Decisión 47748 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Julio 29 de 2021) Radicación 19-108627 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante escrito 19-108627-00 de 14 de mayo de 2019, el señor Xxxxxx Xxxxxx Xxxxxxx Xxxxx presentó ante esta entidad una queja en contra de Giros y Finanzas Compañía de Financiamiento S.A. por una presunta vulneración a su derecho constitucional de habeas data, en los siguientes términos: “El pasado 29 de abril (2019), Giros y Finanzas me aseguró mediante una carta que me enviaron vía e-mail que ya no volvería a recibir ningún tipo de información por parte de ellos, ya que estaba cansado de recibir sus mensajes de texto a mi celular constantemente.

SEGUNDO. Que mediante Resolución No. 69303 de 29 de octubre de 2020 la Dirección de Investigación de Protección de Datos Personales impuso una sanción a Giros y Finanzas Compañía de Financiamiento S.A., así:

TERCERO. Que en el término legal establecido1, mediante escrito 19-108627-38 de 20 de noviembre de 2020, Giros y Finanzas Compañía de Financiamiento S.A. (en adelante, la recurrente) presentó recurso de reposición y en subsidio apelación contra la Resolución No. 69303 de 29 de octubre de 2020, con fundamento en los siguientes hechos y argumentos: De conformidad con la certificación de 19 de noviembre de 2020, expedida por la Secretaria General Ad-Hoc (Coordinadora del Grupo de Notificaciones y Certificaciones) de la Superintendencia de Industria y Comercio, la Resolución No. 69303 de 29 de octubre de 2020 fue notificada a Giros y Finanzas Compañía de Financiamiento S.A., el 30 de octubre de 2020.

Con lo cual, el término para presentar los recursos vencía el 17 de noviembre de 2020. Así las cosas, los recursos se presentaron en la oportunidad procesal correspondiente. RESOLUCIÓN NÚMERO 47748 DE 2021 1. Inconformidad y reparos a la resolución “( ) una vez Giros y Finanzas recibió la petición por parte del quejoso (quien en la actualidad tal y como fue manifestado, sigue siendo cliente de Giros y Finanzas Compañía de Financiamiento S.A.) de eliminar sus datos personales de las bases de mi prohijado, se llevó a cabo el proceso tendiente a marcarlo como cliente “no contactable”, en la base [sic] de datos [sic] creada para el efecto, con la finalidad de no seguir contactando a este para fines comerciales relacionados con actividades de mercadeo y publicidad (debidamente justificadas y autorizadas por el mismo en su momento).

(…) se aclaró, que al tener el quejoso una relación vigente con mi poderdante, no era posible eliminarlo de todas las bases de datos, por cuanto a fin de cumplir el contrato vigente con el señor Xxxxxxx Xxxxx, esto es, el contrato de cupo rotativo de crédito (tarjeta de crédito), es indispensable el tratamiento continuo de sus datos [sic] personales.

( ) esta compañía informó a este despacho, de manera clara y concisa, con evidencia que fue arrimada al acervo correspondiente, el proceso tendiente a acatar el propósito de la orden de la Superintendencia de Industria y Comercio, orden que estaba encaminada a que al cliente no se le volviera a contactar para fines de mercadeo ni publicidad, esto sin llegar a la eliminación total de sus datos [sic] personales.

(…) reiteramos que Giros y Finanzas Compañía de Financiamiento S.A. acató la finalidad de la orden de la Superintendencia de Industria y Comercio, incluyendo el nombre del señor Xxxxxxx en la base [sic] de datos [sic] denominada “clientes no contactables” con el propósito de cruzar esta base [sic] de datos [sic] contra las bases [sic] que se generen por fines de publicidad y mercadeo de clientes vigentes en la entidad, a fin de no contactarlos ni enviarles ningún tipo de publicidad.

La política de Gestión y Administración de clientes no contactables vigente en la entidad, fue enviada a esa superintendencia con el propósito de acreditar la existencia del procedimiento y explicar el funcionamiento del mismo, esto, con el fin de demostrar que pese a que la eliminación del dato personal del señor Xxxxxx Xxxxxx Xxxxxxx no era procedente en su totalidad, se había aplicado el procedimiento teniente a obtener la misma finalidad, como además, la misma política lo indica “respectar [sic] el derecho al cliente a no ser contactado por la Compañía en ninguna de sus gestiones comerciales” ( ) De conformidad con lo anterior, se tiene que la Superintendencia pasa por alto el procedimiento establecido, explicado y probado por poderdante para la administración y gestión de clientes no contactables, solicitando la prueba de la eliminación del dato [sic] personal del señor Xxxxxx Xxxxxx Xxxxxxx, cuando en la contestación al pliego de cargos y en el manual enviado a dicha Superintendencia, se explica el proceso utilizado por Giros y Finanzas con el propósito de respetar el derecho al cliente a no ser contactado y en consecuencia acatando la orden de la Superintendencia Financiera.

Adicionalmente y evaluando los puntos tenidos en cuenta por el despacho, se logra evidenciar de manera contundente que olvidó y cometió un error garrafal en su examen de fondo de las evidencias presentadas por el investigado, por cuanto no hace alusión en ningún momento a que dentro del acervo fue arrimada evidencia fílmica que daba soporte técnica y fundamentado a la eliminación y supresión del dato [sic] del quejoso en todo aquello en lo que era posible, es decir, su traslado a la esta base [sic] de datos [sic] de “no contactables” con base en el procedimiento explicado. 2.

Falsa motivación RESOLUCIÓN NÚMERO 47748 DE 2021 “(…) respecto al presente caso se colige que, este despacho, omitió flagrantemente tener en cuenta los hechos probados y demostrados con evidencias por Giros y Finanzas Compañía de Financiamiento S.A., respecto al proceso llevado a cabo con el señor Xxxxxx Xxxxxx Xxxxxxx para no volverlo a contactar, que era la finalidad última perseguida por él y por la primero como titular [sic].

