REPÚBLICA DE COLOMBIA (23 de junio) Radicación: 18-88067 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 18848 del 31 de mayo de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió lo siguiente:
ARTÍCULO TERCERO: Imponer las siguientes sanciones al señor ANDRÉS FELIPE ALONSO ARANGO, identificado con cédula de ciudadanía 98.634.264:
ARTÍCULO CUARTO: Ordenar al señor ANDRÉS FELIPE ALONSO ARANGO, identificado con cédula de ciudadanía 98.634.264 cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de treinta (30) días hábiles siguientes a la ejecutoria de la presente decisión.
SEGUNDO. Que, en el término legal establecido, mediante escrito del 20 de junio de 2019, el señor ANDRÉS FELIPE ALONSO ARANGO (en adelante el recurrente) interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°18848 del 31 de mayo de 2019, con fundamento en los siguientes argumentos: • Inexistencia de un año o peligro del bien jurídico.
Arguye el recurrente que en la resolución apelada no se tienen en cuenta los argumentos esgrimidos tendientes a demostrar la inexistencia de un daño o peligro del bien jurídico protegido. Lo anterior, toda vez que, por solicitud expresa de la quejosa y su esposo, lo contrataron en calidad de autor, para “dejar plasmado dicho evento, por lo que los datos (fotografías) fueron obtenidas con autorización previa y expresa del titular (…)”.
RESOLUCIÓN NÚMERO 30412 DE 2020 En suma, sustenta que con la publicación de las mismas no se irrespeto la reputación de los denunciantes. • Derechos de autor. Afirma el recurrente que, “las fotografías realizadas y posteriormente publicadas, de mi autoría, constituyen una representación artística, cuyos derechos derivados de la titularidad (autor) de la misma subsume el tratamiento de la ley de protección de datos, únicamente limitada por la protección al derecho a la intimidad de quien figura en las mismas”. • Espacio público.
En todo caso, afirma el recurrente, “el evento en mención se realizó en las instalaciones de un Hotel, donde se realizan eventos públicos, toda vez que no existe evidencia que se haya reservado para un evento privado de los señores Seigler Ocampo Flórez y Alejandra Prentt Rincón, ni que el mismo hubiese estado cerrado al público para tal fin, por lo cual fue frecuentado por personas ajenas al evento, tales como huéspedes, trabajadores, y terceros asistentes a otros eventos realizados en las instalaciones, lo que ocasiona que las fotografías tomadas no se hayan realizado en un espacio íntimo y reservado por ejemplo en la casa de habitación de alguno de los contrayentes”.
Por este motivo, considera que no se puede alegar la existencia de violación a la intimidad si el sitio donde se desarrolla la actividad que fue objeto de fotografía es un sitio público. • Graduación de la sanción. Es de su parecer que no existe plena prueba que demuestre que sus ingresos son altos de manera que pueda asumir una carga pecuniaria como la impuesta, por lo tanto, atendiendo el criterio de proporcionalidad que orienta el procedimiento administrativo sancionador, la sanción administrativa no debe resultar excesiva en rigidez frente a la gravedad de la conducta, de manera que, amparado en su actuar de buena fe y en la ausencia de un daño o peligro dimensionado como grave frente a las publicaciones realizadas, solicita la reducción de la sanción. De igual forma, solicita que se revoque y deje sin efectos la Resolución Nº. 18848 de 31 de mayo de 2019.
TERCERO. Que mediante la Resolución Nº. 55689 de 18 de octubre de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente y reduciendo los montos de las multas, en los siguientes términos:
CUARTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las RESOLUCIÓN NÚMERO 30412 DE 2020 actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que en el presente caso no se trata de una actuación relacionada con la garantía del habeas data contenido en el artículo 15 de la Constitución Política y cuyo texto es el siguiente: “Todas las personas (…) tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.
Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución Nº. 18848 del 31 de mayo 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO DE ACUERDO CON LA LEY 1581 DE 2012. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 19 de la Ley 1581 de 2012 dispone que, una Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, será la encargada de ejercer la vigilancia, a fin de garantizar que, en el tratamiento de esa clase de datos, se respeten los principios, derechos, garantías y procedimientos previstos en esa ley.
Por su parte, el artículo 16 del Decreto 4886 de 26 de diciembre de 2011 1 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”.
