(09 DICIEMBRE 2020) VERSIÓN PÙBLICA “Por la cual se resuelve un recurso de reposición” Radicación 18-140081 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante Resolución 64258 del 14 de octubre de 20201, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S identificada con el Nit. 900.885.724-6 de DIEZ MILLONES CUARENTA Y UN MIL CIENTO SETENTA Y CUATRO PESOS M/CTE ($10.041.174), equivalente a doscientos ochenta y dos (282) UVT, por la violación a lo dispuesto en: (i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015.
(…)
ARTÍCULO SEGUNDO: IMPARTIR las siguientes ordenes administrativas a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 así: • Deberá proceder con la supresión de todos los datos personales, de los titulares que se hayan obtenido sin autorización previa expresa e informada, conforme lo dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012. • Deberá documentar e implementar un manual de políticas y procedimientos de seguridad apropiadas para la correcta protección de los datos personales de los titulares.
PARÁGRAFO PRIMERO: La sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 deberá dar cumplimiento de lo ordenado dentro de los noventa (90) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6, acreedora de las sanciones previstas en la ley.”
SEGUNDO: Que, la Resolución 64258 del 14 de octubre de 2020 se notificó por aviso 28483 el día 26 de octubre de 2020, al señor CLAUDIO CASTRILLON ZULUAGA, en representación de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 18-140081- -55 del 9 de noviembre de 2020.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado por medio de correo electrónico el día fecha 9 de noviembre de 2020, bajo el número 18-140081-56-1 del 10 de noviembre de 2020, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., a través de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución 64258 del 14 de octubre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: Actuación radicada el 15 de octubre de 2020, bajo el número 18-140081-48-1 “Por la cual se resuelve un recurso de reposición” HOJA N 2, VERSIÓN PÙBLICA 3.1 En primer lugar, el recurrente hace referencia a los antecedentes de la presente actuación administrativa.
"(…) 1.1 Manifestó el quejoso que recibió un correo electrónico por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S remitiéndole información relacionada con un proceso adelantado por él ante la Superintendencia de Industria y Comercio. 1.2 Que el señor XXXXXXXXX se comunicó a los números de contacto allegados mediante correo electrónico:solucionesalconumidor@hotmail.com, encontrándose con la página "www.sireclamo.com", de la cual GRUPO INNOVA INTERNATIONAL S.A.S es la dueña del dominio, y presuntamente "está realizando recolección de datos de manera fraudulenta para enviar correos publicitarios sin el consentimiento de los usuarios y sin posibilidad de darse de baja ante estos correos" Y es preciso dejar la siguiente información, que no es verdad y por consiguiente tampoco existe prueba dentro del expediente de lo siguiente. 1.
Que el quejoso recibió un correo de GRUPO INNOVA INTERNATIONAL SAS. Situación que a todas luces es falsa, y que no existe prueba alguna dentro del expediente porque el correo solucionesalconsumidor@hotmail.com no es de propiedad ni es usado por la empresa Grupo Innova International SAS. 2. No es cierto y por ende tampoco obra prueba dentro del expediente de la llamada realizada por parte del señor XXXXXXXXXXXXXXX, donde supuestamente se encontró con la página www.sireclamo.com, de hecho a través de una llamada no se llega a un página web.
En el mismo sentido, tampoco se está realizando una recolección de datos de manera fraudulenta enviando correos publicitarios a menos de que se cuente con la autorización. Importante destacar que la conducta que está siendo castigada es el envío de un correo electrónico de solucionesalconsumidor@hotmail.com, y por ende la violación se da en el envío el mismo, pero olvida el sancionador que era deber del mismo probar que ese correo pertenece a la empra (sic) Grupo Innova International SAS.
Así mismo, y ante la imposibilidad de poder interrogar al denunciante para entender las condiciones de modo tiempo y lugar en la que se dieron los hechos narrados en la denuncia.” 3.3 Luego, expone argumentos en torno al Requisito de procedibilidad, afirmando lo siguiente: “Además y no menos relevante que, la Superintendencia de manera bastante conveniente no dio aplicación al artículo 16 de la ley 1581 de 2012, en donde expresamente indica lo siguiente: El mencionado artículo indica lo siguiente: "Artículo 16.
Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la ante el responsable del Tratamiento o Encargado del Tratamiento." Resulta preciso ahondar en la expresión solo, que tiene el anterior artículo, de acuerdo a la RAE 1, solo es equivalente a solamente, y se usa como adverbio tal y como está expresado allí. Por lo tanto, quiere decir el artículo, que es de obligatorio cumplimiento no solo para el sancionador sino, para las personas que pretenden elevar una queja ante la Superintendencia de Industria y Comercio cumplir lo allí expresado.
Y esto con el fin de respetar y velar por el derecho a la defensa y debido proceso tal y como es de conocimiento del sancionador, quien convenientemente escoge que normas aplicar y que normas no aplicar, a pesar que hasta donde se tiene entendido en la función de vigilancia y control debería aplicar absolutamente todo el régimen, y es aquí cuando es preciso preguntarse, quién vigila a la Superintendencia de Industria y comercio, quien indica que está cumpliendo con las normas que realmente está en la obligación de aplicar.
Toda vez que, del pliego de cargos sancionatorio se aprecia una indebida aplicación de la norma que se alega vulnerada, y se piden pruebas que ayuden a mitigar tal situación y se hace caso omiso de las mismas. Dentro de la resolución que impone la sanción nunca se indica por qué se releva de dicho requisito en la presente investigación, lo que a todas luces viola el derecho al debido proceso y a la defensa.