En ese sentido, se tiene que no se valoraron las pruebas aportadas respecto al procedimiento que se llevó a cabo a fin de incluirlo en una base [sic] de datos [sic] de clientes no contactables sino que por el contrario se ordenó una prueba técnica que demostrara la eliminación del dato [sic] personal. Adicionalmente, tal y como fue demostrado previamente, no valoró de forma objetiva las pruebas arrimadas al proceso y mucho menos tuvo en cuenta toda la valoración que se debe hacer en materia de responsabilidad demostrada, la cual, con lo esgrimido previamente, no solamente debe ser óbice para la sanción, sino que con la misma vara, debe ser recurso suficiente para la supresión de la sanción y por supuesto, la revocatoria de esta resolución que afecta de manera gravosa a mi poderdante.

Adicionalmente, no se tuvieron en cuenta las explicaciones rendidas por Giros y Finanzas Compañía de Financiamiento S.A., ni las medidas implementadas por esta para no volver a contactar al cliente para fines publicitarios por cuanto este despacho, omitió tener en cuenta los hechos que si estaban demostrados, los que si hubiesen sido considerados, habrían conducido a una decisión sustancialmente diferente. 3.

No se tuvo en cuenta lo establecido en el literal f) del artículo 24 de la Ley 1581 de 2012 “(…) una vez recibida la solicitud del señor XXXXXXX XXXXX, la entidad financiera dió inicio al proceso tendiente a identificarlo en la base [sic] de prospección comercial de GIROS Y FINANZAS C.F. S.A., como “no contactable”, con el fin de aplicar el filtro adecuado que permitiera seguir tratando sus datos [sic] personales para la ejecución del contrato vigente, pero no para contactarlo con el fin de enviar campañas comerciales.

Para la fecha en que se dio respuesta al señor XXXXXXX XXXXX, GIROS Y FINANZAS C.F. S.A. ya había dado inicio al proceso tendiente a identificar al solicitante como “no contactable”, dentro de nuestra base [sic] de datos [sic] de prospección comercial, sin embargo y debido a que con anterioridad a esto, ya se tenía programada la base [sic] de clientes a contactar en virtud de una campaña comercial para el ofrecimiento de cupos de crédito en la modalidad de preaprobados, con ocasión al día de la madre, que se celebraría el 10 de mayo del 2019, y que el solicitante se encontraba dentro de dicha base, el mensaje de texto que originó la presente actuación administrativa, fue enviado a su teléfono móvil el 09 de mayo de ese mismo año, el 29 de abril del 2019 (fecha en que se comenzó a filtrar el nombre del señor Xxxxxxx, como no contactable) hasta el 09 de mayo de ese mismo año, (fecha en que se contactó), trascurrieron 7 días hábiles, lapso en el que se presentó una falla en el proceso, por haberse alistado con anticipación una base [sic] de datos [sic], en la que se encontraba el señor XXXXXXX XXXXX, para el envío de la información comercial ya referida.

Si bien es cierto esa Superintendencia manifiesta haber tenido en cuenta algunos de los atenuantes previstos en la ley [sic] 1581 de 2012 en su veredicto, no se considera que hayan sido del todo ponderados en su parte resolutiva, y sea este el momento para reiterar que GIROS Y FINANZAS C.F. S.A. reconoció expresamente que existió una falla en el proceso; no obstante a ello, una vez se percató del incidente, continuó reforzando los procesos y RESOLUCIÓN NÚMERO 47748 DE 2021 mecanismos pertinentes para asegurar que incidentes como los ocurridos no se volvieran a presentar.

En esa medida, respetuosamente se solicitó a esta Superintendencia, no aplicar los agravantes contenidos en los literales b), c), d), y e), del artículo 24 de la Ley 1581 del 2012 y en esos mismos términos evaluar la dimensión del daño de que trata el literal a) Ibídem [sic], en virtud de que no se aprecia un daño tangible en cabeza del señor XXXXXXXX XXXXX; y tener en cuenta el criterio de atenuación consagrado en el literal f) de la citada ley, pues Giros y Finanzas ha aceptado la ocurrencia del incidente, aun cuando ha quedado demostrado que el mismo no demuestra una falla sistemática dentro de los procedimientos y prácticas de la organización, sino un hecho aislado propiciado por un error humano. 4.

La resolución sanciona con base en hechos presentados por el quejoso los cuales son absolutamente inconcretos o difusos “(…) las circunstancias fácticas que suscitaron la queja, aun cuando la carga de la prueba para el presente caso reposa sobre mi prohijado, quien demostró con evidencias contundentes el cumplimiento de la solicitud realizada por el quejoso, debió tener en cuenta la Dirección de Investigación de Datos Personales, que sobre lo presentado por el señor Xxxxxxx Xxxxx omitió de manera evidente, que en primer lugar este seguía siendo cliente de la entidad financiera, por cuanto la última no podía suprimir sus datos [sic] personales en su totalidad, al existir una relación contractual, bien documentada por mi prohijado y nuevamente ni siquiera tenida en cuenta por esta instancia. En este sentido, la manera en que abordaron directamente la valoración de las pruebas, se demuestra es desproporcionada al quejoso, omitir hechos que para el giro de la investigación, resultan en la no imposición de sanción alguna, dado el cumplimiento demostrado del régimen de protección de datos [sic] personales.

Adicionalmente y de la queja esgrimida en contra de mi poderdante, el despacho ni siquiera tuvo a bien lograr demostrar si la actuación de Giros y Finanzas Compañía de Financiamiento S.A., había generado algún daño respecto del uso de sus datos [sic] personales. Al respecto, es de recordar que el quejoso no entregó información completa al despacho frente a la situación alegada por presunta violación al literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma normatividad y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, por cuanto omitió flagrantemente manifestar que el mismo era cliente vigente de mi poderdante y por tanto, no podía ser suprimido en su totalidad de estas bases [sic] de datos [sic].