2. DEL PRINCIPIO DE LEGALIDAD, DEBIDO PROCESO Y COMPETENCIA Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO 30412 DE 2020 Ordena lo siguiente la Constitución Política de Colombia: “ARTICULO 6o.
Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” “ARTICULO 209. La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones”.
(Destacamos) La ley 1437 2 de 2011, por su parte, estable lo que sigue a continuación: ARTÍCULO 3o. PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.
Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” El principio de legalidad ha sido entendido por la Corte Constitucional en los siguientes términos: “El principio constitucional de la legalidad tiene una doble condición de un lado es el principio rector del ejercicio del poder y del otro, es el principio rector del derecho sancionador.
Como principio rector del ejercicio del poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley. Este principio exige que todos los funcionarios del Estado actúen siempre sujetándose al ordenamiento jurídico que establece la Constitución y lo desarrollan las demás reglas jurídicas”3.
En este orden de ideas, esta Autoridad está limitada en el ejercicio de sus funciones a lo establecido por la normatividad correspondiente. Por ende, esta Delegatura solo puede decidir sobre los temas de su competencia razón por la cual no puede adoptar ninguna decisión o consideración sobre derechos de autor sino sobre lo relacionado con el Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo.
Corte Constitucional. Sentencia C-710 del 2001. M.P. JAIME CÓRDOBA TRIVIÑO. RESOLUCIÓN NÚMERO 30412 DE 2020 Tratamiento de datos personales, es decir, su recolección, uso, circulación, entre otros. Entendemos que el anterior asunto es importante para el recurrente, pero como autoridad de protección de datos personales no somos competentes para pronunciarnos sobre el mismo.
Lo que si es necesario tener presente es que cuando se toma una foto a una o varias personas se están recolectando datos sobre ella como la imagen de su rostro o cuerpo. Incluso, estos datos son de naturaleza sensible porque se trata de información biométrica.
3. LAS FOTOS COMO DOCUMENTOS QUE CONTIENEN DATOS PERSONALES Y LA TOMA DE UNA FOTOGRAFÍA COMO UN ACTO DE TRATAMIENTO DE ESA CLASE DE INFORMACIÓN. La palabra “foto” hace referencia a una “imagen” 4 de cosas, paisajes, personas, etc., mientras que la expresión “fotografía” es usada como sinónimo de foto y es definida de la siguiente manera: “procedimiento o técnica que permite obtener imágenes fijas de la realidad mediante la acción de la luz sobre una superficie sensible o sobre un sensor” o “imagen obtenida por medio de la fotografía. ”5.
(Destacamos). El análisis jurídico de una foto puede hacerse desde varias perspectivas como, entre otras: (i) La foto y los derechos de autor: Según la Dirección Nacional de Derechos de Autor (DNDA), “no todas las fotografías están protegidas por el derecho de autor, sino solo aquellas que tengan mérito artístico. No obstante lo anterior, el mérito artístico aquí descrito está referido esencialmente a la originalidad de la obra, la cual será determinada caso a caso.
En el evento de ser protegida, la titularidad de la obra recaerá́ sobre su autor (creador).”6. (ii) La foto y los actos de competencia desleal como, entre otros, la explotación de la reputación ajena. A título de ejemplo, en la Sentencia 1990 del 30 de abril de 2012 de la Delegatura para asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio se concluyó que una sociedad “incurrió en el acto de competencia desleal de explotación de reputación ajena respecto de la publicación de la imagen de la demandante únicamente en la edición No. 464 de la revista Aló” y, adicionalmente, se le ordenó “abstenerse de utilizar la imagen de Patricia López Ruíz en sus notas editoriales con fines publicitarios, siempre que no cuente con la debida autorización para tal efecto.” 7 (iii) La foto y el derecho a la imagen: Esta entidad, ha sostenido que “una fotografía (…), que es utilizada para ser entregada al público como incentivo para que adquiera un producto, reviste un carácter comercial que se aleja bastante del carácter artístico, literario, científico, didáctico o cultural al que hacen referencia las normas de propiedad intelectual, por lo cual no es dable ampararse en los derechos del titular de la fotografía física, para desconocer los derechos a la propia imagen Cfr. Real Academia Española (RAE).
