Apelación 54070 de 2021 — SIC

(29 OCTUBRE 2021) VERSIÓN ÚNICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 18-260290 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012, el numeral 8 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 52087 del 18 de agosto de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad Q10 SOLUCIONES S.A.S., identificada con el Nit. 900.299.474-6, de OCHENTA MILLONES CINCUENTA Y NUEVE MIL CIENTO CUARENTA PESOS M/CTE ($80.059.140), vigentes., (sic) por la transgresión de los deberes dispuestos en: deberes dispuestos en: (sic)”.

(i) el Literal (sic) k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 del 2015; (ii) el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2915, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2.2.2.25.2.8 ejúsdem y (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

(…)

ARTÍCULO SEGUNDO: ORDENAR a la sociedad Q10 SOLUCIONES S.A.S., identificada con el Nit. 900.299.474-6, cumplir con las siguientes instrucciones: - La sociedad Q10 SOLUCIONES S.A.S. deberá cargar la versión actualizada de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Única Reglamentario 1074 de 2015. - La sociedad Q10 SOLUCIONES S.A.S., deberá modificar sus manuales para dar cumplimiento a lo señalado en el artículo 2.2.2.25.2.8 del Decreto único Reglamentario 1074 de 2015, con el fin de que la recolección, almacenamiento, uso y circulación de los datos personales sean objeto de tratamiento durante el tiempo que sea razonable y necesario.

(…)”.

SEGUNDO: Que la Resolución 52087 del 18 de agosto de 2021 se notificó electrónicamente a la sociedad Q10 SOLUCIONES S.A.S. el día 23 de agosto de 2021, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 18-26029038 del 27 de agosto de 2021.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-260290-39 del 3 de septiembre de 2021, la sociedad Q10 SOLUCIONES S.A.S., a “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA través de su representante legal, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución 52087 del 18 de agosto de 2021, el cual fundamentó en los siguientes motivos: 3.1 En primer lugar, realiza un recuento de los hechos que dieron origen a la presente investigación administrativa. 3.2 Dentro de la narración de los hechos, advierte unos errores en los actos administrativos de trámite proferidos por esta Dirección, dentro de la actuación adelantada bajo el número 18260290, los cuales se relacionan a continuación: “(….) [L]a SIC a través de Resolución N° 54070 del 4 de septiembre de 2020.

Decidió modificar los cargos segundo y tercero, así como ampliar la acusación incluyendo los cargos cuarto y quinto, resolución notificada el 11 de septiembre de 2020. (…) Seguidamente esta entidad emitió la Resolución N° 70710 del 6 de noviembre de 2020. Notificada el 9 de noviembre del mismo año, a través de la cual se incorporan pruebas y se corre traslado para alegar.

En la mencionada Resolución la entidad investigadora afirma mediante el considerando número sexto (6°) que la sociedad Q10 SOLUCIONES S.A.S. guardó silencio con relación a lo indicado mediante la Resolución 54070 de 2020, así:

SEXTO: Que una vez vencido el término de quince (15) días hábiles establecidos en la resolución 54070 del 4 de septiembre de 2020, para que la sociedad Q|0 SOLUCIONES S.A.S, ejerciera su derecho de defensa y contradicción de acuerdo a lo establecido por el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad guardó silencio.

Pese a lo anterior, dicha afirmación no concuerda con la realidad, teniendo presente que mi representada se pronunció respecto a dicha resolución, contestando mediante correo electrónico emitido el día 01 de octubre de 2020, adjuntando el escrito de respuesta en cumplimiento del término legal correspondiente a 15 días hábiles ya que dicha resolución fue notificada el día 11 de septiembre de 2020.

Igualmente, en dicho acto administrativo, la entidad cometió yerro al trocar los cargos segundo y tercero, lo cual puso en dificultades a mi representada para dar pronunciamiento de fondo, debido a que por desorden de la entidad fue confuso contestar en debida forma los argumentos de defensa de dichos cargos, ya que, cada cargo contenía un fundamento diferente e independiente para uno. (…) Posteriormente, la entidad mediante Resolución 10364 del 2021 constató que en la Resolución 70710 del 06 de noviembre de 2020, no se incorporaron los documentos aportados por mi representada con el escrito de descargos enviado el 01 de octubre de 2020, por lo que la SIC reabrió la etapa probatoria con el objeto de incorporar las pruebas aportadas por la sociedad Q10 SOLUCIONES S.A.S con los descargos enviados el 01 de octubre de 2020, así:

OCTAVO: Que esta Dirección constató que en la Resolución N° 70710 del 06 de noviembre del 2020, no se incorporaron los documentos aportados por la investigada con el escrito de descargos enviado el 01 de octubre de 2020.