Aún así, le fue entregado al despacho las pruebas que demostraban que el quejoso no volvería a ser contactado, proceso del que se evidenció su cumplimiento y la Dirección bajo ninguna circunstancia de valoración de la prueba, tuvo a su bien evaluar. Por el contrario, su examen de fondo frente a las pruebas presentadas, carece de técnica jurídica y se basan solamente en argumentos escuetos que solamente conducen a la protección a toda costa del quejoso, aun cuando esto represente la vulneración de los derechos fundamentales de mi prohijado.

En este sentido, se logra evidenciar que por parte del despacho, no se puede demostrar, con argumentos sólidos y debidamente probados: a. Un daño generado al quejoso en virtud del supuesto incumplimiento del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo RESOLUCIÓN NÚMERO 47748 DE 2021 8 de la misma normatividad y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, toda vez que se demostró, con evidencia que no fue debidamente evaluada por la Dirección, que en todo momento Giros y Finanzas Compañía de Financiamiento S.A., respetó los derechos que le asisten al señor Xxxxxxx Xxxxx como titular de sus datos personales, consignados a mi prohijado en virtud de un contrato de mutuo, y cuya responsabilidad siempre ha sido la de protegerlos a toda costa, tal y como fue evidenciado en los distintos anexos, que por supuesto, no fueron evaluados por quien emite la resolución sancionatoria. b. Que mi poderdante es responsable de haber presuntamente violado el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma normatividad y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, siendo que aportó en el acervo del proceso, todas las evidencias que tienden a demostrar la procura de las garantías provistas al titular [sic] y, que en caso contrario, pareciera que el beneficio que recibe el quejoso con la interposición de la queja, es mucho mayor al daño recibido con la injusta sanción impuesta a mi poderdante.

En ese orden de ideas, es entonces de suma importancia resaltar, que nos encontramos ante una desventaja, no solamente probatoria sino a nivel del debido proceso que le asiste como derecho fundamental a mi prohijado, l no ser tenidas en cuentas y valoradas de manera correcta las evidencias arrimadas, generando un daño cuya repercusión no solo es a nivel económico sino también reputacional.

Peticiones 1. Revocar la Resolución No. 69303 de 2020 y no imponer ninguna sanción. 2. Subsidiariamente cambiar la multa por una amonestación o en su defecto, reducir el valor de la sanción.

CUARTO. Que mediante Resolución 3145 de 1 de febrero de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición en los siguientes términos: “ARTÍCULO PRIMERO: MODIFICAR PARCIALMENTE Resolución No. 69303 de 29 de octubre de 2020 en su parte motiva (página 6 párrafo 4) la cual quedará de la siguiente manera: “Contrario a lo que afirma la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., no puede entenderse que los datos personales del titular solo estuvieron expuestos por un lapso de 7 días, como quiera que, solo hasta el 30 de julio de 2020 se acreditó que la información del señor XXXXXX XXXXXXX XXXXXXX XXXXX fue efectivamente eliminada o marcada como “no contactable” para fines publicitarios.

(…)”

ARTÍCULO SEGUNDO: CONFIRMAR sus demás partes la Resolución No. 69303 de 29 de octubre de 2020, por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.” RESOLUCIÓN NÚMERO 47748 DE 2021 QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 69303 de 29 de octubre de 2020, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”

2. DERECHO DE SUPRESIÓN DE INFORMACIÓN DE BASES DE DATOS UTILIZADAS PARA FINES DE MARKETING, MERCADEO O PROSPECCIÓN COMERCIAL. El presente caso surge con ocasión de una denuncia ciudadana del 14 de mayo de 2019 mediante la cual se pone de presente que: “El pasado 29 de abril (2019), Giros y Finanzas me aseguró mediante una carta que me enviaron vía e-mail que ya no volvería a recibir ningún tipo de información por parte de ellos, ya que estaba cansado de recibir sus mensajes de texto a mi celular constantemente.

Sin embargo, el 9 de Mayo volví a recibir otro mensaje de texto por parte de ellos, contradiciendo precisamente la respuesta que me habían dado, y por supuesto, violando mi derecho de Habeas Data ( )”. Previo a la denuncia, el 10 de abril de 2019 el Titular XXXXXX XXXXXX XXXXXXX XXXXX solicitó a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., la supresión de su información. En virtud de dicha solicitud, el 29 de abril de 2019 dicha empresa respondió en los siguientes términos (fl.4): Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 47748 DE 2021 No obstante lo anterior, el día 9 de mayo de 2019, el señor XXXXXX X XXXXX, recibió el siguiente mensaje de texto en su celular: (fl. 3) El apoderado de la recurrente reconoce que efectivamente GIROS Y FINANZAS le envió el mensaje del 9 de mayo a que se refiere el Titular del dato con ocasión de una “campaña comercial para el ofrecimiento de cupos de crédito en la modalidad de preaprobados, con ocasión al día de la madre, que se celebraría el 10 de mayo del 2019”.

Lo anterior se puede constatar a continuación: “(…) una vez recibida la solicitud del señor XXXXXXX XXXXX, la entidad financiera dió inicio al proceso tendiente a identificarlo en la base [sic] de prospección comercial de GIROS Y FINANZAS C.F. S.A., como “no contactable”, con el fin de aplicar el filtro adecuado que permitiera seguir tratando sus datos [sic] personales para la ejecución del contrato vigente, pero no para contactarlo con el fin de enviar campañas comerciales.