Diccionario de la lengua española. https://dle.rae.es/foto?m=form Cfr. Real Academia Española (RAE). Diccionario de la lengua española. https://dle.rae.es/fotograf%C3%ADa#7z5EURG Cfr. DNDA concepto jurídico del 27 de marzo de 2020, radicado 2-2020-21352) Cfr. Delegatura para asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio.
Sentencia 1990 del 30 de abril de 2012. Expediente: 08-058739 El texto de la sentencia puede consultarse en: https://www.sic.gov.co/sites/default/files/files/sentencia%20de%20competencia%20desleal/Sentencia_1990_2 012.pdf RESOLUCIÓN NÚMERO 30412 DE 2020 que tiene la persona que en ella aparece. Admitir lo contrario, es decir, que cualquier fotografía tomada en público constituye una obra artística protegida por los derechos de autor, y que la publicación de dicha fotografía es absolutamente libre (libertad que abarcaría el uso de la fotografía con fines comerciales), equivaldría a permitir e incentivar que se desconociera el derecho fundamental que tiene la persona sobre su propia imagen y propiciaría que cualquiera pudiera utilizar con fines comerciales o publicitarios, fotografías (…) para vincularlos sin su autorización, como parte de campañas publicitarias para promover la adquisición de productos” 8 (iv) La foto como documento que contiene datos personales.
Para los efectos de este caso y la competencia de esta Delegatura es pertinente analizar la última faceta jurídica de la foto. De conformidad con el artículo 243 de la ley 1564 de 2012, “son documentos los escritos, impresos, planos, dibujos, cuadros, mensajes de datos, fotografías, cintas cinematográficas, discos, grabaciones magnetofónicas, videograbaciones, radiografías, talones, contraseñas, cupones, etiquetas, sellos y, en general, todo objeto mueble que tenga carácter representativo o declarativo, y las inscripciones en lápidas, monumentos, edificios o similares” (Destacamos).
Como se observa, la definición legal de documentos es muy amplia y comprende, entre otras, las fotos y las videograbaciones. Estos documentos pueden contener diferentes tipos de información dentro de la cual están los datos personales. Por ende, si mediante una fotografía se obtienen datos personales, entonces se deben observar las reglas de la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias.
Ahora bien, no toda foto es, per se, un dato personal. Sólo lo serán aquellas que contengan “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” 9. Por eso, la foto será dato personal en la medida que permita establecer la identidad de una o varias personas naturales en particular.
Si, por ejemplo, la foto contiene la imagen de personas con máscaras en su rostro o que están de espaldas de tal forma que no se pueda establecer la identidad de cada una de ellas, pues esa fotografía no es un dato personal. Adicionalmente, nótese que algunas fotos captan la imagen del rostro o la cara de las personas, las cuales son consideradas como información biométrica.
Los datos biométricos, a su vez, son un ejemplo de dato sensible10 tal y como se puede constatar en la definición legal del artículo 5 de la Ley Estatutaria 1581 de 2012. Los «datos biométricos»: incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y “comportamentales” (forma de firmar, tono de voz) sobre las personas 11.
En la regulación europea son definidos como: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación Ibíd. Pág. 9-10 Esta es la definición legal de dato personal del Los datos sensibles fueron definidos en la ley 1581 de 2012 y en el decreto 1377 de 2013 como “ aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos” (Artículo 5 de la ley 1581 de 2012, repetido en el numeral 3 del artículo 3 del decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015).
Saini, Nirmala y Sinha, Aloka. Soft biometrics in conjunction with optics based biohashing. Optics Communications, Volume 284, Issue 3, pag. 756. February 2011. RESOLUCIÓN NÚMERO 30412 DE 2020 única de dicha (Destacamos). persona, como imágenes faciales o datos dactiloscópicos” 12 Para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del decreto 1377 de 201313 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012.
La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.
De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización” 14, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular” 15 En suma, quien toma una fotografía a personas naturales determinadas o determinables está recolectando y tratando datos personales.
Por eso, debe cumplir las normas señaladas y usar las fotos sólo para los fines autorizados por el Titular del dato o por la ley.
4. ANÁLISIS DE CASO Y DE LA RELACIÓN JURÍDICA DEL HOTEL DIEZ MEDELLÍN, EL FOTÓGRAFO Y LAS PERSONAS FOTOGRAFIADAS En el presente caso se publicaron en la Revista Caras algunas fotos de la fiesta del matrimonio de la denunciante. Desde la perspectiva de la regulación de datos personales resulta relevante establecer si el fotógrafo (Andrés Alonso) obró como Encargado del Hotel o si actuó como Responsable porque esto es determinante para precisar sus deberes legales respecto de lo que ordena la Ley Estatutaria 1581 de 2012.
