(11 NOVIEMBRE 2022) VERSIÓN ÚNICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-250366 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y
CONSIDERANDO
PRIMERO: Que este Despacho de oficio evidenció que la sociedad ARGECO S.A.S EN REORGANIZACIÓN, identificada con el NIT. 813.002.772-6 al mes de noviembre de 2019 no había implementado ninguna medida de seguridad para proteger los datos personales alojados en sus archivos o bases de datos que contiene datos de carácter sensible, toda vez que que frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” no acreditó que ha implementado las medidas requeridas en el formulario del Registro Nacional de Base de Datos por tal motivo mediante Resolución número 61040 del 06 de noviembre de 2019, la Dirección de Investigación de Protección de Datos Personales consideró necesario impartir, con CARÁCTER PREVENTIVO una órden administrativa a la sociedad en cita, en la cual se le ordenó lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ARGECO S.A.S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.
ARTÍCULO SEGUNDO: La sociedad ARGECO S.A.S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad ARGECO S.A.S que acredite que se han implementado las medidas ordenadas.”
SEGUNDO: Que la Resolución número 61040 del 06 de noviembre de 2019, le fue notificada mediante aviso número 25753 del 19 de noviembre de 2019 a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia bajo el radicado número 19-250366-6 del 27 de noviembre de 2019.
TERCERO: Que, la sociedad ARGECO S.A.S EN REORGANIZACIÓN, no acreditó el cumplimiento de las órdenes impartidas por esta Dirección mediante la Resolución número 61040 del 06 de noviembre de 2019.
CUARTO: Que, dada la renuencia de la sociedad ARGECO S.A.S EN REORGANIZACIÓN, para acreditar el cumplimiento de lo ordenado en la Resolución número 61040 del 06 de noviembre de 2019, esta Dirección mediante la Resolución número 77992 del 03 de diciembre de 2020 inició una investigación administrativa y formuló cargos por la presunta vulneración de las normas sobre protección de datos personales y, en particular, de la disposición contenida en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal h) del artículo 21 de la norma en mención. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA QUINTO: La Resolución número 77992 del 03 de diciembre de 2020, le fue notificada el 15 de diciembre a la sociedad ARGECO S.A.S EN REORGANIZACIÓN mediante aviso No. 32428 como consta en la certificación con radicado 19-250366-15 del 28 de diciembre de 2020 emitida por la Secretaria Ad-Hoc de esta Superintendencia, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer frente a la formulación de cargos, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.
SEXTO: Que, dentro del término establecido en la Resolución 77992 del 03 de diciembre de 2020, la sociedad ARGECO S.A.S EN REORGANIZACIÓN, a través del radicado número 19-25036616 del 31 de diciembre de 2020 presento escrito de descargos, en donde señaló: “La sociedad en mayo de 2018, definió un oficial de privacidad responsable de la protección de los datos personales en la organización. Encargado de velar por la protección de los datos personales y se enmarcó dentro del manual de funciones para garantizar el cumplimiento de la normatividad de la ley 1581 de 2012, dentro de la misma actividad, la sociedad estableció un segundo responsable de llevar el control y la supervisión estricta en cuanto a las responsabilidades asignada al oficial de privacidad.
La sociedad determinó la finalidad de la recolección de datos personales, esta información fue clave para establecer la política de tratamiento de datos que la sociedad logró establecer mediante el análisis concreto de todo lo requerido por la ley 1581 de 2012 y los artículos 17 y 27 indemne. Al mismo tiempo, ARGECO S.A.S. dispuso del formato (TH-F-03) el cual fue diseñado, aprobado y aplicado oportunamente para así solicitar autorización expresa al momento de la recolección de información sensible, este documento se guardó evidencia y bajo los estándares de calidad dentro de la política de tratamiento de datos establecida por la organización. De igual forma, la sociedad para garantizar la aplicación de un sistema de protección de datos personal eficiente, estableció mecanismos tales como buzones y líneas telefónicas para la atención a los requerimientos en cuanto a la consulta, actualización, verificación o reclamos en el manejo de la información sensible.
