(Julio 22 de 2022) Radicación 19-134252 VERSIÓN ÚNICA EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y,
CONSIDERANDO
PRIMERO. Mediante Resolución No. 57172 del 3 de septiembre de 2021, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación administrativa iniciada en contra de CMS COLOMBIA LTDA CORPORACIÓN MÉDICA SALUD PARA LOS COLOMBIANOS identificada con el Nit. 900.112.820-9 (en adelante CMS COLOMBIA), resolvió lo siguiente:
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CMS COLOMBIA LTDA CORPORACION MEDICA SALUD PARA LOS COLOMBIANOS identificada con el Nit. 900.112.820-9 de NUEVE MILLONES CUATROCIENTOS CUARENTA MIL OCHENTA PESOS M/CTE ($9.440.080), equivalentes a DOSCIENTAS SESENTA (260) Unidades de Valor Tributario vigentes, por la transgresión lo dispuesto en: (i) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.3.1., 2.2.2.25.3.2., 2.2.2.25.3.3. y 2.2.2.25.3.4. del Decreto Único Reglamentario 1074 de 2015.
(ii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° de la precitada ley, y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (iii) El literal k) del artículo 17 ejúsdem, y el inciso 4 del artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en armonía con el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem y el artículo 2.2.2.25.2.8 del mismo decreto; y (v) El literal o) del artículo 17 de la Ley 1581 de 2012, el literal f) del artículo 21 ejúsdem, y el artículo 25 de la misma ley; en concordancia con el literal a) del artículo 2.2.2.26.1.2. del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. del precitado decreto y el literal b) del artículo 2.2.2.26.3.1. ejúsdem.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad CMS COLOMBIA LTDA CORPORACION MEDICA SALUD PARA LOS COLOMBIANOS identificada con el Nit. 900.112.820-9, cumplir con las siguientes instrucciones: La sociedad CMS COLOMBIA LTDA CORPORACION MEDICA SALUD PARA LOS COLOMBIANOS deberá ajustar y cargar la versión actualizada de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015. La sociedad CMS COLOMBIA LTDA CORPORACION MEDICA SALUD PARA LOS COLOMBIANOS deberá documentar sus manuales de seguridad, atención de consultas y reclamos, y del ciclo del dato para dar cumplimiento a lo señalado en La Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO PRIMERO: Para dar cumplimiento a estas órdenes, la investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término del mes siguiente a la ejecutoria de la presente decisión. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA SEGUNDO. CMS COLOMBIA a través de su apoderado (en adelante el RECURRENTE) el 22 de septiembre de 2021 interpuso recurso de apelación1 contra la Resolución No. 57172 del 3 de septiembre de 2021, en los siguientes términos: “Al momento de la graduación de la sanción la superintendencia de industria y comercio no aplica factores atenuantes de la sanción al argumentar: 10.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción investigada por esta Superintendencia, sino que limitó su ejercicio a la confirmación de la comisión de la infracción, al manifestar, que, “respecto (sic) al registro nacional de bases de datos - RNBD, la sociedad CMS COLOMBIA LTDA no realizo (sic) el registro como consecuencia de una omisión de la persona encargada del área de calidad, lo cual se logró subsanar el día 17 diciembre del año 2020.” y, así mismo, acreditó una serie de medidas adoptadas, en aras de superar los incumplimientos en mencionados a lo largo del presente acto administrativo.
Posición jurídica que respeto pero no comportito por las siguientes razones jurídicas. En los alegatos de conclusión existió un reconocimiento expreso y claro por parte de CMS COLOMBIA LTDA del incumplimiento de la obligación legal al expresar: “Respecto al registro nacional de bases de datos - RNBD, la sociedad CMS COLOMBIA LTDA no realizo el registro como consecuencia de una omisión de la persona encargada del área de calidad, lo cual se logró subsanar el día 17 diciembre del año 2020.
Con el fin de corregir dicha omisión establecida en el literal k del artículo 17 de la ley 1581 del año 2012, se procedió a realizar el plan de mejoramiento que se ve reflejado en las medidas adoptadas para garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de la actividad de la sociedad, las cuales van encaminadas a que los responsables, cumplan con las políticas internas efectivas que demuestran el cumplimiento de las obligaciones establecidas en la ley 1581 del año 2012, que se ajusta a la política de tratamiento de datos personales.