De las pruebas del expediente se constata que la denunciante (no el Hotel Diez Medellín) contrató al fotógrafo. Es decir que el fotógrafo actuó como Responsable del Tratamiento. Lo anterior, como lo afirma la denunciante en los siguientes términos 16: La denunciante contrató los servicios del Hotel Diez Medellín según consta en el “Contrato del evento Nº 001044” 17 y en la Factura de venta Nº 071182 del 22 de noviembre de 201418.
Cfr. Numeral 14 del artículo 4 del Reglamento europeo de protección de datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
Incorporado en el Decreto 1074 de 2015 Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. Folio 1. Página 9 documento con número de radicado 18-088067-00013-0001. RESOLUCIÓN NÚMERO 30412 DE 2020 El fotógrafo Andrés Felipe Alonso Arango no forma parte de la nómina del Hotel Diez Medellín. Él, se repite, fue contratado por la denunciante y posteriormente le suministró al Hotel Diez Medellín algunas fotos para que este las difundiera en medios publicitarios digitales e impresos.
Esto último se evidencia en la siguiente “autorización de uso de derechos de propiedad intelectual” 19: Como se observa, el documento anterior solo se refiere a aspectos de propiedad intelectual sobre las fotos pero de ninguna manera suple la autorización previa, expresa e informada que exige la Ley 1581 de 2012 para el tratamiento de datos personales como lo son las imágenes del rostro de las personas fotografiadas.
Por eso, esa “autorización de uso de derechos de propiedad intelectual” no sirve para cumplir los requerimientos legales sobre la captura, uso y circulación de fotos que contengan datos personales. En suma, la denunciante contrató por separado el servicio de fotografía y la recepción de su matrimonio. El primero con el fotógrafo Alonso y, el segundo, con el Hotel Diez Medellín. Fue posteriormente, que estos dos contratistas, celebraron un contrato ajeno al conocimiento de la denunciante, en donde el fotógrafo le ponía a disposición del Hotel Diez Medellín unas fotografías para que fueran usadas por el establecimiento en el “Especial de Novias” de agosto de 2017 de la Revista Caras.
Así las cosas, desde la perspectiva de la regulación de datos personales, el fotógrafo es un Responsable del Tratamiento que suministró a otro Responsable del Tratamiento (Hotel Diez Medellín) fotos con datos personales configurándose así una “transferencia 20” de datos personales entre uno y otro. Página 13 documento con número de radicado 18-088067-00013-0001.
Página 8 Documento con número de radicado 18-088067-00013-0001. El término transferencia está definido de la siguiente manera en el numeral 5 del artículo 3 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015): “La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país” RESOLUCIÓN NÚMERO 30412 DE 2020 Visto lo anterior, a continuación se analizará la situación jurídica y las responsabilidades del fotógrafo en sede de apelación. En otro acto administrativo se hará lo propio respecto del Hotel Diez Medellín. En el presenta caso, el fotógrafo suministró a la sociedad DIEZ MEDELLÍN S.A.S. unas fotos de la denunciante que luego fueron publicadas sin su autorización en una revista.
Lo anterior se pone de presente de la siguiente manera en la Resolución No. 18848 del 31 de mayo de 2019: Para efectos de la sanción al recurrente, se tuvo en cuenta lo siguiente en la Resolución No. 18848 del 31 de mayo de 2019: RESOLUCIÓN NÚMERO 30412 DE 2020 Como se observa, el recurrente aceptó los cargos formulados y ello se tuvo en cuenta en la graduación de la sanción, la cual, posteriormente fue reducida de 25 a 10 SMLM, es decir se disminuyó en un 60% mediante la Resolución Nº. 55689 de 18 de octubre de 2019: Una de las fotos publicada contiene la imagen de la denunciante y su esposo, razón por la cual estamos frente a datos personales, los cuales debieron recolectarse, usarse y tratarse observando lo dispuesto en la Ley Estatutaria 1581 de 2012.