Este punto permitió a la sociedad mantener mayores controles de vigilancia y así identificar falencias o fallas estructurales administrativas para proceder a la corrección inmediata según la política establecida. Una vez determinado políticas del tratamiento de datos personales y en concordancia con lo que ordena el Decreto 090 de 2018 emitido por el Ministerio de Comercio, Industria y Turismo modificando lo dispuesto por el decreto 1074 de 2015, en relación al registro ante la RNBD (Registro Nacional de Base de Datos), se realizó el registro y se inició con el proceso de respuestas a las cuestiones del formulario dispuesto por el Gobierno Nacional, mediante el capítulo 26 del Decreto Único 1074 de 2015, el cual al igual estableció las condiciones bajo los cuales se deben inscribir en éste las bases de datos sujetas a la aplicación de la Ley 1581 de 2012; no obstante, el oficial de privacidad realizó el proceso para el debido registro y el cuál fue anotado como completado en el proceso de gestión interno de la empresa, sin embargo, mediante la Resolución Número 77992 de 2020 por la SIC (Super intendencia de industria y comercio) en la consideración cuarta se observó que existían ausencias en la información registrado en cuento a las medidas de seguridad, por lo tanto, inmediatamente se hiso la debida modificación de la información en el RNBD.
La sociedad ARGECO S.A.S. ha realizado capacitaciones a todo el personal en cuanto al manejo adecuado de datos personales en todas las áreas, indicando en cada momento que la responsabilidad no era exclusiva para el logro de los objetivos del asunto, por el contrario, el trabajo para la protección de la información debía actuar en cada cargo.
De igual forma, se adelantó en cuanto a los procesos de identificación de los riesgos de fuga de la información mediante la gestión de los mismos con el uso de actas de control, elementos de seguridad de informática y el correcto archivo físico para la preservación de la información documentada y en lo establecido por la ley 594 de 2000 en cuanto al manejo de la documentación con información de datos personales categorizada como sensible.”
SÉPTIMO: Que este Despacho profirió la Resolución número 69601 del 27 de octubre de 2021, mediante la cual se incorporaron las pruebas obrantes en el expediente 19-250366 del 19-2503660 al 19-250366-17, con el valor probatorio que les corresponda, y corrió traslado a la investigada “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA para alegar de conclusión por el término de diez (10) días hábiles, en caso de que la misma lo considerara pertinente.
OCTAVO: La Resolución número 69601 del 27 de octubre de 2021, fue comunicada el 28 de octubre de 2021 a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, a través de su Representante Legal, como consta en la certificación con radicado 19-250366-21 del 10 de noviembre de 2021 de la Secretaria Ad-Hoc de esta Superintendencia.
NOVENO: Que la investigada a través de las comunicaciones con radicados numeros 19-25036622 y 19-250366-23 del 30 de noviembre de 2021, dio cumplimiento del requerimiento efectuado mediante la Resolución número 69601 del 27 de octubre de 2021, allegando sus estados financieros de los ultimos tres (3) años, e indicó, que: “A partir del material probatorio recaudado de manera legal y oportuna, se concluye, sin hesitación alguna, que la sociedad que represento no está incursa en causal sancionatoria alguna, en relación con la protección de datos, toda vez que se encue3ntra (sic) acreditado que para su atención y cumplimiento se definió un oficial de privacidad responsable de la protección de los datos personales en la organización, quien se encuentra encargado de velar por la protección de los datos personales y se enmarcó dentro del manual de funciones para garantizar el cumplimiento de la normatividad de la ley 1581 de 2012, dentro de la misma actividad, se estableció un segundo responsable de llevar el control y la supervisión estricta en cuanto a las responsabilidades asignada al oficial de privacidad.