Más si tenemos en cuenta como se acaba de indicar que, se rechazó la solicitud de interrogatorio del denunciante supuestamente por ser inconducente e improcedente, a pesar que la base de la sanción es la denuncian realizada del ciudadano, y la entidad da inaplicabilidad a la norma 1581 de 2012, de manera unilateral y arbitraria solo para imponer una sanción. Y no es menos cierto que del rechazo dado por parte del sancionador de las pruebas rechazadas, las mismas no son ni ilícitas, no son notoriamente impertinentes, no so inconducentes y tampoco manifiestamente superfluas e inútiles, o por lo menos dentro del expediente no obra prueba tan siquiera sumaria de las mismas.
“Por la cual se resuelve un recurso de reposición” HOJA N 3, VERSIÓN PÙBLICA En el caso en concreto existe una responsabilidad, porque la entidad trata los datos de muchísimas personas en Colombia, y no se sabe si lo hace de acuerdo a lo que indican las disposiciones legales existentes porque como se indicó en el requerimiento y en los descargos y los alegatos, no respeta su política de privacidad, la pasa por alto y esto tampoco es analizado en el pliego de cargos y en la resolución de sanción, lo anterior lo dejamos expresado, para dejar constancia de lo ilegal del acto que profirió la sanción.” 3.2 A continuación, manifiesta que: “Teniendo en cuenta que, la investigación se basa en dos cargos procederemos a desglosar cada uno de los mismos, para de esta forma poder conformar la convicción del juez, de la inexistente vulneración a los derechos alegados, toda vez que no se ha violado norma alguna.
Ahora bien, dicho lo anterior resulta preciso indicar cuales son las pruebas que obran dentro del expediente y que son producto de la sanción, las cuales fueron decretadas en el acto administrativo número 20207: Queja promovida por el señor XXXXXXXXXXXXXXXXXXXX. Requerimiento a la sociedad Grupo Innova International. Y su respuesta Requerimiento a Colombia Móvil.
Y su respuesta Requerimiento a Colombia Telecomunicaciones. Y su respuesta Requerimiento Comunicación Celular SA COMUNICACIÓN CELULAR SA ESP. Y su respuesta Política de tratamiento de la información. POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL EN LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. 8 Certificado expedido por el representante legal que no han existido quejas relacionadas con datos personales, ni tampoco del señor XXXXXXXXXXXXXXXXXXXX. 9 Manual de política interna de la sociedad GRUPO INNOVA INTERNATIONAL SAS. 10 Estados financieros de la sociedad en los últimos 3 años.” 3.4 Posteriormente, se refiere al primer cargo, aduciendo lo siguiente: “1.1 Cargo número 1.
Presunta contravención de lo dispuesto en el literal i. del artículo 17 de la ley 1581 de 2012, en concordancia con el literal ii. del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Para un correcto entendimiento del cargo, y con el fin de demostrar que la sociedad no incurrió en ninguna conducta que pueda estar sujeta a una sanción procederemos a explicar la forma en que la entidad desarrolla a través de la resolución la imputación del mismo, y de esta forma establecer el cargo imputado, entendiendo que no puede existir un cambio súbito del mismo, debido a que conllevaría a la violación del derecho a la defensa.
Por lo anterior solicito, que en apego del artículo 230 de la Constitución Política, respete el derecho de defensa que me asiste, en el sentido de resolver exactamente el cargo que se me imputa. Es por esto que GRUPO INNOVA INTERNATIONAL SAS, ejerce su derecho de defensa en esta oportunidad única y exclusivamente frente a el cargo primero imputado y que ha sido puesto en conocimiento así: (…) En este punto resulta de vital importancia indicar que, del material probatorio anteriormente descrito no se evidencia prueba ni tan siquiera sumaria que el correo solucionesalconsumidor@hotmail.com, se (sic)un correo de la empresa GRUPO INNOVA INTERNATIONAL SAS, quien es la sancionada en el presente proceso, tal y como se indicó, no se tiene en la base de la compañía ningún dato del señor denunciante ni tampoco se ha hecho ningún tratamiento del mismo, toda vez que, el correo aludido por el demandante no es un correo de la empresa, los correos de la empresa tienen la extensión sireclamo.com, y los correos que tenemos de momento es claudio@sireclamo.com, que de hecho es el correo registrado en la entidad para las notificaciones personales de los actos administrativos, contacto@sireclamo.com y reclamaciones@sireclamo.com.
Por ende dentro del giro ordinario de los negocios no se tiene y por ende no se usa una la dirección de correo solucionesalconsumidor@hotmail.com, y el sancionador no demostró que el mismo estuviera en cabeza de Grupo Innova International SAS. Y desde el número no se realizó ningún tipo de manipulación del dato objeto de denuncia. Por lo tanto, existe Falta de legitimación por pasiva.
Toda vez que, No existe prueba dentro del expediente que a través de las (sic) canales de comunicación de Grupo Innova International se hubiera tratado un dato del denunciante, y por ende devasta la tesis que no se tenía la autorización. En la siguiente imagen se puede observar los correos que tiene la compañía y que el prestador de ese servicio a Amazon Work Mail: “Por la cual se resuelve un recurso de reposición” HOJA N 4, VERSIÓN PÙBLICA 1.2 Dato publicado por la entidad.
Sin perjuicio de lo anterior y para que quede claro, a pesar que el dato no fue tratado por parte de GRUPO INNOVA INTERNATIONAL SAS, y para un correcto entendimiento de la situación, es preciso indicar que el correo electrónico del señor XXXXXX, no ostenta la calidad de dato personal, primero porque es un correo institucional, y segundo porque de acuerdo a las políticas de la entidad el mismo se encuentra público en el sistema de trámites de la Superintendencia de Industria y Comercio.
