguren “los derechos constitucionales, los intereses legítimos y los derechos de origen legal y convencional de todas las personas”.

Dicha observancia, se expuso también en sentencia del 11 de junio de 2020 (expediente 21640) el Consejo de Estado, la misma Sección Cuarta reconoció que resultaban inadmisibles las figuras sancionadoras que no se basaran en la concurrencia de la culpabilidad del autor al incurrir en la conducta, tal como lo dispone el artículo 29 constitucional, lo que también ha llevado al desarrollo de la teoría de la exoneración de la sanción por existencia de error en el derecho aplicable.

Finalmente, en sentencia del 23 de julio de 2020 (expediente 23580) el Consejo de Estado aclaró que, si bien la institución del error como eximente de responsabilidad no se encuentra en la legislación, se trata de una figura de raigambre constitucional que desmitifica la responsabilidad objetiva en el derecho administrativo sancionatorio.

De modo tal que no debe asociarse a las infracciones de tipo formal como aquellas que no precisan ir precedidas de dolo o culpa, dado que, como fuera expuesto, el mero incumplimiento a la norma por parte del sujeto obligado a seguirla supone la inobservancia de la exigencia debida, lo que implica un comportamiento culpable. Pues bien, si se considera que las sanciones administrativas tienen carácter represivo -no resarcitorio-, y que nuestro ordenamiento jurídico dispone que nadie puede ser penado si no es declarado previamente culpable, no es posible la imposición de una penalidad a quien no sea considerado culpable por la comisión de una infracción administrativa.

En el ámbito administrativo sancionador se admite al error como dispensa para la aplicación de sanciones. La admisión del error de derecho no penal –o extrapenal- como causal exonerativa de culpabilidad -en tanto equiparado a error de hecho- ha sido ampliamente reconocido en materia penal tributaria, receptándose el criterio mayoritario en la dogmática penal.

Dicha conclusión resulta, asimismo, plenamente aplicable al restante universo de sanciones administrativas. Por ello, el error o la ignorancia respecto las obligaciones impuestas o sobre el alcance de las mismas puede llegar a erigirse como causal de exculpación. De conformidad con todo lo anterior, para los hechos que ocupan el caso en particular, se hace necesario estudiar la inexistencia de la culpabilidad como elemento configurativo en el procedimiento administrativo sancionatorio; el cual, concierne a un análisis no de tipo objetivo sino subjetivo de la acción. HOJA 6 “Por la cual se impone una sanción ” VERSIÓN ÚNICA Por lo anterior, SERVICIOS ESPECIALIZADOS FCB S.A.S. por la simple inobservancia de elevar comunicación de la puesta en acción de lo ejecutado, no sería dable atribuirle una infracción al deber, cuando el mismo fue cumplido dentro la temporalidad dada por la Autoridad competente. - Del cumplimiento de las órdenes dadas por la Superintendencia de Industria y Comercio.

El 31 de agosto de 2020, SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a instaurar las siguientes acciones: - La política de Administración de cuentas de usuarios cuyo objetivo es atender las solicitudes de creación, modificación, o retiro de cuentas de usuarios para la disponibilidad y uso de los recursos tecnológicos como archivos, directorios, aplicaciones, entre otros. - La política de Plan estratégico de tecnologías de la información cuyo objetivo es definir una estrategia de Tecnologías de la información y comunicaciones para el desarrollo de la plataforma informática de Servicios Especializados FCB SAS y que soporte el Plan Estratégico y los Planes Operativos institucionales. - El aviso de privacidad, el cual, consagra: SERVICIOS ESPECIALIZADOS FCB SAS en calidad de responsable del tratamiento sus datos personales, informa que los datos personales suministrados por usted con ocasión del acceso a los servicios ofrecidos, serán incluidos en distintas bases de datos y serán utilizados para las siguientes finalidades: 1.

Realizar actividades asociadas a la prestación de los servicios de salud en desarrollo de las actividades y objeto social de la respectiva compañía, incluidas pero sin limitarse a las actividades corporativas, administrativas, de información, comercialización, petición recaudo, cobranza y demás actividades relacionadas con la disposición de la infraestructura necesaria para el desarrollo del objeto social de la respectiva empresa, así como para todas las actividades que provengan de los trámites propios del Sistema de Seguridad Social en Salud y del cumplimiento de las normas que lo regulan ́. 2.

Enviar notificaciones de cambios o mejoras en el esquema de prestación de los servicios, avisos, propagandas o publicidad sobre nuestros productos o servicios de acuerdo con la legislación aplicable. 3. Crear y gestionar bases de datos (incluyendo bases de datos sensibles) para la prestación de los servicios propios, fines de investigación y desarrollo de nuevos servicios. 4.