Así mismo, la sociedad determinó la finalidad de la recolección de datos personales, esta información fue clave para establecer la política de tratamiento de datos que la sociedad logró establecer mediante el análisis concreto de todo lo requerido por la ley 1581 de 2012 y los artículos 17 y 27 ibídem y se dispuso el diligenciamiento del formato (TH-F-03) el cual fue diseñado, aprobado y aplicado oportunamente para así solicitar autorización expresa al momento de la recolección de información sensible, este documento se guardó evidencia y bajo los estándares de calidad dentro de la política de tratamiento de datos establecida por la organización. En el mismo sentido, para garantizar la aplicación de un sistema de protección de datos personal y eficiente, se implementaron mecanismos, tales como buzones y líneas telefónicas, para la atención a los requerimientos en cuanto a la consulta, actualización, verificación o reclamos en el manejo de la información sensible.
Este punto permitió a la sociedad mantener mayores controles de vigilancia y así identificar falencias o fallas estructurales administrativas para proceder a la corrección inmediata según la política establecida. Una vez determinadas las políticas del tratamiento de datos personales y en concordancia con lo que ordena el Decreto 090 de 2018 emitido por el Ministerio de Comercio, Industria y Turismo modificando lo dispuesto por el decreto 1074 de 2015, en relación al registro ante la RNBD (Registro Nacional de Base de Datos), se realizó el registro y se inició con el proceso de respuestas a las cuestiones del formulario dispuesto por el Gobierno Nacional, mediante el capítulo 26 del Decreto Único 1074 de 2015, el cual al igual estableció las condiciones bajo los cuales se deben inscribir en éste las bases de datos sujetas a la aplicación de la Ley 1581 de 2012; no obstante, el oficial de privacidad realizó el proceso para el debido registro y el cuál fue anotado como completado en el proceso de gestión interno de la empresa, sin embargo, mediante la Resolución Número 77992 de 2020 por3 la SIC (Super intendencia de industria y comercio) en la consideración cuarta observó que existían ausencias en la información registrado en cuanto a las medidas de seguridad, por lo tanto, inmediatamente se hiso la debida modificación de la información en el RNBD.
De otra parte y en aras de articular una gestión de protección de datos eficiente, hemos realizado capacitaciones a todo el personal en cuanto al manejo adecuado de datos personales en todas las áreas, indicando en cada momento que la responsabilidad no era exclusiva para el logro de los objetivos del asunto, por el contrario, el trabajo para la protección de la información debía actuar en cada cargo.
Por último, también se han adelantado actuaciones de auto control para la detección y verificación de fuga de información, a través del uso de actas de control, elementos de seguridad de informática y el correcto archivo físico, en procura de garantizar la preservación de la información documentada, acorde con lo establecido por la ley 594 de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA 2000 en cuanto al manejo de la documentación con información de datos personales categorizada como sensible.
DÉCIMO: Que este Despacho profirió la Resolución número 42758 del 05 de julio de 2022, mediante la cual se decidió imponer una sanción pecuniaria a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, identificada con NIT. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, por la violación a lo dispuesto en i) el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con ́ el iteral o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.
DÉCIMO PRIMERO: Que, el 15 de julio de 2022 la sociedad ARGECO S.A.S EN REORGANIZACIÓN, por conducto de su Representante Legal, fue notificada por aviso número 15232 de la Resolución número 42758 del 05 de julio de 2022, como consta en la certificación con radicado 19-250366-29 del 21 de julio de 2022 expedida por la Secretaria Ad-Hoc de esta Superintendencia.
DÉCIMO SEGUNDO: Que mediante las comunicaciones con radicados 19-250366-30,31 y 32 del 01 de agosto de 2022, a través de su Representante Legal, la sociedad ARGECO S.A.S EN REORGANIZACIÓN presentó recurso de reposición y en subsidio de apelación a la Resolución número 42758 del 05 de julio de 2022, a fin que se revoque el citado acto administrativo; los argumentos expuestos por la recurrente en el recurso interpuesto son los siguientes: “En cuanto hace relación con las explicaciones dadas en oportunidad – 31 de diciembre – debemos reseñar lo afirmado, en cuanto que la sociedad en mayo de 2018, definió un oficial de privacidad responsable de la protección de los datos personales en la organización. Encargado de velar por la protección de los datos personales y se enmarcó dentro del manual de funciones para garantizar el cumplimiento de la normatividad de la ley 1581 de 2012, dentro de la misma actividad, la sociedad estableció́ un segundo responsable de llevar el control y la supervisión estricta en cuanto a las responsabilidades asignada al oficial de privacidad.