Recordando que el señor XXXX es usuario ferviente de los servicios, prueba de lo anterior son las 12 demandas de protección al consumidor interpuestas, (17-270748, 17-415509,17-424871,18-33552, 18-133555,18133556,18-137744,18139033,18-174979, 18-297784,18-297787y 18-302261). Así como las siete denuncias interpuestas (17259285, 17-387268,17-388632,17410719, 18-120054, 18-120061 y 18-120301) y un derecho de petición identificado con el radicado 17-260122.
El sancionador tampoco analizó si el dato producto de la sanción ya fuese un dato publico,(sic) porque la norma indica que los datos que estén en sentencias serán datos públicos. Tal y como consta en el auto número 19591 del 21 de febrero de 2018, y que igualmente se anexa al expediente: Ingresando al sistema de trámites de la entidad con el número de radicado de cada uno de los anteriores procesos, podemos observar que en cada uno se encuentra registrado el correo electrónico XXXXXXXXXXXXXXXXXXXX, el cual no tiene restricción alguna para su consulta.
Por consiguiente, pedir la autorización para el envío de un correo electrónico carecería de sentido, si tenemos en cuenta que el dato no es un dato personal, y este tipo de datos no requieren de autorización por parte del titular. Tal y como lo consagra el artículo 10 literal b), de la ley 1581 de 2012. Si la Superintendencia registró el correo institucional del (sic) la Universidad del Norte XXXXXXXXXXXXXXXXXXXX, genera la posibilidad de que el mismo pueda ser tratado por terceros, debido a que es un dato PÚBLICO.
Recordando que el señor XXXXXXXXXX, y los datos de él no se encuentran en ninguna base de datos de la Compañía, y por ende tampoco se ha hecho su tratamiento, debido a que no ostenta ni la calidad de prospecto ni tampoco la de Cliente, razón suficiente para concluir que no ha se ha violado la disposición endilgada por parte de la entidad.
(…) “Por la cual se resuelve un recurso de reposición” HOJA N 5, VERSIÓN PÙBLICA Podemos colegir que el señor XXXXXXXXXXXXXXXXXXXX, al aceptar la POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL EN LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO, entiende que los datos que el suministra adquieren el carácter de públicos una vez ingresan al sistema de trámites, por consiguiente la denuncia del señor XXXX, al final lo que denota es una falla en el deber de informarse, pues si no está de acuerdo en que esos datos obtenga el carácter de públicos no debió haber aceptado las POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL EN LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO, y pretende ahora que se le vulneraron unos derechos cuando en realidad no atendido a los deberes que como consumidor le asistían.
Y acá nuevamente se hace necesario llamar la atención del sancionador toda vez que, abusa de su posición dominante e infligió el derecho a la defensa, porque la entidad esta (sic) realizando un incorrecto tratamiento de lo (sic) datos de los ciudadanos y no está teniendo en cuenta la política de tratamiento de datos de la entidad, yendo en contravía de lo expresado en la misma, y nuevamente como el fallador no le parece importante el testimonio del denunciante, le impide de entender la verdad del asunto, porque era deber del señor conocer primero la norma y quedaría mas (sic) que demostrado que no elevó queja ante GRUPO INNOVA INTERNATIONAL y así mismo tampoco conocía de la política de la entidad y la forma en que están siendo tratados sus datos.
Dejando constancia que, el correo electrónico del señor denunciante no ostenta el carácter de dato personal, si tenemos en cuenta que, el mismo pertenece a la institución universitaria Universidad del Norte, y no es el correo personal que pude adquirir a través de internet de forma gratuita, y sobretodo (sic) como ya tiene tantos tramites y sentencias debidamente ejecutoriadas también ostenta el carácter de público acá sería importante que el sancionador explicara que datos del señor ya se consideran públicos por las sentencias que están ya ejecutoriadas.
Lo que necesariamente nos lleva a cuestionarnos, si el uso dado al correo institucional es el permitido y autorizado por la Universidad, si tenemos en cuenta que los correos de este tipo de educaciones están destinados para que los mismos, sean usados con fines académicos y administrativos, situación que evidentemente no ocurre. Y dejando claro que, nosotros como empresas no obtuvimos ningún tipo de beneficio económico ni comercial, situación que se hace relevante dejar clara.
Toda vez que, no se manipulo ningún dato personal, ni se habló nunca con el señor XXXXX” 3.4 A continuación, se refiere al segundo cargo, aduciendo lo siguiente: “1.4Cargo número 2. literal d) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
Con base en el cargo imputado, procede la Sociedad a dar respuesta del mismo, y de esta manera demostrar que no ha existido ninguna conducta que pueda ser objeto de sanción por parte de la entidad. Enfocándome en lo siguiente: La imputación realizada, dentro del expediente no obra prueba tan siquiera sumaria que indique que se ha adulterado, perdido, consultado o tenido acceso a la información, por parte de terceros no autorizados, y de esta forma demostrar que las medidas técnicas aportadas no fueran suficientes.
Por lo tanto, no ha existido un hecho que demuestre que la información ha sido objeto de la violación al principio de seguridad, y esto hace que se tenga como motivo suficiente para asegurar que se cuentan con las medidas técnicas humanas, y administrativas que garantizan el mismo. Y no exista una infracción a evaluar, por lo tanto, el cargo imputado carece de objeto, y nuevamente impide, el correcto ejercicio de derecho a la defensa.
No obstante, lo anterior, me permito aportar nuevamente el manual de seguridad, para que se tenga en cuenta el mismo. Y, sobre todo, que se aplique proporcionalmente el tamaño de la empresa, naturaleza de “Por la cual se resuelve un recurso de reposición” HOJA N 6, VERSIÓN PÙBLICA los datos, el tipo de tratamiento al que está sujeto, riesgos que podría causar.