(Destacamos) Como se observa, la recurrente admite que incumplió con lo informado al quejoso y pone de presente que continuó tratando los datos del mismo para fines de prospección comercial. Así las cosas, se encuentra plenamente demostrado que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., en calidad de Responsable del Tratamiento, hizo caso omiso a la solicitud presentada por el Titular del Dato, como quiera que no eliminó sus datos personales de la base de datos utilizada para contacto con fines comerciales.

En otras palabras, la recurrente prometió una cosa, pero en la práctica hizo otra. Esto no es consistente con lo que ordena el último inciso del artículo 2.2.2.25.2.1. del decreto 1074 de 2015 el cual proscribe que se utilicen “medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales” (Decreto 1377 de 2013, art. 4).

RESOLUCIÓN NÚMERO 47748 DE 2021 Como es sabido, la palabra Tratamiento se refiere a cualquier actividad que se realice con datos personales. En ese sentido, el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 señala lo siguiente: “ARTÍCULO 3o. DEFINICIONES. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” Engañoso y fraudulento significan lo siguiente según el Diccionario de la lengua española de la Real Academia Española: “ENGAÑOSO, SA 1. adj.

Falaz, que engaña o da ocasión a engañarse. 2. adj. Ar., Áv. y León. Que dice mentiras.”3 “ENGAÑAR Del lat. vulg. *ingannāre 'burlar'. 1. tr. Hacer creer a alguien que algo falso es verdadero. U. t. c. prnl. No te engañes: lo ha hecho a propósito. 2. tr. Seducir a alguien con halagos y mentiras.”4 “FRAUDULENTO, TA Del lat. fraudulentus. 1. adj.

Engañoso, falaz.” 5 “FALAZ Del lat. fallax, -ācis. 1. adj. Embustero, falso.” 6 La regulación colombiana sobre tratamiento de datos personales prohíbe que se empleen medios falaces, engañosos, embusteros o mentirosos para usar la información de las personas. Un ejemplo de ello es afirmarle al Titular que no utilizará sus datos para fines de prospección comercial y, a pesar de ello, continuar empleando dicha información para esa finalidad.

Adicionalmente, mediante Resolución N° 45156 de 11 de septiembre de 2019, la Dirección de Investigaciones de Protección de Datos Personales incorporó las pruebas obrantes en el expediente (folio 1 al 105) y decretó una prueba de oficio consistente en lo siguiente: https://dle.rae.es/engañoso https://dle.rae.es/engañar https://dle.rae.es/fraudulento https://dle.rae.es/falaz RESOLUCIÓN NÚMERO 47748 DE 2021 No obstante lo anterior, al momento de imponer la sanción la recurrente no aportó prueba técnica de la fecha de supresión de los datos del Titular para que no se le enviara información publicitaria o de prospección comercial.

Por eso, puso de presente lo siguiente en la Resolución No. 69303 de 2020 mediante la cual se impuso la sanción pecuniaria: En la hoja 10 de la Resolución 3145 de 2021 se aclaró que la vulneración del derecho de supresión se mantuvo hasta el 30 de julio de 2020. Adicionalmente, se destacó que ello “no afecta de modo alguno el sentido de la decisión contemplada en la Resolución No.69303 de 29 de octubre de 2020, en la medida en que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. en efecto incumplió el deber de garantizar al titular en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data y no acreditó que haya eliminado los datos del titular para que no se le enviara información comercial o publicitaria, o establecido los mecanismos necesarios para evitar el uso de sus datos personales para los fines previamente mencionados dentro de los quince (15) días siguientes a la solicitud del titular, que fue el motivo por el cual se impuso la sanción pecuniaria” De conformidad con el numeral 3 del artículo 15 de la Ley Estatutaria 1581 de 2012, el término máximo para eliminar los datos es de 15 días hábiles contados a partir del día siguiente a la fecha de recibo de la solicitud.

Este Despacho ha sido enfático en determinar que: “No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”7 (Destacamos) En suma, se encuentra probado el actuar ilegal de la recurrente porque no cumplió debida y oportunamente el deber legal de eliminar la información del titular de su base de datos para fines publicitarios o de prospección comercial.

Por ende, GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. no cumplió el mandato jurídico señalado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ibídem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. Como es sabido, la Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio RESOLUCIÓN NÚMERO 47748 DE 2021 esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos [sic] personales.

(…)8. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.

Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos Personales, pero no es un título traslaticio de la propiedad del Dato. El Responsable y/o el Encargado no son propietarios de los Datos sino meros tenedores o administradores de esa información. Ellos, como tales, no pueden efectuar el Tratamiento de los Datos Personales de cualquier manera sino solo como lo indica la Constitución Política Colombiana y la ley.

Así pues, es importante reiterar que, a pesar de que en determinado momento el Titular de los Datos hubiera dado su Autorización para el Tratamiento de los mismos, no quiere decir que aquella se trate de una entrega o administración perpetua de la información. Ni mucho menos que el Titular no pueda solicitar la supresión respectiva. La Autorización no le permite a Responsables o Encargados obrar de cualquier manera cuando tratan Datos Personales porque ello atenta contra mandatos constitucionales y legales.

Por eso, los Responsables y Encargados, deben, entre otras, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información en mención. En este sentido, la Corte Constitucional, ha señalado: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.

Este control, no sólo [sic] se predica de la autorización [sic] previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012).

RESOLUCIÓN NÚMERO 47748 DE 2021 materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)9. (Énfasis añadido). Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares.

El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización [sic] y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…)”10. (Destacamos). La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo así: “(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización [sic] y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos [sic]”.

En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “REVOCATORIA DE LA AUTORIZACIÓN Y/O SUPRESIÓN DEL DATO”. “Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización [sic] otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización [sic] no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic]. El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización [sic] otorgada.

Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representantes, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012).

Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012 RESOLUCIÓN NÚMERO 47748 DE 2021 ordene la revocatoria de la autorización [sic] y/o la supresión de los datos [sic] personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que, en virtud del ejercicio del Derecho Fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201211 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.