La sociedad determinó la finalidad de la recolección de datos personales, esta información fue clave para establecer la política de tratamiento de datos que la sociedad logró establecer mediante el análisis concreto de todo lo requerido por la ley 1581 de 2012 y los artículos 17 y 27 indemne. Al mismo tiempo, ARGECO S.A.S. dispuso del formato (TH-F-03) el cual fue diseñado, aprobado y aplicado oportunamente para así ́solicitar autorización expresa al momento de la recolección de información sensible, este documento se guardó́ evidencia y bajo los estándares de calidad dentro de la polí tica de tratamiento de datos establecida por la organización. De igual forma, la sociedad para garantizar la aplicación de un sistema de protección de datos personal eficiente, estableció́ mecanismos tales como buzones y líneas telefónicas para la atención a los requerimientos en cuanto a la consulta, actualización, verificación o reclamos en el manejo de la información sensible.
Este punto permitió́ a la sociedad mantener mayores controles de vigilancia y así́identificar falencias o fallas estructurales administrativas para proceder a la corrección inmediata según la política establecida. Una vez determinado politicas del tratamiento de datos personales y en concordancia con lo que ordena el Decreto 090 de 2018 emitido por el Ministerio de Comercio, Industria y Turismo modificando lo dispuesto por el decreto 1074 de 2015, en relación al registro ante la RNBD (Registro Nacional de Base de Datos), se realizó́ el registro y se inició́ con el proceso de respuestas a las cuestiones del formulario dispuesto por el Gobierno Nacional, mediante el capítulo 26 del Decreto Único 1074 de 2015, el cual al igual estableció́ las condiciones bajo los cuales se deben inscribir en este las bases de datos sujetas a la aplicación de la Ley 1581 de 2012; no obstante, el oficial de privacidad realizó el proceso para el debido registro y el cual fue anotado como completado en el proceso de gestión interno de la empresa, sin embargo, mediante la Resolución Numero 77992 de 2020 por la SIC (Superintendencia de industria y comercio) en la consideración cuarta se observó́ que existían ausencias en la información registrado en cuento a las medidas de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA seguridad, por lo tanto, inmediatamente se hiso (sic) la debida modificación de la información en el RNBD.
(…) De otra parte y en lo que respecta con la sanción a imponer, no resulta claro ni preciso el mecanismo utilizado para cuantificar las 500 unidades definidas, lo que consideramos vulnera nuestros derechos pues los trámites sancionatorios deben adelantarse con sujeción a los principios que regulan la función pública y gestión administrativa, así como también los derechos de los investigados.
Por último, referir un aspecto sustancial, el cual consiste en señalar que una sanción como la señalada en pleno trámite de reorganización como el que nos encontramos supone agravar aún más la situación del ente económico y de paso impedir su posibilidad de recuperación, pues a la sanción le seguirán acciones de cobro ante la imposibilidad de pagar y de esta manera reportes y demás sanciones que agravan nuestra situación empresarial.”
DÉCIMO TERCERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO CUARTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 14.1 El recurso fue interpuesto por la sociedad ARGECO S.A.S EN REORGANIZACIÓN dentro del término legal, ya que fue radicado dentro del plazo otorgado en el Artículo Cuarto de la parte resolutiva de la Resolución número 42758 del 05 de julio de 2022 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 14.1.1 La recurrente fue notificada por aviso número 15232 del 15 de julio de 2022 de la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 19-250366-29 del 21 de julio de 2022. 14.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 01 de agosto de 2022 a través de las comunicaciones con radicados 19-250366-30,31 y 32, encontrándose presentado dentro del término legal. 14.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución número 42758 de 2022, los cuales fueron relacionados en el numeral considerativo décimo segundo de esta resolución.