Y que la sociedad no cuenta con sanciones previas, ni investigaciones, ni denuncias por este particular. Aunado a lo anterior y teniendo claro que la empresa tiene toda la información en servidores de Amazon me permito adjuntar la siguiente documentación que denota el extenso cumplimiento de la misma en términos de seguridad de los datos personales, y lo pantallazos donde se observa que la plataforma si reclamo junto con la base de datos reposa en un servidor Amazon: “Por la cual se resuelve un recurso de reposición” HOJA N 7, VERSIÓN PÙBLICA Además, me permito anexar certificado en donde se puede observar que no se tienen quejas relacionadas con datos personales.
Y en este punto se hace importante indicar que no se entiende la forma en que se analiza la seguridad de la información, si no se tienen muestras de fallas o vulneraciones de los sistemas de información, y se cuenta con las medidas técnicas necesarias para garantizar el correcto cumplimiento del mismo. Y en cambio la entidad y especialmente en el sistema de trámites que es donde reposa toda la información de las personas, indica que la página no es segura, y nuevamente llamo la atención bajo que parámetros se revisan los protocolos de seguridad, para un correcto entendimiento me permito aportar las siguientes imágenes que son extraídas directamente de la página de la entidad, y son las siguientes: “Por la cual se resuelve un recurso de reposición” HOJA N 8, VERSIÓN PÙBLICA “Por la cual se resuelve un recurso de reposición” HOJA N 9, VERSIÓN PÙBLICA Lo anterior para demostrar que la página de ww.sireclamo.com, es segura tal y como se puede apreciar por parte del sancionador, que al final es donde reposan las bases de datos, y las mismas gozan de seguridad, “Por la cual se resuelve un recurso de reposición” HOJA N 10, VERSIÓN PÙBLICA tan es así que nunca se ha tenido una solo queja por manejo indebido de datos personales, o ataques cibernéticos y se cuenta con los certificados de seguridad necesarios para garantizar tal situación. Por ende, no se entiende porque se indica que la base de datos no es segura cuando el mismo google lo certifica, y no obstante lo anterior también se indica que nuestra información está alojada en servidores Amazon que son los más seguros del mundo y cumplen con todos y cada uno de los estándares nacionales e internacionales en cuanto a seguridad se refiere, por ende, carece de sustento la sanción impuesta si tenemos en cuenta este contexto.” 1.5 Aplicación del principio de razonabilidad y proporcionalidad en la aplicación del artículo 2.2.2.2.25.6.1 del decreto 1074 de 2015.
En este punto quiero indicar que, el artículo antes mencionado indica lo siguiente: "Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Lev 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. “Por la cual se resuelve un recurso de reposición” HOJA N 11, VERSIÓN PÙBLICA 2. La naturaleza de los datos personales objeto del tratamiento. 3.
El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (Decreto 1377 de 2013, art. 26)" En el análisis de imputación realizado en el cargo segundo del despacho, en donde resulta tan impreciso que termina dificultando la defensa, debido a que no se indica la proporcionalidad de estas medidas con la información que indica el artículo, estamos hablando de una micro empresa, no son datos sensibles, el tratamiento es para hacer tramite (sic) de los documentos, y no existen riesgos demostrados de los datos manejados.
Así mismo, se aportó el manual de las medidas adoptadas. En este punto se indica que, no se esta (sic) teniendo la sanción mínima a pesar que debería hacerlo y tampoco indica el porque llega a la cuestión de la imposición de no poner el mínimo y es preciso indicar lo aportado por parte de la entidad.” 3.5. Finaliza su escrito, señalando que, con base en los fundamentos de derecho establecidos, solicita: “(…) El pliego de cargos realizado por parte de la entidad no goza de la exactitud, precisión y determinación, que permitan apreciar que los hechos frente a las disposiciones presuntamente infringidas estén debidamente individualizados, vale la pena decir haciendo precisión acerca de la conducta con que resulta infringida cada norma imputada.
Si tenemos en cuenta que se debe dar una descripción de la conducta, que permita identificar el modo, tiempo y lugar, la modalidad específica de la misma, si se da a título de dolo o culpa, las pruebas que fundamentan cada uno de los cargos. Lo que nos lleva a la irrefutable conclusión que los cargos son excesivamente abiertos, indeterminados y no cuenta con lineamentos claros que permita el ejercicio al derecho a la defensa de manera libre, e impidan la justificación de la conducta, y específicamente la correcta adecuación del derecho a la defensa, debido a que me pone en la situación de probar que con el comportamiento no se ha violado ninguna de las disposiciones del ordenamiento jurídico, o gran parte de ellas, lo que desde cualquier punto de vista, resulta imposible.
Lo incomprensible de los anteriores cargos hacen imposible el ejercicio pleno del derecho de defensa, su no claridad, su condición de ininteligible, los hace contrarios a la exigencia legal de claridad y precisión, que frente a las imputaciones exige la norma procesal, el único remedio en franca ayuda a la Superintendencia, sería entrar a realizar un esfuerzo interpretativo encaminado a afirmar que allí no dice lo que literalmente afirma, esfuerzo cuyo resultado dependerá de quien lo haga, dado que es más de uno los ejercicios interpretativos que pueden realizarle a propósito de cualquiera de los apartes de los cargos.