Esto no se hizo y fue reconocido por el fotógrafo, razón por la cual no existe discusión sobre las infracciones legales en que incurrió. La aceptación de los cargos quedó reflejada de la siguiente manera en la Resolución No. 18848 del 31 de mayo de 2019: Nótese que el fotógrafo actuó de buena fe y reconoció que no obtuvo autorización de las personas fotografías (la denunciante y su esposo) para tomar las fotos ni mucho menos le informó que las proporcionaría al “Diez Hotel” con miras a que se publicaran.
Adicionalmente, el fotógrafo también admite que suministró las fotos a dicho hotel con miras a “posicionarse” en su profesión y promocionar su marca. En suma, el recurrente infringió los siguientes deberes establecidos en la Ley Estatutaria 1581 de 2012: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio RESOLUCIÓN NÚMERO 30412 DE 2020 de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Dado lo anterior, no se encuentra ninguna irregularidad de parte de esta entidad ya que no existe discusión sobre las infracciones cometidas por el recurrente.
Adicionalmente, la sanción inicial fue reducida en un 60% en el recurso de reposición. Dado lo anterior, se confirmará la decisión adopta por la Dirección de Investigaciones.
5. LAS FOTOGRAFÍAS TOMADAS EN UN HOTEL SE RIGEN POR LA LEY 1581 DE 2012 El recurrente manifestó que la fotografía se tomó en las instalaciones de un hotel donde, en sus palabras “se realizan eventos públicos”, ni que el mismo “hubiese estado cerrado al público para tal fin, por lo cual fue frecuentado por personas ajenas al evento, tales como huéspedes, trabajadores y asistentes a otros eventos realizados en las instalaciones, lo que ocasiona que las fotografías tomadas NO se hayan realizado en un espacio íntimo y reservado por ejemplo en la casa de habitación de alguno de los contrayentes”.
Continúa afirmando que “los denunciantes actuaron en un ámbito público, con la intención de ser vistos por quienes se encuentran en el recinto, actuando así fuera de su zona de privacidad, propiciando que su imagen y manifestaciones sean captadas por todos quienes rodean, dejando la naturaleza de íntimas (…) las fotografías aportada como pruebas dan fe de los sitios públicos donde se tomaron las mismas, es decir, en todas zonas comunes del hotel, sin que exista que el matrimonio se haya celebrado en la intimidad de una habitación, sino en lugares sociales, de acceso no restringido” Frente a las afirmaciones del recurrente es necesario señalar lo siguiente: En primer lugar, en el presente caso el fotógrafo no es una persona que toma fotografías en el ámbito personal o doméstico, el cual comprende “aquellas actividades que se inscriben en el marco de la vida privada o familiar de las personas naturales” 21.
Acá no se trata de una persona invitada a una fiesta y que durante la misma toma fotos para fines personales. El recurrente es un fotógrafo profesional que tomó fotografías para publicarlas con miras a posicionar su labor y promocionar su marca. Por ende, tiene plena aplicación la Ley 1581 de 2012 porque no nos encontramos dentro de la excepción de no aplicabilidad de dicha ley a que se refiere el literal a) del artículo 2 de la misma, cuyo texto es el siguiente: “ARTÍCULO 2o.
ÁMBITO DE APLICACIÓN. (…) El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En Cfr. Artículo 2 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) RESOLUCIÓN NÚMERO 30412 DE 2020 este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;” Acá no estamos frente a la toma de fotos para fines personales o domésticos sino para propósitos comerciales y profesionales.
Por ende, en la toma, uso, circulación de esas fotos se deben cumplir los mandatos legales de la precitada ley y su reglamentación. En segundo lugar, los hoteles no son establecimientos públicos, sino establecimientos de comercio de naturaleza privada, catalogados por el decreto 2119 de 2018 como “establecimientos de alojamiento turístico”.
Las personas que ingresan allí no pueden, por ese solo hecho, asumir que pueden tomar fotos y publicarlas en revistas. El ingreso a un hotel no suspende el derecho fundamental a la protección de datos personales, cuya normativa sigue plenamente vigente y es de obligatorio cumplimiento por los Responsables y Encargados del Tratamiento de datos personales.
Dado lo anterior, no son de recibo los argumentos del recurrente.
6. NO ES NECESARIO QUE SE CAUSE UN DAÑO PARA PODER IMPONER SANCIONES POR LA VULNERACIÓN DEL DERECHO A LA PROTECCIÓN DE DATOS PERSONALES Es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio dentro de los límites fijados en la ley. En este sentido, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”22. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal” 23. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en Corte Constitucional.