DÉCIMO QUINTO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se centran en señalar que han dado estricto cumplimiento a lo establecido en la Ley 1581 de 2012, asignando un oficial de protección de datos, se determinó la finalidad de la recolección de los datos personales, se estableció una política de tratamiento de datos y dispuso el formato (TH-F-03) para la recolección de la autorización de los titulares, de igual manera aduce tener mayores controles de vigilancia para la corrección de posibles falencias en la política establecida.
A su vez, señaló que su oficial de protección realizó el registro de sus bases de datos en el RNBD y que posterior a la expedición de la Resolución número 77992 del 2020 de esta Superintendencia, se percataron de la ausencia de información registrada en cuanto a las medidas de seguridad y afirman procedieron a realizar la modificación en el RNBD.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Ahora bien, es preciso recordar la orden de carácter preventivo emitida por esta Dirección, a través de la Resolución número 61040 del 05 de noviembre de 2019, la cual señala: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ARGECO S.A.S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.
ARTÍCULO SEGUNDO: La sociedad ARGECO S.A.S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad ARGECO S.A.S que acredite que se han implementado las medidas ordenadas.” En dicho acto administrativo se dictaminó implementar una política de seguridad de la información que contuviese medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, para lo cual se le otorgó a la sociedad el plazo prudencial de seis (6) meses, sin que a la fecha se hubiese acreditado el cumplimiento de dicha disposición, puesto que en la presente actuación solo ha demostrado contar con una Política de Tratamiento de Datos.
Ahora bien, es pertinente señalar, que la Política de tratamiento de datos personales es un documento diferente a los manuales internos objeto de estudio, en la medida en que la Política de tratamiento es un documento que debe ser puesto a disposición de los titulares y que debe tener el contenido mínimo establecido en previsto en el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; de otro lado, la política de seguridad de la infromación, es un documento interno de la sociedad, que debe ser de conocimiento de sus trabajadores y el contenido depende de las medidas, mecanismos, procesos y/o procedimientos implementados y establecidos por la sociedad para cada uno de los casos que pretenda regular.
Por lo anterior, el hecho que la sociedad tenga implementada una Política de Tratamiento de Datos, de modo alguno suprime la necesidad de desarrollar e implementar una Política de Seguridad de la Información, documento que como se ha mencionado es de carácter interno y fundamental para que la sociedad garantice la seguridad de la información recolectada y tratada por la misma.
De igual forma, en el desarrollo de recurso de reposición esta Dirección realizó nuevamente la consulta de la información registrada en el cuestionario sobre “SEGURIDAD DE LA INFORMACIÓN” del RNBD, en donde se pudo evidenciar que la sociedad ARGECO S.A.S EN REORGANIZACIÓN, aduce tener implementada una política de seguridad de la información, como se evidencia a continuación: Captura de pantalla No. 1, obrante en el RNBD.
Pese a ello, es necesario reclacar el hecho que dentro de la presente actuación administrativa la sociedad ARGECO S.A.S EN REORGANIZACIÓN, no allegó copia del documento contentivo de una política de seguridad de la información que contuviese medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Ahora bien (i) esta acción es posterior “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA a la decisión y no desvirtúa la necesidad de la misma, pues es claro que a raíz de la decisión impartida es que la sociedad procedió a registrar en el RNBD las medidas de seguridad implementadas; y (ii) que las órdenes impartidas no se limitan a registrar las medidas de seguridad en el RNBD sino que debe tenerlas documentadas, implementadas y ser de conocimiento de sus trabajadores, de lo contrario solo sería un registro que no correspondería a la realidad.
De esta manera, esta Dirección encuentra acertada la decisión recurrida, en la medida que se ha probado a lo largo de la actuación administrativa, la negligencia de la sociedad frente al cumplimiento de lo ordenado por esta Superintendencia en la Resolución número 61040 del 05 de noviembre de 2019, tendiente a implementar una políticas de seguridad de la información, en su calidad de Responsable del Tratamiento, lo que a su vez conlleva a concluir que contrario a lo expuesto por la recurrente, la sociedad ARGECO S.A.S EN REORGANIZACIÓN, no ha dado estricto cumplimiento a lo reglamentado en la Ley 1581 de 2012, puesto que como se ha expuestó con su conducta negligente ha incumplido con los deberes consagrados en: i) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 y ii) el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención; razones por las cuales se confirmará la decisión contenida en la Resolución número 42758 del 05 de julio de 2022.