DÉCIMO: Que, tomando en consideración el error mencionado y actuando conforme a los artículos 41 y 3° numeral 11 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) citados, esta Dirección considera necesario REABRIR LA ETAPA PROBATORIA con el objeto de incorporar las siguientes pruebas aportadas por la sociedad Q10 SOLUCIONES S.A.S con los descargos enviados el 01 de octubre de 2020.

En la mencionada resolución, nuevamente la SIC realizó una recapitulación del desarrollo del proceso de investigación administrativa. Sin embargo, en dicho recuento se evidenció (sic)nuevamente inconsistencias, por lo que se pretende dar claridad a las mismas con el “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA fin de que la decisión de la presente investigación sea restablecida mediante estudio claro, juicioso y coherente de las circunstancias reales que rodearon este proceso: 1.

Al igual que en la Resolución 70710 de 2020, la SIC nuevamente mediante Resolución 10364 de 2021 (resoluciones que decretan pruebas) trocó los fundamentos de los cargos, en comparación con lo expresado en las Resoluciones previas 27656 de 2020 y 54070 de 2020 (resoluciones de pliego de cargos y ampliación de pliego de cargos, respectivamente), así: a. En la Resolución 54070 de 2020 la SIC modificó los cargos segundo y tercero, así: Cargo segundo: La presunta vulneración al deber que le asiste a la sociedad Q10 SOLUCIONES S.A.S. en su condición de Responsable del Tratamiento de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos, contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem.

Cargo Tercero: La presunta vulneración al deber que le asiste a la sociedad Q10 SOLUCIONES A.S.S. en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de Políticas de Seguridad de conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. b. En la Resolución 70710 del 06 de noviembre de 2020, la SIC expresó lo siguiente:

CUARTO: Que la Resolución 54070 del 4 de septiembre de 2020, resolvió MODIFICAR los cargos formulados en contra de la sociedad Q10 SOLUCIONES S.A.S identificada con NIT. 900.299.474-6, en la Resolución 27656 del 10 de junio de 2020, los cuales quedaron así: I) Cargo segundo: Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario1074 de 2015.

II) Cargo tercero: Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem. c. En la Resolución 10364 del 03 de marzo de 2021, la entidad manifestó: (ii) Cargo segunda: El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 del 2015.

(iii). Cargo tercero: El literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con los artículos 14 y 15 ejúsdem. Lo anterior, evidencia entonces el intercambio realizado a los cargos por la SIC a través de las Resoluciones 70710 de 2020 y 10364 de 2021. Es importante realizar la aclaración anterior, ya que los argumentos expresados mediante los alegatos de conclusión se desarrollaron con base en lo indicado en los literales b y c anteriores, es decir, el cargo segundo obedece al “literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015” Y el cargo tercero es “Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem.” En concordancia a lo expresado por la SIC en el último pronunciamiento, Resolución 10364 de 2021.

Lo anterior, con el fin de generar claridad sobre los cargos argumentados por la entidad, y que los fundamentos expresados por mi representada frente a cada uno concuerden con las supuestas vulneraciones expresadas por la entidad en cada cargo. 2. Por otro lado, es pertinente resaltar que la SIC mediante Resolución 103464 de 2021 decretó las siguientes pruebas: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Pruebas aportadas al interior del escrito de descargos 10.1 Imagen parcial de la Política de Tratamiento de la Información, en la que se mencionan los procedimientos de consultas y reclamos. 10.2 Imagen parcial de la Política de Tratamiento de la Información actualizada, en la que la sociedad Q1O SOLUCIONES S.A.S explica el procedimiento de ciclo de vida de los datos personales que trata.