En razón a lo anterior, y debido a la carencia de estos requisitos de obligatorio cumplimiento por parte de la entidad, se solicita se revise la legalidad del acto administrativo número 5845 del 14 de marzo de 2019. Porque el mismo viola el derecho al debido proceso al no configurarse de manera clara, determinada, específica, y precisa los cargos imputados, lo que conlleva necesariamente a la imposibilidad de una correcta defensa, y además puede violar el artículo 33 de la Constitución Política de Colombia, razón suficiente para que la anterior solicitud prospere, y se ordene de inmediato la terminación de la presente investigación. La sociedad GRUPO INNOVA INTERNATIONAL SAS, no ha hecho un manejo inadecuado del correo institucional XXXXXXXXXXXXXXXXXXXX, toda vez que el mismo se da con el tratamiento dado por parte de entidad, y tal y como es de conocimiento del Despacho, nos encontramos ante un dato público, y los mismos no requieren de autorización, recalcando que este tipo de datos no se encuentran en un listado taxativo, sino por el contrario es apenas enunciativo, por lo que en la definición de dato público cabe el dato del correo institucional XXXXXXXXXXXXXXXXXXXX.
Sumado al hecho que no solo ha presentado acciones de protección al consumidor sino también denuncias en procura de la preservación del interés general lo que le da una connotación mayor para comprenderlo como un dato público, y el señor XXXX nunca objeto ante la Superintendencia rechazo alguno al tratamiento dado al dato a pesar de saber que el mismo es público, siendo así motivo suficiente para dejar por sentado que la autorización del mismo no es requisito legal exigible en el caso en comento.
Y sobre todo la manipulación del dato se dio de un correo que no es de GRUPO INNOVA INTERNATIONAL SAS, tal y como se expuso y queda demostrado dentro del expediente “Por la cual se resuelve un recurso de reposición” HOJA N 12, VERSIÓN PÙBLICA que con el número celular no se realizó ningún tipo de tratamiento por ende no tiene sentido la aplicación de la sanción. 1.
PETICIÓN En virtud de lo expuesto, GRUPO INNOVA INTERNATIONAL SAS, solicita de forma respetuosa que sea revocado en su integridad el acto administrativo número 64258 DE 2020, del 14 de octubre de 2020, y subsidiariamente y en caso que no se realice la revocatoria del mismo se reduzca la sanción impuesta toda vez que la misma no es proporcional ni al contexto ni a la situación fáctica y jurídica presentada.
Y se imponga la mínima sanción posible.”
CUARTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente, este Despacho procede a realizar las siguientes consideraciones: 4.1 De la presunta vulneración del requisito de procedibilidad Inicia su argumentación, manifestando que: “El Titular o causahabiente sólo podrá elevar queja ante la responsable del Tratamiento o Encargado del Tratamiento” Este argumento no es del recibo por este Despacho teniendo en cuenta que, el requisito de procedibilidad al que hace mención el artículo 16 de la Ley 1581 de 2012 está relacionado con el ejercicio del derecho de habeas data por parte de un Titular, mientras que la actuación que se adelanta en este expediente está asociada a la potestad sancionatoria de la que goza la investigaciones correspondientes para verificar el cumplimiento de la Ley 1581 de 2012 por parte de los sujetos obligados.
Respecto del requisito de procedibilidad, este Despacho se pronunció sobre este tema en Resolución 41510 del 2014, dentro del expediente 14-37937, en los siguientes términos: "En atención a que unos de los argumentos esgrimidos por la investigada ( ), se dirige a cuestionar el cumplimiento del debido proceso consagrado en la Ley 1581 de 2012, pues a su juicio, la Titular de la información no presentó previamente ( ) ningún reclamo relacionado con los mismos hechos que ahora son objeto de investigación, este Despacho se permite precisar lo siguiente: Al respecto es pertinente mencionar que el artículo 19 de la Ley 1581 de 2012 establece las facultades otorgadas a esta Superintendencia, para el ejercicio de la función de vigilancia para garantizar que, en el Tratamiento de datos personales, se respeten los principios, derechos y garantías y procedimientos previstos en dicha norma.
Igualmente, el literal b) del artículo 21 de la citada norma, señala que esta Superintendencia puede 'Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;
( )' La disposición citada anteriormente significa que la reclamación previa presentada por la quejosa ante la investigada, es un requisito indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición de la interesada, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que per se le asiste a esta Entidad, sin necesidad de agotar ningún requisito de procedibilidad.
( )" (Subrayado y negrilla fuera del texto original). Ahora bien, la potestad sancionatoria de la Superintendencia de Industria y Comercio, la faculta para que de manera oficiosa adelante investigaciones, y como resultado de estas imponga sanciones por el incumplimiento del régimen legal de protección de datos personales, el cual no exige ningún requisito de procedibilidad por parte del Titular.
Adicionalmente manifiesta que “(…) Toda vez que, del pliego de cargos sancionatorio se aprecia una indebida aplicación de la norma que se alega vulnerada, y se piden pruebas que ayuden a mitigar tal situación y se hace caso omiso de las mismas. (…) Teniendo en cuenta que, la investigación se basa en dos cargos procederemos a desglosar cada uno de los mismos, para de esta forma poder conformar la convicción del “Por la cual se resuelve un recurso de reposición” HOJA N 13, VERSIÓN PÙBLICA juez, de la inexistente vulneración a los derechos alegados, toda vez que no se ha violado norma alguna.