Aunado a lo anterior, esta Dirección como autoridad de protección de datos personales le ordenó a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, que acreditara el cumplimiento de lo ordenado en la Resolución número 61040 del 05 de noviembre de 2019, a través de una certificación suscrita por el representante legal, documento que tampoco aportó la sociedad.
Así pues, se confirma que la sociedad ARGECO S.A.S EN REORGANIZACIÓN incumplió de manera negligente la orden impartida mediante la Resolución número 61040 del 05 de noviembre de 2019 en la medida en que no acreditó: (i) haber documentado, implementado y monitoreado una política de seguridad dentro del termino establecido en la resolución;
(ii) aportado una certificación expedida por el representante legal que acreditara el cumplimiento de lo ordenado, dentro del término establecido. 15.2 Respecto al mecanismo utilizado para cuantificar la sanción La sociedad ARGECO S.A.S EN REORGANIZACIÓN, en su recurso de reposición y en subsidio apelación, indica que no es claro la manera de cuantificar la sación impuesta y que adicional a ello la misma agrava su situación economica e impide su recuperación. En primera medida, en el numeral décimo tercero de la Resolución número 42758 de 2022, se indicó la forma en que esta Superintendencia realiza la tasación de la sanción a imponer, la cual es calculada de acuerdo a los estados financieros de los ultimos tres (3) años de la sociedad, y con un fin disuasorio más no confiscatoria, ni con el fin de agravar la situación económica; para una mayor compresión se relaciona la formula matematica para determinar el valor de la multa en UVT: 𝑆𝑀𝐿𝑉 UVT vigente 2022 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 En razón a lo expuesto por la recurrente, esta Dirección procedió a revisar nuevamente la sanción impuesta, con el fin de que con esta no se afecte economicamente a la sociedad ARGECO S.A.S. EN REORGANIZACIÓN; evidenciando una actividad mercantil sostenida, la cual se refleja en sus ingresos operacionales ordinarios, los cuales mejoraron sustancialmente a partir del año 2019, año en el cual se acogió a la Ley 1116 de 2016, Régimen de Insolvencia Empresarial, norma que brinda beneficios importantes en el desarrollo del objeto social de una sociedad, como por ejemplo, el no sometimiento a la renta presuntiva por tres (3) años y la devolución de la Retefuente del impuesto sobre la Renta y entre otros, la flexibilización en aportes de capital conforme a los artículos 40 y 42 ejúsdem.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Así mismo, se observa el crecimiento constante tanto de sus activos, como de su patrimonio entre los años 2017, 2018, 2019 y 2020. Para este mismo periodo de tiempo, la sociedad ARGECO S.A.S. EN REORGANIZACIÓN presentó UTILIDAD OPERACIONAL POSITIVA.
Por lo anteriormente descrito, se encuentra que la sociedad ARGECO S.A.S. EN REORGANIZACIÓN, presenta una estructura financiera sana, a pesar de encontrarse en Reorganización Empresarial, condición que no puede presentarse como excusa, como argumenta la recurrente, para evadir algún tipo de responsabilidad, pues como se expuso con anterioridad, está situación especial que adelanta la Superintendencia de Sociedades, otorga beneficios importantes, que afectan positivamente, los resultados de la empresa.