Contactar a los usuarios a través de los medios electrónicos, telefónicos físicos y/o personales. En el caso de los datos personales de los menores de edad SERVICIOS ESPECIALIZADOS DEL FCB SAS tiene en cuenta el interés superior de los mismos, así como la prevalencia de sus derechos. Adicionalmente, cuando los derechos de tales menores sean ejercidos por un tercero, la SERVICIOS ESPECIALIZADOS FCB SAS verificará que ese tercero esté autorizado conforme a la ley para ello. - Políticas de tratamiento y protección de datos personales teniendo por objeto: En virtud de la Ley 1581 de 2012 (Art. 17 Lt. k y Art. 18 Lt. f) y del Decreto 1377 de 2013 (Art. 13.) mediante los cuales se dictan disposiciones para la protección de datos personales y en el desarrollo del derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos o archivos, SERVICIOS ESPECIALIZADOS FCB SAS en calidad de responsable del tratamiento de los datos personales de sus grupos de interés conformado por los usuarios y sus familias, trabajadores, contratistas, estudiantes, entidades responsables de pago y las entidades de inspección, vigilancia y control, información que se ha obtenido en el desarrollo de su actividad misional de prestar servicios de salud, por lo cual se compromete con el cumplimiento de la normativa mencionada y la protección de los derechos de las personas e informa a su grupo de interés que adopta las siguientes políticas sobre recolección, tratamiento y uso de datos personales. - Elaboración de Copias de Seguridad de Sistemas de Información y Comunicaciones cuyo objetivo es garantizar la seguridad de la información de Servicios Especializados FCB S.A.S. suministrando herramientas de prevención ante pérdidas de información ya sea accidental o intencionalmente. - Administración sistemas de información, cuyo objetivo es gestionar, administrar y garantizar la integridad de las bases de datos y funcionalidad de los diferentes sistemas de información de Servicios Especializados FCB S.A.S., asegurando la disponibilidad de la información de manera oportuna, segura y efectiva. - Plan de Contingencia de la Información cuyo objetivo es asegurar y restaurar los equipos e información con las menores pérdidas posibles en forma rápida, eficiente y oportuna; buscando la mejora de la calidad en los servicios que brinda Servicios Especializados FCB.

“Por la cual se impone una sanción ” HOJA 7 VERSIÓN ÚNICA - Existe a la fecha la visibilidad en la página web de la empresa, la política de tratamiento de datos personales, tal y como se observa a continuación: ETAPA 1: Acceso a la página web de SERVICIOS ESPECIALIZADOS FCB S.A.S. en https://sefcb.co ETAPA 2: Seleccionar nosotros, desplegando la ventana de política de tratamiento de datos personales.

De igual forma, oficios tales como: MA040124-R2 Reporte de incidentes de seguridad, consolidado de incidentes de seguridad, MA04124P Reporte de incidentes de seguridad, MA040101-R4 Acuerdo de confidencialidad contratistas proveedores-contratistas, MA040101R3 Acuerdo de confidencialidad laboral y MA040101G Política para el correcto tratamiento de la información personal demuestran el cumplimiento de las ordenes (sic) impartidas por la Todo lo anterior, demuestra de forma plena, el cumplimiento de las ordenes (sic) impartidas por parte de la Superintendencia de Industria y Comercio a SERVICIOS ESPECIALIZADOS FCB S.A.S. en resolución No. 33212 del 30 de junio de 2020, ajustándose a los preceptos dados por la Autoridad en el sentido de implementar las correcciones correspondientes antes del 04 de febrero de 2021, fecha en la cual fenecía el termino concedido para hacerlo.

Ergo, dicho reproche no se atiende a las realidades fácticas del caso, puesto que SERVICIOS ESPECIALIZADOS FCB S.A.S. dio cabal atención y cumplió con las instrucciones y requerimientos que impartió la Superintendencia de Industria y Comercio en la resolución en cuestión. No obstante, se entiende que esta delegatura, abra de manera preliminar una investigación en contra de la Institución a la cual represento, en observancia a que, debido a un error por desconocimiento, la empresa procedió a corregir los yerros y cumplir con las órdenes dadas por la autoridad competente sin expedir la certificación de dichos asuntos a la Delegatura.

Sin embargo, es necesario que la autoridad administrativa, tenga bajo consideración los elementos propios del juicio y establezca el cumplimiento y acatamiento de las ordenes como se ha demostrado en los anteriores acápites; considerando que, SERVICIOS ESPECIALIZADOS FCB S.A.S. efectivamente cumplió con las ordenes dentro del término previsto y no derive la HOJA 8 “Por la cual se impone una sanción ” VERSIÓN ÚNICA continuación de la investigación en un posible encausamiento del defecto procedimental por exceso ritual manifiesto, el cual, se presenta cuando el funcionario judicial, por un apego extremo y una aplicación mecánica de las formas, renuncia conscientemente a la verdad jurídica objetiva patente en los hechos, derivándose de su actuar una inaplicación de la justicia material y del principio de la prevalencia del derecho sustancial. ” 2 Al respecto, la sociedad investigada para acreditar sus afirmaciones aportó, entre otros, los siguientes documentos3:                      Registro de Creación, modificación o eliminación de usuario.

Procedimiento de Administración de cuentas de usuarios. Registro de Compromiso y protección de cuenta de usuario del sistema. Documento Plan Estratégico de tecnologías de la información. Registro de Consentimiento Informado captura de firma digital. Registro de Autorización de uso de Datos Personales e imágenes. Registro de Autorización de tratamiento de datos personales.

Documento Aviso de Privacidad. Registro Compromiso de confidencialidad y no divulgación de información. Documento Política de tratamiento y protección de datos personales. Procedimiento de elaboración de copias de Seguridad de los sistemas de información y comunicación. Procedimiento de Administración sistemas de información. Procedimiento de plan de Contingencia de la información. Correo de servicios Especializados FCB – Formato protección de Datos.