Ahora bien, dicho lo anterior resulta preciso indicar cuales son las pruebas que obran dentro del expediente y que son producto de la sanción, las cuales fueron decretadas en el acto administrativo número 20207” Argumento que no es del recibo de esta Dirección, pues la presente investigación ha ceñido su actuación a los principios y normas que rigen el proceso administrativo, lo que se traduce en una investigación transparente, garante del ejercicio del derecho de defensa y contradicción, pues la investigada tuvo su oportunidad procesal para defenderse respecto del acto de formulación de cargos, así como aportar pruebas y ejercer contradicción., además es importante resaltar que esta no es la instancia para debatir estos aspectos; pues solo se decide sobre aquellos argumentos que se constituyen como motivos de inconformidad, respecto del acto que impone la sanción, no respecto de los actos administrativos expedidos en el trámite de la investigación. 4.2 Del presunto cumplimiento con respecto al primer cargo.
Inicia su argumentación, manifestando que “(…)En este punto resulta de vital importancia indicar que, del material probatorio anteriormente descrito no se evidencia prueba ni tan siquiera sumaria que el correo solucionesalconsumidor@hotmail.com, se (sic) un correo de la empresa GRUPO INNOVA INTERNATIONAL SAS, quien es la sancionada en el presente proceso, tal y como se indicó, no se tiene en la base de la compañía ningún dato del señor denunciante ni tampoco se ha hecho ningún tratamiento del mismo, toda vez que, el correo aludido por el demandante no es un correo de la empresa”.
Dicho argumento no es compartido por este Despacho, pues contrario a lo manifestado quedó demostrado en la resolución recurrida que el titular se comunicó a los números de contacto allegados en el correo solucionesalconsumidor@hotmail.com, los cuales demostraron que el correo efectivamente pertenecía a la sociedad GRUPO INNOVA INTERNATIONAL S.A, de igual modo, a lo largo de la investigación, la sociedad en ningún momento manifestó que el correo solucionesalconsumidor@hotmail.com no pertenecía a la entidad.
Ahora bien, la sociedad GRUPO INNOVA INTERNATIONAL S.A manifiesta que “(…) Recordando que el señor XXXXX, y los datos de él no se encuentran en ninguna base de datos de la Compañía, y por ende tampoco se ha hecho su tratamiento, debido a que no ostenta ni la calidad de prospecto ni tampoco la de Cliente, razón suficiente para concluir que no ha se ha violado la disposición endilgada por parte de la entidad.” Frente a este argumento esta Dirección se permite manifestar que mediante la resolución recurrida quedó demostrado que efectivamente sociedad GRUPO INNOVA INTERNATIONAL S.A.S realizó tratamiento de datos del titular XXXXXXXXXXXXXXXXXXXX XXXX, por cuanto envió un correo electronico con fines de prospección comercial, manifestando que se trataba de un dato público, y por ende realizó el tratamiento de la información del titular sin previa autorización, incumpliendo la Ley Estatutaria 1581 del 2012. 4.3 Dato publicado por la entidad.
Inicia su argumentación, manifestando que: Sin perjuicio de lo anterior y para que quede claro, a pesar que el dato no fue tratado por parte de GRUPO INNOVA INTERNATIONAL SAS, y para un correcto entendimiento de la situación, es preciso indicar que el correo electrónico del señor XXXXX, no ostenta la calidad de dato personal, primero porque es un correo institucional, y segundo porque de acuerdo a las políticas de la entidad el mismo se encuentra público en el sistema de trámites de la Superintendencia de Industria y Comercio.
Dicho argumento no es compartido por este Despacho, en tanto tal y como se expuso en el numeral 9.2.1 de la Resolución 64258 del 14 de octubre de 2020, la información que se encuentra publicada en la página de esta Superintendencia con respecto a los correos electrónicos de las partes, cumple una finalidad específica que es la de dar publicidad a los actos administrativos y cumplir la norma procesal por lo que el uso de esa misma información con fines de prospección comercial por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S exige que se obtenga la autorización previa, expresa e informada del titular, como lo establece la Ley Estatutaria 1581 del 2012.
Ahora bien reitera esta Dirección que, Si bien, la sociedad expresó haber obtenido la información en la página de esta Superintendencia, no por eso se considera de naturaleza pública, teniendo en cuenta lo establecido en el Inciso 2 Artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015, que: “Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se “Por la cual se resuelve un recurso de reposición” HOJA N 14, VERSIÓN PÙBLICA encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.” Por su parte, la Ley 1581 de 2012 establece en el literal c) del artículo 3 o que, dato personal es "cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinabas".
A su turno, el Gobierno Nacional, por medio de la expedición del Decreto Único Reglamentario 1074 de 2015, diferenció la naturaleza los datos personales, señalando a su tenor literal que dato público "es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público.
Por su naturaleza. los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva". De esta manera, queda claro que el concepto de dato público proviene directamente de la definición dada por nuestro ordenamiento jurídico, en el cual se incluyeron, por ejemplo, aquellos relacionados con el desempeño de un oficio.
Por lo tanto, los responsables del tratamiento deben establecer medidas legítimas, útiles, apropiadas y efectivas para cumplir sus obligaciones legales, adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. En el presente caso, la recurrente junto con el escrito de recurso de reposición y en subsidio apelación, no aportó nuevos elementos probatorios que acrediten que cuentan con la autorización del titular del dato personal. 4.4 Del presunto cumplimiento con respecto al segundo cargo.
Inicia su argumentación, manifestando que: “(…) No obstante, lo anterior, me permito aportar nuevamente el manual de seguridad, para que se tenga en cuenta el mismo. Y, sobre todo, que se aplique proporcionalmente el tamaño de la empresa, naturaleza de los datos, el tipo de tratamiento al que está sujeto, riesgos que podría causar. Y que la sociedad no cuenta con sanciones previas, ni investigaciones, ni denuncias por este particular.