Pruebas aportadas como anexo del escrito de descargos 10.3 Política de Seguridad de la Información de la sociedad Q1O SOLUCIONES S.A.S. 10.4 Manual Proyecto para la implementación de la ISO 27001 de la sociedad Q1O SOLUCIONES S.A.S. 10.5 Documento denominado “Metodología de evaluación de riesgo” de la sociedad Q1O SOLUCIONES S.A.S. 10.6 Documento denominado “¿CUÁL ES EL TRABAJO DEL RESPONSABLE DE SEGURIDAD EN ISO 27001?” de la sociedad Q1O SOLUCIONES S.A.S. 10.7 Manual roles y responsabilidades en seguridad de la información de la sociedad Q1O SOLUCIONES S.A.S. 10.8 Copia de tres (3) listas de asistencia de trabajadores de la sociedad Q1O SOLUCIONES S.A.S a capacitaciones de contextualización ISO 27001, con fecha del 04 de septiembre del 2019. 10.9 Copia de dos (2) listas de asistencia de trabajadores de la sociedad Q1O SOLUCIONES S.A.S a capacitaciones de contextualización ISO 27001, con fecha del 16 de septiembre del 2019. 10.10 Copia de una (1) lista de asistencia de trabajadores de la sociedad Q1O SOLUCIONES S.A.S a capacitaciones de contextualización ISO 27001, con fecha del 17 de septiembre del 2019. 10.11 Carta compromiso ante la DIAN para implementación norma ISO 27001, emitida el 27 de marzo de 2019, debidamente suscrita por el representante legal de la sociedad Q1O SOLUCIONES S.A.S. 10.12 Copia de correo electrónico con asunto: Decálogo de Seguridad – ISO27001 y fecha del 20 de septiembre del 2019. 10.13 Copia de correo electrónico con asunto: La información-ISO27001 y fecha del 19 de septiembre del 2019. 10.14 Copia de correo electrónico con asunto: Políticas de Seguridad – ISO 27001 y fecha del 24 de septiembre del 2019. 10.15 Copia de correo electrónico con asunto: Puestos de trabajo-ISO 27001 y fecha del 26 de septiembre del 2019. 10.16 Copia de correo electrónico con asunto: Soportes de información-ISO 27001 y fecha del 25 de septiembre del 2019. 10.17 Copia de ejemplo de evaluación realizada a un trabajador dentro del plan de formación de seguridad de la información de la sociedad Q1O SOLUCIONES S.A.S, con fecha del 01 de junio del 2018. 10.18 Política de Tratamiento y de Protección de Datos Personales de la sociedad Q1O SOLUCIONES S.A.S. 10.19 Lista de proveedores autorizados por la DIAN 14042020.

Sin embargo, en los descargos radicados el día 01 de octubre de 2020, mi representada presentó además de las pruebas ya mencionadas, tres (3) documentos adicionales que fueron requeridos expresamente por la SIC mediante la Resolución 27656 de 2020, los “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA cuales obedecen a los Estados Financieros de Q10 SOLUCIONES S.A.S para los periodos 2017, 2018 y 2019 (…) En consecuencia, teniendo en cuenta que la sociedad Q10 SOLUCIONES S.A.S dio cumplimiento al requerimiento de información realizado por la SIC, al cual dio respuesta en los mencionados descargos el día 01 de octubre de 2020, anexando los Estados Financieros en cuestión, dichos documentos deben ser tenidos en cuenta por la entidad durante el análisis y estudio del proceso de investigación administrativa adelantado ya que es evidente que estos estados financieros no han sido analizados adecuadamente para la resolución, impactando negativamente a mi representada. 3.

Así mismo, la SIC afirmó mediante el considerando número séptimo (7°) de la Resolución 10364 de 2021 que la sociedad Q10 SOLUCIONES S.A.S no presentó alegatos de conclusión, así:

SÉPTIMO: Que, dentro del plazo otorgado por la Resolución N° 70710 del 06 de noviembre del 2020, la sociedad investigada no presentó alegatos de conclusión. Sin embargo, dicha afirmación no concuerda con la realidad debido a que mi representada sí presentó los alegatos de conclusión, los cuales fueron allegados el pasado 23 de noviembre de 2020, mediante correo electrónico, tal y como se evidencia en la imagen a continuación: Tal y como se advierte en la imagen arriba insertada, el correo electrónico fue enviado el 23 de noviembre de 2020, es decir, dentro del término de 10 días hábiles otorgado por la entidad mediante Resolución 70710 de 2020 para presentan alegatos de conclusión. En consecuencia, genera (sic) preocupación las inconsistencias presentadas en la recepción de la información por parte de la entidad investigadora, debido a que primero adujo que mi representada no presentó descargos, y de contera, manifiesta además que no presentó alegatos de conclusión, cuando en realidad en ambas ocasiones la sociedad HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Q10 SOLUCIONES S.A.S., ha enviado sus pronunciamientos dentro del término legal y al correo que dispone la entidad para tal fin, esto es, contactenos@sic.gov.co Lo anterior, pone en evidencia nuevamente las diferentes faltas cometidas por la entidad durante todo el proceso investigativo, vulnerando constantemente el derecho al debido proceso y el derecho a la defensa de mi representada, y omitiendo decretar las pruebas adicionales aportadas por la sociedad Q10 SOLUCIONES S.A.S. dentro de la oportunidad procesal correspondiente, consistentes en los estados financieros de los años 2017, 2018 y 2019.