Con fundamento en las razones expuestas, con las cuales la sociedad que represento corrige las omisiones detectadas y que causaron la formulación de cargos, por medio de la cual inicia proceso sancionatorio, desaparecieron conforme al plan de mejoramiento adoptado( )” Lo cual permite concluir, que no se requiere realizar un mayor esfuerzo para identificar que se aceptó por parte de CMS COLOMBIA LTDA todos las causales y cargos formulados contra la sociedad investigada y que se procedió a corregir la omisión mediante un plan de mejoramiento, el cual se allego a la automáticamente causa que se desvirtuando el principio de presunción de inocencia y permitió aclarar los hechos objeto de investigación, lo cual se debe tener como un atenuante al momento de emitir la sanción y que en la sanción de primera instancia no fue ponderado conforme al principio de proporcionalidad, toda vez que la sociedad que represento no está ocultando otras realidades procesales diferentes al pliego de cargos.
En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tonto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función público. Respecto de la sanción administrativa. La proporcionalidad implica también que ello no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad· Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. 1 Conforme a constancia suscrita por el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 19-134252-18 del 20 de septiembre de 2021, la Resolución No. 57172 del 3 de septiembre de 2021 fue notificada por aviso al apoderado de CMS COLOMBIA el 15 de septiembre de 2021, con lo cual el término para presentar los recursos vencía el 29 de septiembre de 2021.
“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Por último, si la superintendencia de industria y comercio reconoce que a CMS COLOMBIA LTDA dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, no hubo reincidencia en la comisión de la infracción, no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Lo adecuado jurídicamente, es que estos atenuantes se vean reflejados al momento de graduar la pena o sanción, siempre y cuando exista una pena mínima a imponer, en el caso en estudio se debe imponer como sanción la mínima correspondiente a 130 unidades de valor tributario debido a que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales y morales, por tal motivo seria solo procedente impartir la orden administrativa de cómo se debe corregir los documentos allegados por la sociedad que represento.
TERCERO. De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO:
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (Modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo”. 2. PRECISIONES PRELIMINARES. Los motivos de inconformidad argumentados por el RECURRENTE en su escrito de apelación se concretan en la aplicación de los criterios de graduación a la sanción impuesta por parte de la Dirección de Investigación de Protección de Datos Personales, pues consideró que no se tuvo en cuenta la aceptación que de la conducta reprochada relacionada con la inscripción en el Registro Nacional de Bases de Datos, hiciera CMS COLOMBIA, cuando presentó el escrito de los Alegatos de conclusión, de conformidad con lo establecido en el literal f) del artículo 24 de la Ley 1581 de 2012.
A partir de lo anterior, este Despacho estudiará el recurso de apelación interpuesto bajo dos puntos de vista, el primero, relacionado con la Potestad Sancionadora de la Superintendencia de Industria y Comercio y, el segundo, respecto de los criterios de graduación de las sanciones.
3. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”19. Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
El artículo 233, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 3 ARTÍCULO 23. SANCIONES.
La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Respecto de la “Potestad sancionatoria”, la Corte Constitucional ha señalado: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.” 4 En el mismo sentido, y en relación con los principios 5 señalados, dicha corporación por medio de la Sentencia C-948 de 2002 manifestó: “En la doctrina[36]6se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta[37] 7 ), de proporcionalidad o el denominado non bis in ídem”.
Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”8. Por lo tanto, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal.
En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”9. c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; 4 Corte Constitucional.
Sentencia C-748 de 2011 5 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 6 [36] Juan Alfonso Santamaría Pastor.
Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 7 [37] Ver Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.
Arandazi. Madrid. 1996. 8 [203] Sentencia C-406 de 2004. 9 Sentencias C-827 de 2001 y C-343 de 2006. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia C – 748 de 2011 sostuvo: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
(Negrilla fuera de texto) Se concluye entonces que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del Tratamiento de la información. Así las cosas, al verificar cada una de las etapas dentro de la presente actuación administrativa, advierte este Despacho, que la sanción impuesta por parte de la Dirección esta ajustada al principio de legalidad y tipicidad desarrollados en líneas anteriores, pues, la vulneración a las normas establecidas en la Ley 1581 de 2012, se encuentra suficientemente probada.