Aunado a lo anterior y teniendo claro que la empresa tiene toda la información en servidores de Amazon me permito adjuntar la siguiente documentación que denota el extenso cumplimiento de la misma en términos de seguridad de los datos personales, y lo pantallazos donde se observa que la plataforma si reclamo junto con la base de datos reposa en un servidor Amazon”, este argumento no es del recibo por este Despacho, por las siguientes razones: 1.
La sociedad GRUPO INNOVA INTERNATIONAL S.A.S manifiesta tener contratado con Amazon los correos electrónicos corporativos, así como toda información en servidores de Amazon en la plataforma si reclamo, sin embargo, no se tiene certeza de que su implementación haya sido previo a la fecha de ocurrencia de los hechos originadores de la sanción, en consecuencia, no logra desvirtuar la responsabilidad endilgada a la sociedad, como se evidencia a continuación: Imagen 1 “Por la cual se resuelve un recurso de reposición” HOJA N 15, VERSIÓN PÙBLICA Imagen 2 2.
La sociedad GRUPO INNOVA INTERNATIONAL S.A.S, allegó unos documentos denominados: “Using AWS in the Context of Common Privacy & Data Protección Considerations, Información general sobre el cumplimiento del reglamento GDPR en AWS, Amazon Web Services: Información general acerca de los procesos de seguridad”, sin embargo los mismos no logran desvirtuar el cargo, teniendo en cuenta que estos de ninguna manera dan cuenta que efectivamente fueron implementados por la sociedad en su plataforma, pues en el contenido de los documentos no se refieren a la sociedad, así mismo, no se tiene certeza de que su implementación haya sido previo a la fecha de ocurrencia de los hechos originadores de la sanción, de igual modo, se hace la salvedad que los documentos se deben allegar en el idioma oficial, pues la carga probatoria la tiene la sociedad, en consecuencia, no logran desvirtuar la responsabilidad endilgada a la sociedad, como se evidencia a continuación: Imagen 3 Imagen 4 Imagen 5 HOJA N 16, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA 3.
Afirman que están aportando nuevamente el manual de seguridad, sin embargo a lo largo de la presente investigación este no fue aportado con anterioridad a la imposición de la sanción en contra de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S 4. Si bien la seguridad de los canales corporativos es un tema relevante, ello no suple el deber que tienen la sociedad GRUPO INNOVA INTERNATIONAL S.A.S como responsable del tratamiento de la información de contar con un manual de seguridad adoptado para impedir la adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento a la información personal almacenada en sus bases de datos, contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1 del decreto único reglamentario 1074 de 2015. 5.
El manual de seguridad allegado no establece fecha de elaboración y entrada en vigencia, no cumple lo dispuesto en el párrafo final del artículo 2.2.2.25.6.1 del Decreto Reglamentario 1074 de 2015, por cuanto prevé que; “En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”, así las cosas, no logra desvirtuar la responsabilidad endilgada a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, ni, en consecuencia, tiene la vocación probatoria de desvirtuar el cargo y revocar la sanción impuesta.
Por lo tanto, se mantiene incólume la Resolución proferida número 64258 del 14 de octubre de 2020. 4.4 De la aplicación del principio de razonabilidad y proporcionalidad En este aparte del recurso, el Recurrente sostiene que, “En este punto se indica que, no se esta (sic) teniendo la sanción mínima a pesar que debería hacerlo y tampoco indica el porque llega a la cuestión de la imposición de no poner el mínimo y es preciso indicar lo aportado por parte de la entidad”.
En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la ley 1581 de 2012 para tasar el monto de la sanción, así: “10.2.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.” Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción contenida en el i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015, se configura el daño al titular, toda vez que no demostró por ningún medio que contaba con la autorización previa, expresa e informada para el tratamiento de datos personales del denunciante.
Por lo transcrito, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción original.
Abonado a lo anterior, este Despacho le recuerda al recurrente lo previsto en artículo 24 de la ley 1581 de 2012 que establece exactamente lo siguiente: “Por la cual se resuelve un recurso de reposición” HOJA N 17, VERSIÓN PÙBLICA “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)” (Negrilla fuera de texto.
En relación con el criterio de atenuación de la sanción señalado en el literal f) del artículo citado, el mismo no se aplicó toda vez que la investigada no reconoció o aceptó la comisión de la infracción. Lo anterior, en línea con lo expuesto por la Corte Constitucional en la sentencia C-748 de 2011, en relación a la aplicación de estos criterios, al señalar, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción ajustada a derecho, donde se tuvo en cuenta la infracción cometida en el i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015 y las sanciones dispuestas en esta ley, sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;
(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso. 2 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
En este orden de ideas, es válido afirmar que esta Dirección dio plena aplicación al principio de legalidad, tipicidad y demás principios dispuestos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en lo que respecta al principio de legalidad y tipicidad, la Corte Constitucional en su sentencia C-412/15 plantea: “El principio de legalidad exige que dentro del procedimiento administrativo sancionatorio la falta o conducta reprochable se encuentre tipificada en la norma -lex scripta- con anterioridad a los hechos materia de la investigación-lex previa.
En materia de derecho sancionatorio el principio de legalidad comprende una doble garantía, a saber: material, que se refiere a la predeterminación normativa de las conductas infractoras y las sanciones; y, formal, relacionada con la exigencia de que estas deben estar contenidas en una norma con rango de ley, la cual podrá hacer remisión a un reglamento, siempre y cuando en la ley queden determinados los elementos estructurales de la conducta antijurídica.