Correo de Servicios Especializados FCB – Políticas de tratamiento y protección de datos personales. Registro MA040124-R2 Reporte de incidentes de seguridad. Registro de incidentes de seguridad. Procedimiento MA04124P Reporte de incidentes de seguridad. Registro MA040101-R4 Acuerdo de confidencialidad contratistas proveedorescontratistas. Registro MA040101-R3 Acuerdo de confidencialidad laboral.

Guía MA040101G Política para el correcto tratamiento de la información personal.

DÉCIMO SEGUNDO: Que mediante Resolución N° 62872 de 13 de septiembre de 2022, esta Dirección Incorporó las siguientes pruebas del expediente radicado bajo el número 20-120429, con el valor legal correspondiente: 12.1. Resolución N° 33212 del 30 de junio de 2020. 12.2. Complemento de información allegado por la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., de fecha de 8 de julio de 2020, bajo el radicado número 20-120429- 4. 12.3.

Escrito de descargos junto con anexos presentado por la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., de fecha de 8 de agosto de 2022, bajo el radicado número 20-120429- 14.

DÉCIMO TERCERO: Que la Resolución N° 62872 de 13 de septiembre de 2022 le fue comunicada a la investigada el 14 de septiembre de 2022, de conformidad con la certificación radicada bajo el número 20-120429-18 de 21 de septiembre de 2022 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO CUARTO: Que la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. mediante escrito radicado el 27 de septiembre de 2022 bajo número 20-120429- 19 presentó escrito de alegatos de conclusión, en el cual reiteraba lo argumentado en el escrito de descargos.

DÉCIMO QUINTO: Competencia de la Superintendencia de Industria y Comercio 2 Expediente virtual. Consecutivo número 14. Página 2. Folios 2 a 10. 3 Expediente virtual. Consecutivo número 14. Página 33. “Por la cual se impone una sanción ” HOJA 9 VERSIÓN ÚNICA El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEXTO: Análisis del caso 16.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los argumentos de hecho y de derecho de la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 16.2 Valoración probatoria 16.2.1 Respecto del deber de cumplir con las instrucciones que imparta la autoridad de control Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (ordenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

Además, la Ley 1581 de 2012 de su artículo 21 establece que:

ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción ” HOJA 10 VERSIÓN ÚNICA f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 1968, por el cual se creó la de vigilancia y control de acuerdo con las normas vigentes que le corresponden.

De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Política de 1991 y, en este caso particular, en la Ley 1581 de 2012. En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma.

Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. De hecho, no debe perderse de vista que la Ley 1581 de 2012 junto con la Ley 1266 de 2008 se expidieron para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, estas Leyes desarrollan el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

La Corte Constitucional ha establecido que con el propósito de proteger efectivamente el derecho fundamental al habeas data o autodeterminación informática es imperioso asegurar la observancia del principio de autoridad independiente, conforme al cual: “(…) la adopción de una normatividad sólo es efectiva si se garantiza que dentro de la estructura del Estado exista un órgano encargado de garantizar el respeto de los principios (…)”.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Al respecto este Despacho evidenció preliminarmente mediante Resolución N° 69800 del 28 de octubre de 2021 que: “(…)La anterior Resolución le fue notificada a la sociedad investigada por aviso N° 14693 el día 17 de julio de 2020, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-120429- 7 del 13 de agosto de 2020.

“Por la cual se impone una sanción ” HOJA 11 VERSIÓN ÚNICA Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 3 de agosto del 2020, de modo que la Resolución en cuestión quedó en firme a partir del 4 de agosto de 2020. Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, es claro que el plazo para dar cumplimiento a estas vencía el 4 de febrero de 2021.

Además, la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. contaba con 5 días hábiles adicionales para acreditar el cumplimiento de las órdenes administrativas ante esta Superintendencia, término que finalizaba el 11 de febrero de 2021. Con fundamento en lo anterior, este Despacho encuentra que de acuerdo con el acervo probatorio recolectado hasta el momento, la sociedad investigada guardó silencio, y por ende no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N° 33212 del 30 de junio de 2020 dentro del término legal,.

Por lo tanto, preliminarmente se infiere que la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. no cumplió con las órdenes impartidas dentro de la Resolución N° 33212 del 30 de junio de 2020; conducta que se subsume típicamente en una presunta infracción al deber de cumplir con las instrucciones impartidas por la autoridad de control, deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.” 5 En cuanto al acervo probatorio, este Despacho encuentra lo siguiente: 1.

La Dirección de Investigación de Protección de Datos Personales mediante Resolución N° 33212 del 30 de junio de 2020 impartió a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con NIT 900.017.916-0, las siguientes ordenes administrativas: “(…)

ARTÍCULO PRIMERO: ORDENAR a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. identificada con el Nit 900.017.916-0 que, en su calidad de responsable del Tratamiento, cumpla con la siguiente orden: 1.1 1.2 Implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal.

Documentar e implementar una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final).

ARTÍCULO SEGUNDO: La sociedad mencionada deberá cumplir lo ordenado en esta resolución dentro de los SEIS (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: La sociedad mencionada, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto señalado en el parágrafo anterior. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.

Dicha certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas por esta Dirección y que las mismas están operando con suficiente efectividad.

ARTÍCULO TERCERO: ADVERTIR a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con el Nit 900.017.916-0, que debe cumplir la orden impartida por esta Dirección. De no hacerlo, se procederá a iniciar la respectiva actuación administrativa de carácter sancionatorio.” 2. La sociedad mediante escrito radicado el 8 de julio de 2020 bajo consecutivo número 20120429- 4 autorizó la notificación de la Resolución N° 33212 del 30 de junio de 2020 al correo “gerencia@sefcb.co” 3.