Sentencia C-406 de 2004. Corte Constitucional. Sentencias C-1161 de 2000. RESOLUCIÓN NÚMERO 30412 DE 2020 términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. Resulta útil reiterar la diferencia que existe entre los elementos que configuran la responsabilidad civil extracontractual y la facultad sancionatoria del Estado.
Confunde el recurrente estas dos instituciones cuando afirma que en la resolución apelada “no se tienen en cuenta los argumentos esgrimidos tendientes a demostrar la inexistencia de un daño o peligro del bien jurídico protegido” 24. La protección de los derechos de las personas respecto del tratamiento de sus datos personales no está sujeta a demostrar el acaecimiento de un daño y/o perjuicio.
La vulneración del debido Tratamiento de los datos personales no solo lesiona los derechos de una persona en particular sino que pone en riesgo los derechos humanos de toda la sociedad. Basta la sola infracción de la norma para que se pueda imponer una sanción, la cual, desde luego, debe tener en cuenta lo dispuesto en el artículo 24 de la Ley 1581 de 2012 para graduar las sanciones a que se refiere el artículo 23 de dicha norma.
Bajo esta premisa, el ordenamiento jurídico colombiano le ha conferido a la garantizar que “en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley” 25. De este modo, no se enmarcan dentro de las competencias atribuidas a esta entidad aquellas que se desprenden de la configuración de la responsabilidad civil extracontractual.
Es decir, las normas que protegen las personas respecto del Tratamiento de sus datos personales no se refieren a la responsabilidad civil de los Responsables o Encargados del Tratamiento de datos. Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental 26 a la protección de datos 27.
En suma, la Superintendencia de Industria y Comercio, está facultada para sancionar una vez se hubiese probado el desconocimiento de cualquiera de las disposiciones de la Ley 1581 de 2012. En el caso concreto, es el propio recurrente quien confiesa que no cumplió las norma sobre tratamiento de datos por las cuales fue sancionado Por ende, concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por el recurrente vulnera: i) el deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular (literal b) del artículo 17 de la Ley 1581 de 2012.
Por lo anterior, no se acogerá el argumento expuesto por el recurrente. Folio 176 Artículo 19 de la Ley 1581 de 2012. Por la cual se dictan disposiciones generales para la protección de datos personales. El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
RESOLUCIÓN NÚMERO 30412 DE 2020 7. DOSIMETRÍA PUNITIVA. Frente a la inconformidad del recurrente por el monto de la multa impuesta, se reitera lo expuesto por la Dirección de Investigación de Protección de Datos personales. En Sentencia C -748 del 2011, la Corte Constitucional determinó la constitucionalidad del artículo 24 de la Ley 1581 de 2012 en los siguientes términos: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
Por tanto, la ponderación y posterior aplicación de los criterios enmarcados en la presente investigación obedece a los parámetros que al respecto fueron previamente establecidos por el alto tribunal. De otra parte, respecto de la dosímetría punitiva, en la Resolución Nº. 55689 de 18 de octubre de 2019, por medio de la cual se resolvió el recurso de reposición del asunto, la Dirección de Investigación de Protección de Datos Personales modificó la sanción impuesta al recurrente, disminuyéndola a un total de diez (10) salarios minimos legales mensuales vigentes lo cual equivale a una reducción del 60% respecto de la multa inicialmente impuesta.
Monto que es razonable, sensato y ajustado a lo dispuesto en el artículo 24 de la ley en comento, si se tiene en cuenta que nos encontramos frente a un fotógrafo profesional que sin autorización comercializó fotos con datos personales de naturaleza sensible. Visto lo anterior, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.
8. DE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO
49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) Por su parte el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, dispone lo siguiente: RESOLUCIÓN NÚMERO 30412 DE 2020 ARTÍCULO
87. FIRMEZA DE LOS ACTOS ADMINISTRATIVOS. Los actos administrativos quedarán en firme: 1. Cuando contra ellos no proceda ningún recurso, desde el día siguiente al de su notificación, comunicación o publicación según el caso. 2. Desde el día siguiente a la publicación, comunicación o notificación de la decisión sobre los recursos interpuestos. 3.