Ahora bien, es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros1. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”2.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia3. En conclusión, la sanción aplicada a la sociedad ARGECO S.A.S. EN REORGANIZACIÓN, por valor de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, es proporcional a la negligencia en el cumplimiento del deber objeto de estudio, la puesta en peligro del derecho fundamental de los Titulares cuyos datos personales obran bajo custodia de la sociedad, a la situación financiera de la sociedad y al valor máximo establecido en la Ley de hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes, razón por la cual se confirmará la decisión contenida en la Resolución número 42758 del 05 de julio de 2022. 15.3 Corrección 1 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 2 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 3 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA De otro lado, esta Dirección evidenció que la resolución número 42758 del 05 de julio de 2022 recurrida en su ARTÍCULO PRIMERO de la parte resolutiva se indicó: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ARGECO S.A.S EN REORGANIZACION identificada con el Nit. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, por la violación a lo dispuesto en i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.” (resaltado y subrayado fuera del texto) Al respecto se evidencia un error de digitación en la medida en que es claro que en todo el cuerpo del acto administrativo y que desde la formulación de cargos, se está analizando el deber contenido en en literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención. Por lo anterior, se procede a corregir el error de digitación, de acuerdo a lo establecido en el artículo 414 del CPACA.
Es importante aclarar que el error de modo alguno induce en error a la investigada y tampoco afecta sus derechos, en la medida que durante toda la investigación y en el acto administrativo recurrido se reiteró y dejó clara la normatividad objeto de sanción, al punto que la sociedad interpuso el recurso de reposición y en subsidio de apelación teniendo muy clara la normatividad incumplida.
Por lo anterior y tratándose de un error que no afecta los derechos de la investigada, se procede a corregir el mismo en virtud de lo establecido en el artículo 41 del CPACA y en consecuencia el ARTÍCULO PRIMERO de la parte resolutiva de la resolución No. 42758 del 05 de julio de 2022 queda así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ARGECO S.A.S EN REORGANIZACION identificada con el Nit. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, por la violación a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.” Se aclara que las demás disposiciones de la resolución recurrida no sufren modificación alguna.
DÉCIMO SEXTO: Conclusiones Se confirma que la recurrente actuó negligentemente en el cumplimiento del deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención, al no haber acatado la orden dada en la Resolución número 61273 del 7 de noviembre de 2019. La sociedad ARGECO S.A.S EN REORGANIZACIÓN, no acreditó haber cumplido con la orden preventiva dentro del término establecido en la Resolución 61040 de 2019, así como tampoco acreditó haber demostrado el cumplimiento de lo ordenado mediante certificación expedida por el representante legal. Se corrigió un error de digitación obrante en la parte resolutiva de la Resolución número 41824 del 30 de junio de 2022, en virtud de lo establecido en el artículo 40 del CPACA.
DÉCIMO SÉPTIMO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad ARGECO S.A.S EN REORGANIZACIÓN, identificada con el NIT 813.002.772-6, esta Dirección concedió el acceso al presente Expediente digital a esta, por intermedio de su Representante legal vinculado al correo electrónico de notificación judicial de la sociedad argecosas@gmail.com, quien debe registrarse en calidad de persona natural, exclusivamente con 4 “Artículo 41.
Corrección de irregularidades en la actuación administrativa. La autoridad, en cualquier momento anterior a la expedición del acto, de oficio o a petición de parte, corregirá las irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias para concluirla.” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” los datos en mención, en https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php VERSIÓN ÚNICA el enlace En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: MODIFICAR el ARTÍCULO PRIMERO de la Resolución número 42758 del 05 de julio de 2022, en virtud de lo expuesto, el cual quedará así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ARGECO S.A.S EN REORGANIZACION identificada con el Nit. 813.002.772-6, de DIECINUEVE MILLONES DOS MIL PESOS ($19.002.000) M/CTE, correspondiente a (500) unidades de valor tributaria- UVT, por la violación a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.”
ARTÍCULO SEGUNDO: CONFIRMAR en sus demás partes la Resolución número 42758 del 05 de julio de 2022, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ARGECO S.A.S EN REORGANIZACIÓN, identificada con NIT. 813.002.772-6, a través de su representante legal, entregándole copia de la misma.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3A en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 11 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.11.11 15:18:01 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DFCR Revisó: AMVJ Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ARGECO S.A.S EN REORGANIZACIÓN NIT 813.002.772-6 EDGAR JAVIER AHUMADA AVELLA C.C. 17.349.589 argecosas@gmail.com CARRERA 47 NO. 6-41 CASA 41 PAISAJE DE ALMERIA CONDOMINIO CAMPESTRE NEIVA-HUILA- COLOMBIA