De acuerdo a la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-120429- 7 del 13 de agosto de 2020, la Resolución N° 33212 del 30 de junio de 2020 fue notificada a la sociedad investigada por aviso N° 14693 el día 17 de julio de 2020. 5 Resolución N° 69800 del 28 de octubre de 2021. Folio HOJA 12 “Por la cual se impone una sanción ” VERSIÓN ÚNICA 4.

Por su parte, la investigada en su escrito descargos al respecto señaló: “se tiene que la formulación de cargos en contra de la sociedad a la cual represento surge en el marco de la presunta trasgresión a las ordenes (sic) impartidas mediante Resolución N° 33212 del 30 de junio de 2020 por parte de la Superintendencia de Industria y Comercio; cuestión que como pasará a explicarse en el acápite de fundamentos jurídicos no atiende a la realidad fáctica de las actuaciones emanadas de SERVICIOS ESPECIALIZADOS FCB S.A.S., quien en cumplimiento de lo ordenado por la Autoridad procedió a dar cumplimiento cabal de las ordenes (sic) impartidas.

IV. CONSIDERACIONES JURÍDICAS. - Del análisis de la culpabilidad como elemento configurativo en el proceso administrativo sancionatorio. El proceso administrativo sancionatorio es el mecanismo mediante el cual el Estado ejerce el poder punitivo que la Constitución y la ley le otorgan, a través de las entidades administrativas que determina para llevar a cabo funciones de inspección, vigilancia y control; para que impongan a los administrados una sanción proporcional a la acción u omisión de los deberes y/o obligaciones legales a las cuales están sometidos según el sector en el que actúen.

Por consiguiente, derivado de la existencia del proceso administrativo sancionatorio debe indicarse que el mismo se encuentra revestido por unos principios bases para su consecución, sobre los cuales, se desprende el principio de culpabilidad; el cual, se encuentra dentro del conjunto de garantías individuales que rigen el Estado Social de Derecho, teniendo su importancia en la operatividad de los límites de la potestad punitiva del estado y como consecuencia formar las condiciones mínimas necesarias para la imposición de sanciones.

Al respecto, es de fundamental observancia para el caso en concreto, el análisis del principio de culpabilidad, establecido en el artículo 29, donde no solamente se incluye la potestad sancionadora del Estado, sino que establece igualmente los principios que rigen las actuaciones penales y administrativas. Entre estos postulados, con piso constitucional, se encuentra el de culpabilidad, que se refiere a la exigencia de dolo o culpa del infractor para la imposición de una sanción. La posición de la Corte constitucional en relación con la aplicación de los principios del derecho penal al administrativo ha consistido en extender los principios del primero al segundo. En consecuencia, esta delegatura, establece en la Resolución No. 42910 de 2022 “Por la cual se inicia una investigación administrativa y se formulan cargos” contra la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. un cargo único que versa exclusivamente sobre la presunta infracción por parte de la investigada, en su condición de Responsable del Tratamiento, del deber de cumplir con las instrucciones que imparta la autoridad de control, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.

Cuestión que resulta a todas luces debatible y como pasará a demostrarse no encuentra prueba de la culpabilidad de SERVICIOS ESPECIALIZADOS FCB S.A.S., ya que esta sociedad procedió a reconducir su conducta bajo los parámetros establecidos y solicitados por parte de la Superintendencia de Industria y Comercio en la Resolución N° 33212 del 30 de junio de 2020, incluso allego a las instancias del despacho un complemento de información mediante radicado No. 20-120429- 4 tal y como obra dentro del proceso.

En observancia con lo anterior, el concepto de culpabilidad tiene su definición inicial respecto del derecho, en donde se entiende como (…) la conciencia de la antijuridicidad de la conducta, es decir supone la reprochabilidad del hecho ya calificado como típico y antijurídico, fundada en el desacato del autor frente al Derecho por medio de su conducta, mediante la cual menoscaba la confianza general en la vigencia de las normas.

Derivado de lo anterior, como pasará a demostrarse al Despacho, la Institución a la cual represento cumplió dentro del término establecido por la Delegatura con la subsanación de “Por la cual se impone una sanción ” HOJA 13 VERSIÓN ÚNICA los faltantes dentro de la implementación de la política de tratamiento de datos personales, (…) Ergo, como se demostrará en el presente documento, dentro del término establecido por la Superintendencia de Industria y comercio, se procedió a dar cabal cumplimiento de las ordenes (sic) impartidas y transcritas con anterioridad, respecto de ello, se tiene que el termino establecido por la autoridad constituían seis meses.

Con base en lo anterior, se tiene que el término que se tenía para interponer los recursos de ley vencía el 3 de agosto del 2020, de modo que la Resolución en cuestión quedó en firme a partir del 4 de agosto de 2020. Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, es claro que el plazo para dar cumplimiento a estas vencía el 4 de febrero de 2021.