Desde el día siguiente al del vencimiento del término para interponer los recursos, si estos no fueron interpuestos, o se hubiere renunciado expresamente a ellos. 4. Desde el día siguiente al de la notificación de la aceptación del desistimiento de los recursos. 5. Desde el día siguiente al de la protocolización a que alude el artículo 85 para el silencio administrativo positivo.
(destacamos) De conformidad con las normas anteriormente citadas, este Despacho modificará el artículo primero de la Resolución Nº. 55689 de 18 de octubre de 2019 para indicar en Unidades de Valor Tributario (UVT) 28 el valor de la multa impuesta en pesos colombianos, de conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019. 9.
CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones del recurrente por las siguientes razones: 1. Cuando mediante una fotografía se captan u obtienen datos personales como, entre otros, la imagen del rostro o la cara de una persona, es necesario que el fotógrafo o Responsable del Tratamiento solicite la autorización previa, expresa e informada a que se refiere la Ley Estatutaria 1581 de 2012.
Esta se puede obtener mediante cualquiera de los mecanismos autorizados por la ley y sus normas reglamentarias, pero el Responsable debe asegurarse de conservar copia de la misma para suministrarla al Titular del dato cuando la requiera en virtud del literal b) del artículo 8 de la citada ley y para dar cumplimiento al literal b) del artículo 17 de la misma. 2.
En el presente caso no se configura una situación de tratamiento de datos “en un ámbito exclusivamente personal o doméstico” (Literal a) del artículo 2 de la Ley Estatutaria 1581 de 2012). 3. Se confirmó que el recurrente faltó al deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular (literal b) del artículo 17 de la Ley 1581 de 2012.
Adicionalmente, el fotógrafo tampoco informó al Titular del dato que suministraría sus fotos para ser publicadas en una revista. 4. Es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración pueda ejercer su poder sancionatorio. No es necesario que se cause un daño para poder imponer sanciones por la vulneración del derecho a la protección de datos personales.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 RESOLUCIÓN NÚMERO 30412 DE 2020 Administrativo, se confirmará la Resolución No. 18848 de 31 de mayo de 2019 la cual fue modificada por la Resolución Nº. 55689 de 18 de octubre de 2019.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: MODIFICAR el ARTÍCULO PRIMERO de la Resolución Nº. 55689 de 18 de octubre de 2019, de conformidad con lo expuesto en la parte motiva de la presente resolución, el cual quedará así:
ARTÍCULO PRIMERO: MODIFICAR los literales i) y ii) del ARTÍCULO TERCERO de la Resolución 18848 del 31 de mayo de 2019, los cuales quedarán así: i) El pago de cinco millones setecientos noventa y seis mil ochocientos doce pesos ($5.796.812), equivalentes a 162,7997866 Unidades de Valor Tributario (UVT), por la violación del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la referida Ley. ii) El pago de dos millones cuatrocientos ochenta y cuatro mil trescientos cuarenta y ochos pesos ($2.484.348) equivalentes a 69,7713371 Unidades de Valor Tributario (UVT), por la violación del literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 de la misma norma.
ARTÍCULO SEGUNDO: CONFIRMAR en todas sus partes la Resolución No. 18848 de 31 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo y las modificaciones realizadas por la Resolución Nº. 55689 de 18 de octubre de 2019.
ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a ANDRÉS FELIPE ALONSO ARANGO identificado con cedula de ciudadanía N°98.634.269, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión a la señora ALEJANDRA PRENTT RINCÓN identificada con la Cédula de Ciudadanía No. 52.427.647, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO QUINTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNIQUESE Y CÚMPLASE Dada en Bogotá, D.C., 23 de junio de 2020 El Superintendente Delegado para la Protección de Datos Personales RESOLUCIÓN NÚMERO 30412 DE 2020 ALC Notificación Señor: Identificación: Dirección electrónica: Ciudad: ANDRÉS FELIPE ALONSO ARANGO C.C N°98.634.269 afaa44@gmail.com Medellín, Antioquia. Comunicación Reclamante Señora: Identificación: Dirección: Dirección electrónica: Ciudad: ALEJANDRA PRENTT RINCON C.C. Nº 52.427.647 Calle 6b Sur N 37-51 Apto 803 Edificio Ceylan Duplex aprentt@gmail.com Medellín, Antioquia.