A continuación, este Despacho analizará la aplicación del literal f) del artículo 24 de la Ley 1581 de 2012, como único criterio de atenuación de las sanciones que sean impuestas por la autoridad de datos personales.
4. CRITERIOS PARA LA GRADUACIÓN DE LAS SANCIONES. El artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 constitucional10.. Esos criterios, según la Sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, establecidas en los literales a), b), c), d) y e), y a una de atenuación o disminución de la sanción, correspondiente únicamente al literal f).
Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de Datos personales debe analizar los criterios de graduación que sean pertinentes o, como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se usan en el caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.
Es necesario igualmente precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada ley11.
Ese efecto negativo tiene como finalidad no solo 10 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 11 El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
(negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental a la Protección de Datos Personales, entre otros12.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de Datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el en el artículo 15 de la Constitución Política Nacional, y que, en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana; el buen nombre; la intimidad; etc.
Del mismo modo, la vulneración del Derecho Fundamental a la Protección de Datos Personales no solo afecta los derechos de una persona en particular, sino que, pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad. El apoderado de CMS COLOMBIA, indica en el escrito de apelación que, en el presente caso debe darse aplicación a la causal de atenuación descrita en el literal f) del artículo 24 de la Ley 1581 de 2012, pues considera que, en el escrito de Alegatos de Conclusión, radicado bajo el consecutivo 19-134252-10 de fecha 17 de diciembre de 2020, aceptó la vulneración de las normas de protección de datos en los siguientes términos: “respecto al registro nacional de bases de datos - RNBD, la sociedad CMS COLOMBIA LTDA no realizo el registro como consecuencia de una omisión de la persona encargada del área de calidad, lo cual se logró subsanar el día 17 diciembre del año 2020”.
Ahora bien, el citado literal f) condiciona la atenuación de la sanción únicamente a dos requisitos, el primero que el reconocimiento de la falta sea expreso y el segundo que se realice antes de proferir la sanción a que hubiera lugar, condiciones que en la presente actuación administrativa, se cumplen, toda vez que en la etapa de alegatos de conclusión que es previa a la imposición de la sanción, CMS COLOMBIA informó a la Dirección de Investigación de Protección de Datos Personales que no realizó la inscripción en el Registro Nacional de Bases de Datos, “como consecuencia de una omisión”, afirmación que para este Despacho consiste en una aceptación del incumplimiento del deber por el cual fue sancionado, razón por la cual este Despacho atenuará el monto de la sanción en 26 UVT.
De conformidad con lo indicado, la sanción impuesta equivalente a $8.496.072 que corresponden a 234 UVT es proporcional si se tiene en cuenta que el monto límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes. Para el caso concreto, la multa impuesta a CMS COLOMBIA corresponde al 0.46% del citado límite.
Finalmente, resulta pertinente resaltar lo siguiente: 1. La multa de OCHO MILLONES CUATROCIENTOS NOVENTA Y SEIS MIL SETENTA Y DOS PESOS M/CTE ($8.496.072), equivale al 0.46% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 2. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. 3. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. 4.
Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) 12 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. VERSIÓN UNICA “Por la cual se resuelve un recurso de apelación” Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. 5. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”13. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia 14. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
5. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable del Tratamiento la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”15.
Adicionalmente, los Responsables o Encargados del Tratamiento no son dueños de los Datos personales que reposan en sus Bases de Datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los Titulares de los Datos.
En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 26 16 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar que puso en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (Accountability)”17. 13 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: 15 Cfr. Corte Constitucional, sentencia T-227 de 2003 16 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 17 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA El término “Accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012, son las siguientes: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –Accountability- demanda implementar acciones de diversa naturaleza18 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”19.
(Destacamos). El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los Titulares de los Datos personales y su gestión siempre sea respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los anteriores aspectos mencionados en la guía 20, ponemos de presente que el principio de responsabilidad demostrada se articula con el concepto de “Compliance” en la medida que este hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”21.
También se ha afirmado que “Compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha 18 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos. 19 Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “Accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 20 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 21 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA autoimpuesto (éticas)”22.
Adicionalmente, se precisa que ya no vale solo intentar cumplir la ley sino que las organizaciones deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello. Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de Compliance23.