Es así, como SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a cumplir dentro del plazo dado por este Despacho, teniendo como fecha máxima el día 04 de febrero de 2021, pero habiendo implementado la subsanación de lo requerido por la autoridad administrativa dentro del término previsto, es decir, antes del 04 de febrero de 2021, tal y como pasa a demostrarse a continuación: “Por la cual se impone una sanción ” HOJA 14 VERSIÓN ÚNICA En concordancia, SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a dar cumplimiento a cada una delas ordenes (sic) impartidas por el Despacho para el asunto, tal y como se aporta en las pruebas allegadas a la delegatura, cuestión que, por demás, rompe con la presunción de infracción de la Institución en cuestión. Para ello, es menester sostener, que el cargo único formulado por este Despacho se subsume dentro de la inobservancia del deber de cumplir con las instrucciones que imparta la autoridad de control, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma normatividad.

Lo cual, tal y como se demostró no encuentra cimientos fácticos justificables para dicha atribución; ya que, SERVICIOS ESPECIALIZADOS FCB S.A.S. para el año 2020 y luego de conocer las órdenes dadas por el Despacho, procedió a implementar cada una de ellas en su gestión administrativa. También se tiene que el principio de culpabilidad establece la garantía constitucional que tiene una persona en un Estado social de derecho de no ser juzgada y sancionada por la simple verificación de la realización de un hecho constituido como ilícito.

Para los efectos, es demostrable la actuación de SERVICIOS ESPECIALIZADOS FCB S.A.S. al dar cumplimiento dentro del año 2020 de las ordenes (sic) impartidas por la Autoridad respecto de la necesidad de implementación de varios aspectos sustanciales, los cuales, fueron acatados y estructurados dentro del término establecido para ello. De conformidad con lo establecido en el Artículo 22 de la Ley 1581 de 2012 sobre datos personales, se tiene que: Trámite.

La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo.

Por lo anterior, el proceso que aquí se surte, se encausa en un proceso sancionatorio administrativo preceptuado en el artículo 47 del Código de procedimiento administrativo y de lo contencioso administrativo, procedimiento que cuenta con unas garantías únicas llamadas a cumplirse y que establece para todos los efectos un análisis de culpabilidad de tipo subjetivo y no objetivo, sin que sea dable atribuir una conducta simplemente por el hecho de presumir su no cumplimiento máxime cuando la misma fue acatada y cumplida por la Institución a la cual represento.

Así las cosas, la Corte Constitucional en sentencia T-145 de 1993, sostuvo que, la potestad sancionatoria de la administración debe ceñirse necesariamente a los principios mínimos que establece la Constitución no sólo en pro del interés público, sino también para salvaguardar los intereses de los ciudadanos. En similar sentido, expresó la Corte, en sentencia C-595 de 2010, que en toda actuación administrativa debe mediar un debido proceso, en el cual, prevalezcan los principios de legalidad y de justicia social, y se aseguren “los derechos constitucionales, los intereses legítimos y los derechos de origen legal y convencional de todas las personas”.

Dicha observancia, se expuso también en sentencia del 11 de junio de 2020 (expediente 21640) el Consejo de Estado, la misma Sección Cuarta reconoció que resultaban inadmisibles las figuras sancionadoras que no se basaran en la concurrencia de la culpabilidad del autor al incurrir en la conducta, tal como lo dispone el artículo 29 constitucional, lo que también ha llevado al desarrollo de la teoría de la exoneración de la sanción por existencia de error en el derecho aplicable.

Finalmente, en sentencia del 23 de julio de 2020 (expediente 23580) el Consejo de Estado aclaró que, si bien la institución del error como eximente de responsabilidad no se encuentra en la legislación, se trata de una figura de raigambre constitucional que desmitifica la responsabilidad objetiva en el derecho administrativo sancionatorio.

De modo tal que no debe asociarse a las infracciones de tipo formal como aquellas que no precisan ir precedidas de dolo o culpa, dado que, como fuera expuesto, el mero incumplimiento a la norma por parte del sujeto obligado a seguirla supone la inobservancia de la exigencia debida, lo que implica un comportamiento culpable. Pues bien, si se HOJA 15 “Por la cual se impone una sanción ” VERSIÓN ÚNICA considera que las sanciones administrativas tienen carácter represivo -no resarcitorio-, y que nuestro ordenamiento jurídico dispone que nadie puede ser penado si no es declarado previamente culpable, no es posible la imposición de una penalidad a quien no sea considerado culpable por la comisión de una infracción administrativa.

En el ámbito administrativo sancionador se admite al error como dispensa para la aplicación de sanciones. La admisión del error de derecho no penal –o extrapenal- como causal exonerativa de culpabilidad -en tanto equiparado a error de hecho- ha sido ampliamente reconocido en materia penal tributaria, receptándose el criterio mayoritario en la dogmática penal.

Dicha conclusión resulta, asimismo, plenamente aplicable al restante universo de sanciones administrativas. Por ello, el error o la ignorancia respecto las obligaciones impuestas o sobre el alcance de las mismas puede llegar a erigirse como causal de exculpación. De conformidad con todo lo anterior, para los hechos que ocupan el caso en particular, se hace necesario estudiar la inexistencia de la culpabilidad como elemento configurativo en el procedimiento administrativo sancionatorio; el cual, concierne a un análisis no de tipo objetivo sino subjetivo de la acción. Por lo anterior, SERVICIOS ESPECIALIZADOS FCB S.A.S. por la simple inobservancia de elevar comunicación de la puesta en acción de lo ejecutado, no sería dable atribuirle una infracción al deber, cuando el mismo fue cumplido dentro la temporalidad dada por la Autoridad competente. - Del cumplimiento de las órdenes dadas por la Superintendencia de Industria y Comercio.