No existe obligación legal de las personas de recibir mensajes de datos, llamadas o correos electrónicos con fines de publicidad, marketing o prospección comercial. Por ende, pueden solicitar en cualquier momento la supresión de su información de bases de datos que se utilicen con dichos fines. Al mismo tiempo, le corresponde al Responsable del Tratamiento suprimir esa información dentro de los términos establecidos en el numeral 3 del artículo 15 de la Ley Estatutaria 1581 de 2012.

De manera que, no es posible ni correcto desconocer la solicitud de supresión realizada por el señor Xxxxxx Xxxxxx Xxxxxxx Xxxxx. Aceptar esto, no solo desatiende las disposiciones legales que imponen la obligación al Responsable y/o Encargado del Tratamiento de Datos de resolver la solicitud en el término legal establecido, sino que también vulnera indiscriminadamente los derechos de los Titulares.

Este es un asunto que no debe ser tomado a la ligera, pues no solo se afecta el derecho fundamental de habeas data de este Titular sino el de todos los ciudadanos. Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado.

Esto, se reitera, es censurable e inadmisible. Con fundamento en lo anterior no se acogerán los argumentos invocados por la recurrente en el documento bajo estudio, si se modificará la decisión adoptada en la resolución recurrida.

3. DEBIDO PROCESO Refiriéndose a la “constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato”, la Corte Constitucional precisó que la facultad investigativa y sancionatoria de esta entidad “es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (v) La independencia de la sanción penal; esto significa que la sanción se puede imponer El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” RESOLUCIÓN NÚMERO 47748 DE 2021 independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”12.

La Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el Derecho Fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza de Giros y Finanzas Compañía de Financiamiento S.A. En línea con lo anterior, tanto la investigación administrativa como la sanción impuesta se hicieron observando lo que ordena la regulación colombiana.

Con el propósito de resolver todas las peticiones oportunamente planteadas, conviene empezar el análisis jurídico con las manifestaciones realizadas por la recurrente en la parte preliminar del escrito de apelación. Al respecto, este Despacho advierte que en ningún momento los actos o actuaciones de esta Delegatura, en el curso del proceso promovido por el señor Xxxxxx Xxxxxx Xxxxxxx Xxxxx, han estado en contravía del derecho, como erróneamente lo afirma la recurrente.

Esta entidad aplicó y respetó las garantías procesales de ley, y en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar. Los que, en ninguna circunstancia fueron arbitrarios o contrarios a derecho.

4. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS. Respecto de la valoración y de la supuesta falsa motivación, en la 11 hoja 10 de la Resolución 3145 de 2021 se aclaró que “tal como se expuso en los subnumerales 12.1.1 al 12.1.5 de la presente resolución, contrario a lo que afirma la recurrente, se valoraron todas las pruebas aprobadas, así mismo se tomaron en cuenta los argumentos de hecho y de derecho expuestos a lo largo de la investigación administrativa, se encontró demostrado el principio de responsabilidad demostrada y en consecuencia se atenuó la sanción en un 37.7%.

Finalmente, frente a la prueba técnica decretada, se demostró la necesidad de la misma frente al cumplimiento del deber objeto de estudio” Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la trasgresión de: i) el derecho del Titular a solicitar la supresión de sus Datos (literal e) del artículo 8 de la Ley 1581 de 2012); ii) el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su derecho constitucional de habeas data (literal a) del artículo 17 de la Ley 1581 de 2012); y iii) el derecho del Titular a solicitar en cualquier momento al Responsable o Encargado la supresión de sus Datos personales (artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015).

En vista de esto, no es aceptable que la recurrente deduzca que la primera instancia cometió una falta al omitir valorar íntegramente las pruebas que le fueron presentadas. Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a Giros y Finanzas Compañía de Financiamiento S.A. La cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.21.3.1 RESOLUCIÓN NÚMERO 47748 DE 2021 no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.

Según la recurrente, la Dirección de Investigación de Protección de Datos Personales „omitió flagrantemente tener en cuenta los hechos probados y demostrados con evidencias por Giros y Finanzas Compañía de Financiamiento S.A., respecto al proceso llevado a cabo con el señor Xxxxxx Xxxxxx Xxxxxxx para no volverlo a contactar, que era la finalidad última perseguida por él y por la Superintendencia de Industria y Comercio en procura de los derechos que le asisten al primero como titular [sic].

(…) Adicionalmente, no se tuvieron en cuenta las explicaciones rendidas por Giros y Finanzas Compañía de Financiamiento S.A., ni las medidas implementadas por esta para no volver a contactar al cliente para fines publicitarios por cuanto este despacho, omitió tener en cuenta los hechos que si estaban demostrados, los que si hubiesen sido considerados, habrían conducido a una decisión sustancialmente diferente.” Este Despacho no comparte la anterior apreciación de la recurrente porque la misma trata de restarle importancia no solo a los Derechos Humanos sino a las situaciones particulares de personas que se sienten agobiadas o fastidiadas de ser receptoras de comunicaciones comerciales.

Es probable que a algunas personas no les moleste ser destinatarios de comunicaciones publicitarias o no deseadas, pero ello no quiere decir que sea un tema menor o irrelevante para aquellos que están cansados o molestos de recibir ese tipo de mensajes. Por eso, es necesario que los Responsables y/o Encargados del Tratamiento: i) solo contacten a personas respecto de las cuales posean prueba de la Autorización previa, expresa e informada que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus Datos personales –privados, semiprivados o sensibles- para fines publicitarios o de marketing; ii) respeten y garanticen el derecho de supresión de los Datos Personales de contacto cuando son utilizados para fines de marketing o prospección comercial, y iii) suspendan el uso los Datos para fines publicitarios, comerciales, o no deseados cuando así lo requiera o solicite el Titular de dichos Datos Personales.