Esto se desprende del contenido dispositivo del inciso 2° del artículo 29 de la Constitución Política que establece el principio de legalidad, al disponer que “nadie podrá ser juzgado sino conforme a las leyes preexistentes al acto que se imputa (…)”, es decir, que no existe pena o sanción si no hay ley que determine la legalidad de dicha actuación, ya sea por acción u omisión… 3” “El principio de tipicidad como desarrollo del de legalidad hace referencia a la obligación que tiene el legislador de definir con claridad y especificidad el acto, hecho u omisión constitutivo de la conducta reprochada por el ordenamiento, de manera que le permita a las personas a quienes van dirigidas las normas conocer con anterioridad a la comisión de la misma las implicaciones que acarrea su 2 C-699/08.
Corte Constitucional. Magistrado ponente. Dr. Alberto Rojas Ríos. Ibídem HOJA N 18, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA transgresión. Conviene precisar que si bien es cierto que en materia sancionatoria la ley puede hacer remisiones a los reglamentos, -con el fin de complementar el tipo allí descrito-, también lo es que la remisión se encuentra limitada al núcleo esencial de lo que se ha estipulado en la ley.
De allí que la tipificación para la descripción de la conducta y la sanción, corresponde por mandato constitucional al legislador, mientras que la aplicación de la misma para subsumir el hecho antijurídico al tipo descrito, corresponde a la administración…” Por su parte, respecto del principio de buena fe, es palmario que el mismo se ha garantizado dentro de la presente actuación, pues fue en virtud de este y de los demás establecidos en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo que se agotaron cada una de las etapas previstas para el procedimiento administrativo sancionatorio, emitiéndose una decisión ajustada a derecho, en donde se le dio la oportunidad a la investigada de ejercer su derecho de defensa y contradicción. Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta mil (2.000) salarios mínimos mensuales legales vigentes, impuso la suma DIEZ MILLONES CUARENTA Y UN MIL CIENTO SETENTA Y CUATRO PESOS M/CTE ($10.041.174), equivalente a doscientos ochenta y dos (282) UVT, por la violación a lo dispuesto en: (i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015, de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”.
De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”4 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. 4 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
“Por la cual se resuelve un recurso de reposición” HOJA N 19, VERSIÓN PÙBLICA En suma, la imposición de la sanción se dio al comprobar la infracción cometida a la normatividad vigente y el impacto que tiene dicha infracción para la protección de los datos personales del titular. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en la primera instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad GRUPO INNOVA INTERNATIONAL S.A.S no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución 64258 del 14 de octubre de 2020; razón por la cual, este Despacho confirmará todo aquello que no sea objeto de modificación, manteniéndose así la proporcionalidad de la sanción inicialmente calculada. 4.5 De la presunta violación al debido proceso Inicia su argumentación, manifestando que: “El pliego de cargos realizado por parte de la entidad no goza de la exactitud, precisión y determinación, que permitan apreciar que los hechos frente a las disposiciones presuntamente infringidas estén debidamente individualizados, vale la pena decir haciendo precisión acerca de la conducta con que resulta infringida cada norma imputada.
Si tenemos en cuenta que se debe dar una descripción de la conducta, que permita identificar el modo, tiempo y lugar, la modalidad específica de la misma, si se da a título de dolo o culpa, las pruebas que fundamentan cada uno de los cargos. “ Esta Dirección, no comparte el argumento del Recurrente, puesto que, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S tuvo en todo momento la oportunidad de ejercer su derecho de defensa y contradicción, así como aportar pruebas garantizándose todas las exigencias establecidas en la ley para adelantar el proceso de la referencia y, en consecuencia, emitiéndose una decisión ajustada a derecho y absolutamente respetuosa de la Constitución Política colombiana.
Por lo expuesto, observa esta Dirección que no hubo en este caso vulneración alguna del debido proceso de la sociedad investigada, máxime si se tiene en cuenta que el proceso sancionatorio adelantado por esta Superintendencia se surtió con total apego a las normas que rigen la materia y de cara a proteger los derechos en materia de protección de datos del Titular de la información; razón por la cual, este Despacho desestima los argumentos presentados en este aparte del recurso. 4.6 Frente a la pretensión En su escrito de recurso, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S señala:” (…) sea revocado en su integridad el acto administrativo número 64258 DE 2020, del 14 de octubre de 2020, y subsidiariamente y en caso que no se realice la revocatoria del mismo se reduzca la sanción impuesta toda vez que la misma no es proporcional ni al contexto ni a la situación fáctica y jurídica presentada.
Y se imponga la mínima sanción posible.” Sobre la pretensión incoada relativa a que se revoque y en caso que no se realice la revocatoria del mismo se reduzca la sanción impuesta, considera este Despacho que la misma no está llamada a prosperar por los argumentos esgrimidos líneas atrás. En esta medida, esta Dirección concede el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladará las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales, para lo pertinente.
QUINTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución 64258 del 14 de octubre de 2020. En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución 64258 del 14 de octubre de 2020, de conformidad con la parte motiva del presente acto administrativo. “Por la cual se resuelve un recurso de reposición” HOJA N 20, VERSIÓN PÙBLICA ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S identificada con el Nit. 900.885.724-6, a través de su representante legal y de su apoderada, entregándoles copia de la misma.
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXXXXXXXXXXXX XXXX, identificado con C.C. XXXXXXXXX
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 09 DICIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.12.09 15:34:38 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: GRUPO INNOVA INTERNATIONAL S.A.S Identificación: Nit.: 900.885.724-6 Representante Legal: Claudio Castrillón Zuluaga.
Identificación: C.C No. 1.053.791.706 Dirección: Cra 23 # 19 -43 Ciudad: Manizales / Caldas Correo electrónico: contabilidad@giraldoabogados.com COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXX Dirección: XXXXXXXXX Ciudad: XXXXXXXX Correo electrónico: XXXXXXXX