El 31 de agosto de 2020, SERVICIOS ESPECIALIZADOS FCB S.A.S. procedió a instaurar las siguientes acciones: - La política de Administración de cuentas de usuarios cuyo objetivo es atender las solicitudes de creación, modificación, o retiro de cuentas de usuarios para la disponibilidad y uso de los recursos tecnológicos como archivos, directorios, aplicaciones, entre otros. - La política de Plan estratégico de tecnologías de la información cuyo objetivo es definir una estrategia de Tecnologías de la información y comunicaciones para el desarrollo de la plataforma informática de Servicios Especializados FCB SAS y que soporte el Plan Estratégico y los Planes Operativos institucionales. - El aviso de privacidad, el cual, consagra: SERVICIOS ESPECIALIZADOS FCB SAS en calidad de responsable del tratamiento sus datos personales, informa que los datos personales suministrados por usted con ocasión del acceso a los servicios ofrecidos, serán incluidos en distintas bases de datos y serán utilizados para las siguientes finalidades: 1.

Realizar actividades asociadas a la prestación de los servicios de salud en desarrollo de las actividades y objeto social de la respectiva compañía, incluidas pero sin limitarse a las actividades corporativas, administrativas, de información, comercialización, petición recaudo, cobranza y demás actividades relacionadas con la disposición de la infraestructura necesaria para el desarrollo del objeto social de la respectiva empresa, así como para todas las actividades que provengan de los trámites propios del Sistema de Seguridad Social en Salud y del cumplimiento de las normas que lo regulan ́. 2.

Enviar notificaciones de cambios o mejoras en el esquema de prestación de los servicios, avisos, propagandas o publicidad sobre nuestros productos o servicios de acuerdo con la legislación aplicable. 3. Crear y gestionar bases de datos (incluyendo bases de datos sensibles) para la prestación de los servicios propios, fines de investigación y desarrollo de nuevos servicios. 4.

Contactar a los usuarios a través de los medios electrónicos, telefónicos físicos y/o personales. En el caso de los datos personales de los menores de edad SERVICIOS ESPECIALIZADOS DEL FCB SAS tiene en cuenta el interés superior de los mismos, así como la prevalencia de sus derechos. Adicionalmente, cuando los derechos de tales menores sean ejercidos por un tercero, la SERVICIOS ESPECIALIZADOS FCB SAS verificará que ese tercero esté autorizado conforme a la ley para ello. - Políticas de tratamiento y protección de datos personales teniendo por objeto: En virtud de la Ley 1581 de 2012 (Art. 17 Lt. k y Art. 18 Lt. f) y del Decreto 1377 de 2013 (Art. 13.) mediante los cuales se dictan disposiciones para la protección de datos personales y en el desarrollo del derecho constitucional que tienen todas las personas HOJA 16 “Por la cual se impone una sanción ” VERSIÓN ÚNICA a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos o archivos, SERVICIOS ESPECIALIZADOS FCB SAS en calidad de responsable del tratamiento de los datos personales de sus grupos de interés conformado por los usuarios y sus familias, trabajadores, contratistas, estudiantes, entidades responsables de pago y las entidades de inspección, vigilancia y control, información que se ha obtenido en el desarrollo de su actividad misional de prestar servicios de salud, por lo cual se compromete con el cumplimiento de la normativa mencionada y la protección de los derechos de las personas e informa a su grupo de interés que adopta las siguientes políticas sobre recolección, tratamiento y uso de datos personales. - Elaboración de Copias de Seguridad de Sistemas de Información y Comunicaciones cuyo objetivo es garantizar la seguridad de la información de Servicios Especializados FCB S.A.S. suministrando herramientas de prevención ante pérdidas de información ya sea accidental o intencionalmente. - Administración sistemas de información, cuyo objetivo es gestionar, administrar y garantizar la integridad de las bases de datos y funcionalidad de los diferentes sistemas de información de Servicios Especializados FCB S.A.S., asegurando la disponibilidad de la información de manera oportuna, segura y efectiva. - Plan de Contingencia de la Información cuyo objetivo es asegurar y restaurar los equipos e información con las menores pérdidas posibles en forma rápida, eficiente y oportuna; buscando la mejora de la calidad en los servicios que brinda Servicios Especializados FCB. - Existe a la fecha la visibilidad en la página web de la empresa, la política de tratamiento de datos personales, tal y como se observa a continuación: ETAPA 1: Acceso a la página web de SERVICIOS ESPECIALIZADOS FCB S.A.S. en https://sefcb.co ETAPA 2: Seleccionar nosotros, desplegando la ventana de política de tratamiento de datos personales.

De igual forma, oficios tales como: MA040124-R2 Reporte de incidentes de seguridad, consolidado de incidentes de seguridad, MA04124P Reporte de incidentes de seguridad, MA040101-R4 Acuerdo de confidencialidad contratistas proveedores-contratistas, MA040101-R3 Acuerdo de confidencialidad laboral y MA040101G Política para el correcto “Por la cual se impone una sanción ” HOJA 17 VERSIÓN ÚNICA tratamiento de la información personal demuestran el cumplimiento de las ordenes (sic) impartidas por la Superintendencia de Industria y Comercio.