La Corte Constitucional se ha referido al “derecho a la tranquilidad” en los siguientes términos: “Ahora bien, uno de los derechos que deben ser garantizados por el Estado, y que ha ido cobrando importancia dentro de la doctrina constitucional, es el derecho a la tranquilidad, inherente a la persona humana, que le permite al individuo desarrollar una vida digna y sosegada.

El derecho a la tranquilidad, lo ha dicho esta Sala, asume el carácter de fundamental por su estrecha relación con la dignidad humana que, necesariamente, conlleva a la paz individual la cual es necesaria para vivir adecuadamente. Sobre el derecho a la tranquilidad, la Corte se ha referido en estos términos: “Es evidente que el ser humano tiende a la tranquilidad en su vida.

Se trata de una tendencia inherente al ser personal, y por ello constituye un bien jurídicamente protegido como fundamental, ya que la dignidad humana conlleva la natural inviolabilidad del sosiego necesario para vivir adecuadamente, y es así cómo la tranquilidad es uno de los derechos inherentes a la persona humana a que se refiere el artículo 94 superior” (Cfr. Corte Constitucional.

Sala Novena de revisión. Sentencia T-028 del 31 de enero de 1994. M.P.: doctor Vladimiro Naranjo Mesa). RESOLUCIÓN NÚMERO 47748 DE 2021 Como derecho inherente a la persona, el derecho a la tranquilidad debe ser protegido por el Estado de tal forma que permita un ambiente propicio para la convivencia humana, de manera que los individuos puedan realizar sus actividades en un ambiente sano y exento de cualquier molestia que tienda a vulnerar la paz y el sosiego.”13 En suma, este Despacho no comparte que la recurrente demerite el derecho que tiene el Titular a su tranquilidad14, y a exigir que sus Datos Personales no sigan siendo usados para contactarlo con fines comerciales o publicitarios por parte de Giros y Finanzas Compañía de Financiamiento S.A. Así, al realizar nuevamente el análisis de todos los documentos y pruebas que reposan en el expediente, incluyendo el manual o política referida, no significa que por el simple hecho de su existencia al interior de la investigada, esta autoridad administrativa deba revocar la resolución que impuso la sanción recurrida pues se demostró con la infracción cometida que el debido Tratamiento de Datos al interior de Giros y Finanzas Compañía de Financiamiento S.A. tiene fallas que incurren en violaciones al derecho fundamental de habeas data de los ciudadanos. Por último, la recurrente en el escrito del recurso afirma que, “( ) es entonces de suma importancia resaltar, que nos encontramos ante una desventaja, no solamente probatoria sino a nivel del debido proceso que le asiste como derecho fundamental a mi prohijado, l no ser tenidas en cuentas y valoradas de manera correcta las evidencias arrimadas, generando un daño cuya repercusión no solo es a nivel económico sino también reputacional”.

Frente a esto, no existe tal desventaja probatoria. La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”15 Corte Constitucional, sentencia T-459 de 1998 Sentencia T-343 de 2015 “(…) en la Sentencia T-028 de 1994, la Sala Novena de Revisión reconoció “la tranquilidad como bien jurídico protegido”, afirmando que una vida tranquila hace parte del ámbito de protección del derecho a la vida digna contemplado en el artículo 94 de la Constitución: “Si bien es cierto que la tranquilidad tiene una dimensión subjetiva, indeterminable, y por lo tanto imposible de ser objeto jurídico, también es cierto que existen elementos objetivos para garantizar ese bienestar íntimo de la persona, dada la influencia del entorno sobre el nivel emocional propio.

A nadie se le puede perturbar la estabilidad de su vivencia sin justo título fundado en el bien común. Y esto obedece a una razón jurisprudencial evidente: el orden social justo parte del goce efectivo de la tranquilidad vital de cada uno de los asociados, de suerte que, al no perturbar el derecho ajeno, se logra la común unidad en el bienestar, es decir, la armonía perfeccionante de los individuos que integran la sociedad organizada, bajo el imperio de la ley, en forma de Estado”.

Corte Constitucional, Sentencia T-733 de 2013. RESOLUCIÓN NÚMERO 47748 DE 2021 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”16 En correspondencia con lo anterior, este Despacho considera importante resaltar que la recurrente en ningún momento, aportó las pruebas pertinentes y conducentes para demostrar el cumplimiento debido y oportuno de sus deberes legales.

Lo anterior, a pesar de haber contado con las oportunidades legales para tal fin. Y no pudo hacerlo porque efectivamente incumplió la solicitud de supresión remitida por el Titular de los Datos.

5. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 2317, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”18, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10002-1998-00467-01.M.P. Edgardo Villamil Portilla. Artículo 23. Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

La potestad sancionadora la definió Santi Romano como, “(…) el poder jurídico para imponer decisiones a otros para el cumplimiento de un fin. La potestad entraña, así, un poder otorgado por el ordenamiento jurídico de alcance limitado o medido para una finalidad predeterminada por la propia norma que la atribuye, y susceptible de control por los tribunales.

La potestad no supone, en ningún caso, un poder de acción libre, según la voluntad de quien lo ejerce, sino un poder limitado y controlable. Dentro de las potestades, las de la Administración Pública son potestades-función, que se caracterizan por ejercerse en interés de otro, esto es, RESOLUCIÓN NÚMERO 47748 DE 2021 “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”19 En el mismo sentido, y en relación con los principios 20 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina21 se postula, así mismo, sin discusión que la administración o las autoridades titulares [sic] de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta22), de proporcionalidad o el denominado non bis in ídem”. no de quien la ejerce, sino del interés público o general”.