Por tanto, las organizaciones deben “implementar el Compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “Accountability” respecto del Tratamiento de Datos personales. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del Compliance y buena parte de lo que implica el principio de responsabilidad demostrada (Accountability).
En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 24 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”25.
6. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí́́ se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así́́, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora, según el artículo 22 de la ley 222 de 1995 26 23 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier 22 Cfr. Bonatti, Francisco.
Va siendo hora que se hable correctamente de Compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 23 Idem 24 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.
Págs 16-18 25 Ibid. P 16 26 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está́́ o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 27 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros” 28 25.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. 7. CONCLUSIONES. Sin perjuicio de lo establecido, este Despacho accederá parcialmente a lo solicitado por parte del RECURRENTE, por, entre otras, las siguientes razones: a) Frente a la inscripción en el Registro Nacional de Bases de Datos, CMS COLOMBIA, aceptó expresamente en el escrito de alegatos de conclusión que no la realizó, razón por la cual es aplicable la causal de atenuación prevista en el literal f) del artículo 24 de la Ley 1581 de 2012, por lo que se disminuyó en un 10% el valor de la sanción impuesta inicialmente, es decir, se redujo de 260 a 234 UVT’s. a) La multa de OCHO MILLONES CUATROCIENTOS NOVENTA Y SEIS MIL SETENTA Y DOS PESOS M/CTE ($8.496.072), equivale al 0.46% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 57172 del 3 de septiembre de 2021. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO. MODIFICAR el ARTÍCULO PRIMERO de la Resolución No. 57172 del 3 de septiembre de 2021, de conformidad con lo establecido en el presente acto administrativo, el cual quedará así: 27 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá́ la culpa del administrador. De igual manera se presumirá́ la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá́ por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será́ de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 28 Parte inicial del artículo 24 de la ley 222 de 1995.
“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CMS COLOMBIA LTDA CORPORACION MEDICA SALUD PARA LOS COLOMBIANOS identificada con el Nit. 900.112.820-9 de OCHO MILLONES CUATROCIENTOS NOVENTA Y SEIS MIL SETENTA Y DOS PESOS M/CTE ($8.496.072), equivalentes a DOSCIENTAS TREINTA Y CUATRO (234) Unidades de Valor Tributario vigentes, por la transgresión lo dispuesto en: (i) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.3.1., 2.2.2.25.3.2., 2.2.2.25.3.3. y 2.2.2.25.3.4. del Decreto Único Reglamentario 1074 de 2015.
(ii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° de la precitada ley, y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (iii) El literal k) del artículo 17 ejúsdem, y el inciso 4 del artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en armonía con el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem y el artículo 2.2.2.25.2.8 del mismo decreto; y (v) El literal o) del artículo 17 de la Ley 1581 de 2012, el literal f) del artículo 21 ejúsdem, y el artículo 25 de la misma ley; en concordancia con el literal a) del artículo 2.2.2.26.1.2. del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. del precitado decreto y el literal b) del artículo 2.2.2.26.3.1. ejúsdem.
ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a CMS COLOMBIA LTDA CORPORACIÓN MÉDICA SALUD PARA LOS COLOMBIANOS, identificada con Nit. 900.112.820-9 a través de su representante legal o apoderado o quien haga sus veces, en calidad de investigada, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO: INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., julio 22 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), digitalmente por JOHN MARCOS Firmado JOHN MARCOS TORRES CABEZAS TORRES Fecha: 2022.07.22 14:51:41 CABEZAS -05'00' JOHN MARCOS TORRES CABEZAS NTL “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CMS COLOMBIA LTDA CORPORACIÓN MÉDICA SALUD PARA LOS COLOMBIANOS Nit. 900.112.820-9 MIGUEL ANGEL DUARTE QUINTERO C.C. 13.445.189 Calle 64 G No. 88 A – 88 Bogotá D.C. notificaciones_judiciales_cms@dumianmedical.net Apoderado: Identificación: Tarjeta Profesional: Dirección: Correo Electrónico: JULIAN DAVID COCA ARBOLEDA C.C. 4.514.932 166.108 del C. S. de la J Carrera 6 No. 15 – 61 Oficina 206 Edificio San Marcos. escudojuridico@gmail.com VERSIÓN UNICA