Todo lo anterior, demuestra de forma plena, el cumplimiento de las ordenes (sic) impartidas por parte de la Superintendencia de Industria y Comercio a SERVICIOS ESPECIALIZADOS FCB S.A.S. en resolución No. 33212 del 30 de junio de 2020, ajustándose a los preceptos dados por la Autoridad en el sentido de implementar las correcciones correspondientes antes del 04 de febrero de 2021, fecha en la cual fenecía el termino concedido para hacerlo.

Ergo, dicho reproche no se atiende a las realidades fácticas del caso, puesto que SERVICIOS ESPECIALIZADOS FCB S.A.S. dio cabal atención y cumplió con las instrucciones y requerimientos que impartió la Superintendencia de Industria y Comercio en la resolución en cuestión. No obstante, se entiende que esta delegatura, abra de manera preliminar una investigación en contra de la Institución a la cual represento, en observancia a que, debido a un error por desconocimiento, la empresa procedió a corregir los yerros y cumplir con las órdenes dadas por la autoridad competente sin expedir la certificación de dichos asuntos a la Delegatura.

Sin embargo, es necesario que la autoridad administrativa, tenga bajo consideración los elementos propios del juicio y establezca el cumplimiento y acatamiento de las ordenes como se ha demostrado en los anteriores acápites; considerando que, SERVICIOS ESPECIALIZADOS FCB S.A.S. efectivamente cumplió con las ordenes dentro del término previsto y no derive la continuación de la investigación en un posible encausamiento del defecto procedimental por exceso ritual manifiesto, el cual, se presenta cuando el funcionario judicial, por un apego extremo y una aplicación mecánica de las formas, renuncia conscientemente a la verdad jurídica objetiva patente en los hechos, derivándose de su actuar una inaplicación de la justicia material y del principio de la prevalencia del derecho sustancial. ” 6 Además, la sociedad para sustentar lo anterior aportó, entre otros, los siguientes documentos7:                      Registro de Creación, modificación o eliminación de usuario.

Procedimiento de Administración de cuentas de usuarios. Registro de Compromiso y protección de cuenta de usuario del sistema. Documento Plan Estratégico de tecnologías de la información. Registro de Consentimiento Informado captura de firma digital. Registro de Autorización de uso de Datos Personales e imágenes. Registro de Autorización de tratamiento de datos personales.

Documento Aviso de Privacidad. Registro Compromiso de confidencialidad y no divulgación de información. Documento Política de tratamiento y protección de datos personales. Procedimiento de elaboración de copias de Seguridad de los sistemas de información y comunicación. Procedimiento de Administración sistemas de información. Procedimiento de plan de Contingencia de la información. Correo de servicios Especializados FCB – Formato protección de Datos.

Correo de Servicios Especializados FCB – Políticas de tratamiento y protección de datos personales. Registro MA040124-R2 Reporte de incidentes de seguridad. Registro de incidentes de seguridad. Procedimiento MA04124P Reporte de incidentes de seguridad. Registro MA040101-R4 Acuerdo de confidencialidad contratistas proveedorescontratistas. Registro MA040101-R3 Acuerdo de confidencialidad laboral.

Guía MA040101G Política para el correcto tratamiento de la información personal. Con base en lo anterior, se este Despacho encuentra probado que: 6 Expediente virtual. Consecutivo número 14. Página 2. Folios 2 a 10. 7 Expediente virtual. Consecutivo número 14. Página 33. “Por la cual se impone una sanción ” HOJA 18 VERSIÓN ÚNICA 1. Mediante Resolución No. 33212 del 30 de junio de 2020 esta Despacho emitió unas órdenes a la sociedad investigada relacionadas con medidas de seguridad y la implementación de una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final). 2.

La Resolución No. 33212 del 30 de junio de 2020 le fue notificada a la sociedad investigada por aviso N° 14693 el día 17 de julio de 20208. Por lo anterior, se tiene que el término para interponer los recursos de ley vencía el 3 de agosto del 2020, de modo que la Resolución en cuestión quedó en firme a partir del 4 de agosto de 2020. Por ende, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, el plazo para dar cumplimiento vencía el 4 de febrero de 2021.

Además, la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. contaba con 5 días hábiles adicionales para acreditar el cumplimiento de las órdenes administrativas ante esta Superintendencia, término que finalizaba el 11 de febrero de 2021. 3. La sociedad investigada no allegó ante este Despacho la certificación de cumplimiento de las órdenes impartidas en la Resolución No. 33212 del 30 de junio de 2020, por cuanto en su escrito de descargos expresó que “se entiende que esta delegatura, abra de manera preliminar una investigación en contra de la Institución a la cual represento, en observancia a que debido a un error por desconocimiento, la empresa procedió a corregir los yerros y cumplir con las órdenes dadas por la autoridad competente sin expedir la certificación de dichos asuntos a la Delegatura”.9 4.

En la actualidad la sociedad tiene implementados:     Acuerdos de confidencialidad con las personas que tienen acceso a la información a través de documentos como el “ACUERDO DE CONFIDENCIALIDAD LABORAL”, el “ACUERDO DE CONFIDENCIALIDAD CONTRATISTAS PROVEEDORESCONTRATISTAS” y el “COMPROMISO DE CONFIDENCIALIDAD Y NO DE LA INFORMACIÓN”.