Cosculluela Montaner, Luis. Manual de Derecho Administrativo, tomo I, 17ª ed., Madrid, Thomson Civitas, 2006, p. 336. Corte Constitucional. Sentencia C-748 de 2011. “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018.

Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas.

Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. RESOLUCIÓN NÚMERO 47748 DE 2021 Ahora, al hacer referencia al Principio de Legalidad en materia de protección del Derecho de Habeas Data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”23. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”24. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011 consideró: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el Derecho Fundamental de Habeas Data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por Giros y Finanzas Compañía de Financiamiento S.A. vulneró: i) el derecho del Titular a solicitar la supresión de sus Datos (literal e) del artículo 8 de la Ley 1581 de 2012); ii) el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su derecho constitucional de habeas data (literal a) del artículo 17 de la Ley 1581 de 2012); y iii) el derecho del Titular a solicitar en cualquier momento al Responsable o Encargado la supresión de sus Datos Personales (artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015).

Corte Constitucional. Sentencia C-406 de 2004. Corte Constitucional. Sentencias C-1161 de 2000. RESOLUCIÓN NÚMERO 47748 DE 2021 Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa; y iii) el documento que contiene los estados financieros presentados por la investigada.

El cual, pese a no ser el único aspecto que se tiene en cuenta al momento de tasar el monto de las sanciones, sí requiere ser valorado a fin de garantizar la proporcionalidad en la imposición de las mismas..

6. APLICACIÓN DE LOS CRITERIOS DE ATENUACIÓN PARA LA GRADUACIÓN DE LA SANCIÓN IMPUESTA. Los criterios de graduación de las sanciones son los señalados por el artículo 24 de la Ley Estatutaria 1581 de 2012, a saber: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Sobre este artículo, la Corte Constitucional señaló que “este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución” 25 La recurrente considera que en su caso no hubo aplicación de los criterios de atenuación, como consecuencia de la implementación del Manual o Política de Gestión y Administración de Clientes No Contactables de Giros y Finanzas Compañía de Financiamiento S.A. Lo anterior no es cierto porque en las hojas 13 y 14 de la Resolución 69303 de 2020 se puso de presente que el monto de la sanción se disminuyó en un 37.7% (1.700 UVT)por la siguiente razón: “De acuerdo a la verificación realizada por esta Dirección del material probatorio obrante en el expediente, en el numeral 11.3 del presente acto administrativo, se encontró que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. previamente a la ocurrencia de los hechos objeto de denuncia, había Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral

2.23.3. RESOLUCIÓN NÚMERO 47748 DE 2021 implementado el principio de responsabilidad demostrada respecto del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 “a) Garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, encontrando (i) una estructura administrativa proporcional al tamaño empresarial del responsable (ii) mecanismos internos, herramientas, entrenamiento y programas de educación para implementar las políticas relacionadas con el deber bajo estudio, y (iii) procedimientos para la atención y respuesta de PQR de los titulares.

Por lo mencionado anteriormente, se atenuará el monto de la sanción mil setecientos (1.700) UVT de acuerdo con el inciso final del Artículo 2.2.2.25.6.2. “La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.” Igualmente afirma que tampoco se tuvo en cuenta que “reconoció expresamente que existió una falla en el proceso; no obstante a ello, una vez se percató del incidente, continuó reforzando los procesos y mecanismos pertinentes para asegurar que incidentes como los ocurridos no se volvieran a presenta“.

En cuanto a la supuesta aceptación de los cargos por parte de la recurrente, como se constató líneas atrás, solo una vez, y pareciera que de manera inconsciente, el apoderado reconoció la infracción cometida al explicar que con ocasión de la campaña comercial del día de la madre se contactó al Titular de la información, aún cuando este había solicitado la supresión de sus Datos.

No obstante lo anterior, no obra en el expediente prueba de la aceptación expresa de la recurrente presentada con anterioridad a la imposición de la infracción tal y como lo exige el litera f) del artículo 24 cuyo texto dice: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…) f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (Destacamos) Por lo expuesto no se acogen los argumentos expuestos por la recurrente en relación con la inaplicación de lo establecido en el literal f) del artículo 24 de la Ley 1581 de 2012.

7. PROPORCIONALIDAD DE LA SANCIÓN. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales.

Los “intereses jurídicos tutelados por la presente ley” a que se refiere el literal a) del artículo 24 son, ni más ni menos, todos los derechos de millones de personas que se RESOLUCIÓN NÚMERO 47748 DE 2021 pueden ver vulnerados por el indebido tratamiento de sus datos personales como, entre otros, su buen nombre, el debido proceso, la libertad, el habeas data.

En segundo lugar, y sin perjuicio de lo anterior, es claro que la Resolución No. 69303 de 29 de octubre de 2020 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

La multa impuesta ($99’699.600) equivale al 5,68% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental26 a la Protección de Datos27.

Finalmente, la vulneración del Derecho Fundamental de Habeas Data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano. Lo cual, es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”28. Por eso, según dicho El Derecho Fundamental a la Protección de Datos Personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. RESOLUCIÓN NÚMERO 47748 DE 2021 documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia29. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta se ajusta a derecho y obedece a las particularidades propias de esta actuación administrativa. Aunque las razones anteriores son suficientes para confirmar la Resolución No. 69303 de 29 de octubre de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.

Responsabilidad Personal de los Administradores i. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES. Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”30. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2631 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Cfr. Corte Constitucional, sentencia T-227 de 2003.

El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.

La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic]. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] RESOLUCIÓN NÚMERO 47748 DE 2021 de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”32 Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos33.

El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”34. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato [sic] personal, siempre y cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada35(accountability)36”. personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización [sic] deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término inglés accountability puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial RESOLUCIÓN NÚMERO 47748 DE 2021 El término “accountability”37, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos [sic] (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza38 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

RESOLUCIÓN NÚMERO 47748 DE 2021 cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 39.(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.

Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 40, es destacable que el Principio de Responsabilidad Demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”41.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a [sic] las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 42. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”43. Por lo tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el Principio de Responsabilidad Demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”44 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).

Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. RESOLUCIÓN NÚMERO 47748 DE 2021 expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”45. ii.

RESPONSABILIDAD PERSONALES. DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la Ley 222 de 199546 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Énfasis añadido).

Ibidem. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 47748 DE 2021 En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma.

Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas. Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.

No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2447 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”48.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. En virtud de lo expuesto, se exhorta al representante legal de Giros y Finanzas Compañía de Financiamiento S.A. y a la junta directiva, para que adopten medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.

Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales. Sobre todo, con el fin de lograr una real y efectiva aplicación del Programa Integral de Protección de Datos Personales de Giros y Finanzas Compañía de Financiamiento S.A.; 4.

Aplicar el Principio de Responsabilidad Demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”49. Especial énfasis se debe hacer en utilizar mecanismos de Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.

Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 47748 DE 2021 monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos personales; 5.

Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas. 8. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: a) De conformidad con el numeral 3 del artículo 15 de la Ley Estatutaria 1581 de 2012, el término máximo para eliminar los datos es de 15 días hábiles contados a partir del día siguiente a la fecha de recibo de la solicitud.

En este caso, la solicitud del Titular fue presentada 10 de abril de 2019 y la recurrente eliminó la información el 30 de julio de 2020. Por ende, GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. se demoró 15 meses y 20 días para garantizar el derecho del titular del dato, excediendo el plazo legal para dicho efecto (15 días hábiles). Esto es inadmisible porque los derechos de las personas deben ser respetados y garantizados debida y oportunamente. b) Este Despacho ha sido enfático en señalar que “no puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos.

Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley. Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”50 (Destacamos) c) No existe obligación legal de las personas de recibir mensajes de datos, llamadas o correos electrónicos con fines de publicidad, marketing o prospección comercial.

Por ende, pueden solicitar en cualquier momento la supresión de su información de bases de datos que se utilicen con dichos fines. Al mismo tiempo, le corresponde al Responsable del Tratamiento suprimir esa información dentro de los términos establecidos en el numeral 3 del artículo 15 de la Ley Estatutaria 1581 de 2012. d) La regulación colombiana sobre tratamiento de datos personales prohíbe que se empleen medios falaces, engañosos, embusteros o mentirosos para usar la información de las personas.

Un ejemplo de ello es afirmarle al Titular que no utilizará sus datos para fines de prospección comercial y, a pesar de ello, continuar empleando dicha información para esa finalidad. e) Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.

Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15. f) Se confirmó que la recurrente infringió abiertamente i) el derecho del Titular a solicitar la supresión de sus Datos (literal e) del artículo 8 de la Ley 1581 de 2012); ii) el deber especial como Responsable del Tratamiento, de garantizar al Titular en Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio RESOLUCIÓN NÚMERO 47748 DE 2021 todo tiempo, el pleno y efectivo ejercicio de su derecho constitucional de habeas data (literal a) del artículo 17 de la Ley 1581 de 2012); y iii) el derecho del Titular a solicitar en cualquier momento al Responsable o Encargado la supresión de sus Datos personales (artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015); g) La recurrente no realizó ninguna aceptación expresa de la infracción cometida antes de la imposición de la multa; h) La graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

No se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas; i) En la Resolución 69303 de 2020 se puso de presente que el monto de la sanción se disminuyó en un 37.7% (1.700 UVT) porque la Dirección de Investigaciones verificó que GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. previamente a la ocurrencia de los hechos objeto de denuncia, había implementado el principio de responsabilidad demostrada respecto del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 j) La multa impuesta ($99’699.600) equivale al 5,68% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 69303 de 29 de octubre de 2020.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución No. 69303 de 29 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo, y de acuerdo con la modificación parcial establecida en el ARTÍCULO PRIMERO de la Resolución No. 3145 de 1 de febrero de 2021.

ARTÍCULO SEGUNDO. Notificar personalmente el contenido de la presente resolución a Giros y Finanzas Compañía de Financiamiento S.A. identificada con el Nit. 860.006.797-9 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. Comunicar el contenido de la presente decisión al señor Xxxxxx Xxxxxx Xxxxxxx Xxxxx identificado con la Cédula de Ciudadanía No. x.xxx.xxx o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. RESOLUCIÓN NÚMERO 47748 DE 2021 ARTÍCULO CUARTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., julio 29 de 2021 El Superintendente Delegado para la Protección de Datos Personales, digitalmente NELSON Firmado por NELSON ANGARITA REMOLINA REMOLINA Fecha: 2021.07.29 ANGARITA 20:25:41 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 47748 DE 2021 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderado: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo electrónico: Señor: Identificación: Dirección: Ciudad: Correo electrónico: Giros y Finanzas Compañía de Financiamiento S.A. Nit. 860.006.797-9 Héctor Fabio Rodríguez Prado C.C. 14.650.246 Calle 4 No. 27-52 Barrio San Fernando Cali (Valle) notificacionesjudiciales@girosyfinanzas.com Xxxxxx Xxxxxx Xxxxxxxxx C.C. xx.xxx.xxx xxx.xxx del Consejo Superior de la Judicatura Xxxxx xxx No. xx-xx Xxxxxx Xxxxxxx Xxxxxx X.X. xxxxxx@xxxxxx.xxx Comunicación Xxxxxx Xxxxxx Xxxxxxx Xxxxx C.C. x.xxx.xxx Xxxxxxx xx No. xx x xx Xxxxxx Xxxxx Xxxxxxx Xxxxxxxx (Xxxxxxxxx) xxxxxxxxxx@xxxxxxx.xxx

Resolución sancionatoria N° 47748 de 2021

CONSIDERANDO

RESUELVE