Un procedimiento para la Gestión de usuarios con acceso a la información personal, por cuanto cuenta con el formato “CREACION, MODIFICACION O ELIMINACION DE USUARIOS”, y el de “COMPROMISO Y PROTECCIÓN CUENTA DE USUARIO DEL SISTEMA”, y una política de “ADMINISTRACIÓN DE CUENTAS DE USUARIOS” Una política y procedimiento de gestión de incidentes de seguridad de la información personal, mediante documentos como la guía de “ELABORACIÓN DE COPIAS DE SEGURIDAD DE SISTEMAS DE INFORMACIÓN Y COMUNICACIONES”, la de “ADMINISTRACIÓN SISTEMAS DE INFORMACIÓN”, la de “PLAN DE CONTINGENCIA DE LA INFORMACIÓN”, las de “REPORTE DE INCIDENTE DE SEGURIDAD” Una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final) a través del documento “POLÍTICA PARA EL CORRECTO TRATAMIENTO DE LA INFORMACIÓN PERSONAL” En base a lo anterior, este Despacho encuentra probado que de acuerdo al material allegado por la investigada en la actualidad la misma ha dado cumplimiento a las órdenes impartidas en la Resolución No. 33212 del 30 de junio de 2020.

No obstante, se evidencia que la sociedad investigada omitió acreditar ante este Despacho el cumplimiento de las órdenes impartidas dentro del término legal. Al respecto, resulta relevante resaltar que en la parte resolutiva del parágrafo primero del artículo segundo de la Resolución N° 33212 del 30 de junio de 2020 se estableció que “La sociedad mencionada, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto 8 Según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-120429- 7 del 13 de agosto de 2020. 9 Expediente virtual.

Consecutivo número 14. Página 2. Folio 8. “Por la cual se impone una sanción ” HOJA 19 VERSIÓN ÚNICA señalado en el parágrafo anterior”10. Por lo anterior, resulta evidente que la sociedad debía realizar la acreditación del cumplimiento de las órdenes impartidas ante este Despacho, por cuanto esto también hacia parte de lo ordenado en la resolución en mención. Frente a esto, aunque la investigada afirma que “la simple inobservancia de elevar comunicación de la puesta en acción de lo ejecutado, no sería dable [para] atribuirle una infracción al deber, cuando el mismo fue cumplido dentro la temporalidad dada por la Autoridad competente”11, este Despacho difiere de tal afirmación errónea ya que cómo se acaba de establecer, el tener que acreditar lo ordenado hacía parte integral del deber objeto de estudio.

Así, se tiene que la sociedad no dio pleno cumplimiento a lo ordenado en la Resolución No. 33212 del 30 de junio de 2020 por cuanto guardó silencio, y omitió acreditar ante este Despacho el cumplimiento de las órdenes impartidas por esta Entidad en la Resolución No. 33212 del 30 de junio de 2020. Por ende, se evidencia un incumplimiento al deber de cumplir con las instrucciones impartidas por la autoridad de control, deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.

Con base en lo anterior se procederá a impartir la sanción correspondiente. 16.3 Conclusiones Este Despacho evidenció que la investigada infringió las normas contenidas en la Ley 1581 de 2012 toda vez que omitió acreditar ante este Despacho el cumplimiento de las órdenes impartidas por esta Entidad en la Resolución No. 33212 del 30 de junio de 2020.

DÉCIMO SÉPTIMO: Imposición y graduación de la sanción 17.1. Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” 10 Resolución N° 33212 del 30 de junio de 2020.

Folio 10. 11 Expediente virtual. Consecutivo número 14. Página 2. Folio 6. “Por la cual se impone una sanción ” HOJA 20 VERSIÓN ÚNICA El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Por una otra, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional12 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulta excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad13 12 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 13 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

HOJA 21 “Por la cual se impone una sanción ” VERSIÓN ÚNICA Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad14”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia15.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2316 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 17.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por 14 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 16 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

“Por la cual se impone una sanción ” HOJA 22 VERSIÓN ÚNICA la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad17” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados18.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por cuanto omitió acreditar ante este Despacho el cumplimiento de las órdenes impartidas por esta Entidad.

Así las cosas, como sanción frente al único cargo relacionado con el deber de cumplir con las instrucciones que imparta la autoridad de control, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN CIENTO CUARENTA MIL CIENTO VEINTE PESOS M/CTE ($1.140.120) correspondientes a TREINTA (30) Unidades de Valor Tributario (UVT) por la vulneración del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma. 17.1.2 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. 17 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 18 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA 23 “Por la cual se impone una sanción ” VERSIÓN ÚNICA El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO OCTAVO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S. identificada con Nit. 900.017.916-0, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su Representante legal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@sefcb.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con Nit. 900.017.916-0 de UN MILLÓN CIENTO CUARENTA MIL CIENTO VEINTE PESOS M/CTE ($1.140.120) correspondientes a TREINTA (30) Unidades de Valor Tributario (UVT), por el incumplimiento a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f del artículo 21 de la misma norma.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SERVICIOS ESPECIALIZADOS FCB S.A.S., identificada con Nit. 900.017.916-0 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co “Por la cual se impone una sanción ” HOJA 24 VERSIÓN ÚNICA - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESEY CÚMPLASE Dada en Bogotá, D.C., 10 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.11.10 13:05:36 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: LCAF Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: SERVICIOS ESPECIALIZADOS FCB S.A.S. NIT. 900.017.916-0 DIANA CRISTINA GIRALDO BECERRA C.C. 1.090.402.028 Calle 19 No. 1- 44 Cúcuta, Norte de Santander. gerencia@sefcb.co