NOVENO. Como consecuencia de la reapertura del periodo probatorio, la SIC da nuevamente la oportunidad procesal para alegar de conclusión, ante lo cual mi representada procedió a radicar ante la entidad unos “segundos” alegatos de conclusión, expresando nuevamente la cantidad de errores cometidos por la SIC durante el desarrollo del proceso de investigación, y expresando que a través de estos se materializaba una vulneración constante a sus derechos fundamentales de debido proceso y de defensa.

DÉCIMO. El 27 de mayo de 2021 la SIC emitió la Resolución N.° 32422 del 27 de mayo de 2021, en la cual la SIC se percató del error cometido respecto de la confusión entre los cargos segundo y tercero, ante lo cual, procedió a corregir las Resoluciones N.° 54070 del 04 de septiembre de 2020, 70710 del 06 de noviembre de 2020, y 10364 del 03 de marzo de 2021, en relación con el contenido de los cargos segundo y tercero. A través de este acto, la entidad puso en evidencia uno de los múltiples errores en que ha venido incurriendo desde el principio del proceso en contra de mi representada, demostrando así el desorden con el cual ha venido tramitando el presente caos, tanto así que no fue sino hasta el final de la etapa procesal que la entidad procedió a realizar la respectiva corrección, aun cuando la investigada lo había puesto de manifiesto en dos oportunidades.

DÉCIMO PRIMERO. Posteriormente, el 23 de agosto de 2021 la entidad procedió a notificar la Resolución N.° 52087 del 18 de agosto de 2021, a través de la cual esta Superintendencia impone una sanción pecuniaria desproporcional en contra de la compañía Q10 SOLUCIONES S.A.S. Lo anterior, se torna más inicuo cuando dicho acto administrativo infiere nuevamente que mi representada guardó silencio con relación a las Resoluciones 70710 del 06 de noviembre de 2020 y 10364 del 03 de marzo de 2021, sin reparar que esta afirmación es completamente falsa debido a que la sociedad Q10 SOLUCIONES S.A.S. presentó los respectivos alegatos de conclusión en ambas oportunidades dentro del término legal dispuesto para tal fin.

DÉCIMO SEGUNDO. Como consecuencia de lo expresado en el hecho anterior, así como los innumerables errores e inconsistencias cometidas por esta Superintendencia durante el desarrollo del proceso investigativo en contra de mi representada, la sociedad Q10 SOLUCIONES S.A.S. se ve obligada a recurrir el acto administrativo Resolución N° 52087 del 18 de agosto de 2021, considerando que el mismo fue emitido en vulneración a los derechos al debido proceso y a la defensa, y que las disposiciones resolutorias allí consagradas fueron definidas sin tener en consideración la totalidad del material probatorio aportado en su respectiva oportunidad.” 3.3 Por lo expuesto, la sociedad recurrente considera que la investigación administrativa adelantada por esta Dirección bajo radicado 18-260290 quebrantó los principios constitucionales al debido proceso y buena fe, e impidió el ejercicio de contradicción y defensa de la sociedad Q10 SOLUCIONES S.A.S. 3.4 En línea con lo expuesto, considera que en el presente caso el acto administrativo recurrido está viciado por falsa motivación y que se configura una vía de hecho administrativa. 3.5 Solicita la aplicación de los principios de proporcionalidad y favorabilidad. 3.6 Finaliza su escrito, con el acápite de pretensiones, en el que solicita lo siguiente: “PRIMERA: Que se sirva revocar la decisión adoptada mediante la RESOLUCIÓN No. 52087 del 18 de agosto de 2021, en virtud de lo expuesto en la parte motiva.

Lo anterior, ya que resulta equitativo para las partes, que se revoque la ejecución de la sanción discutida hasta tanto no se valoren los elementos fácticos y jurídicos “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA en los cuales se fundamenta la sanción, y cuando esta entidad efectivamente dirima el conflicto que nos ocupa.

Solo así, la decisión será justa, legal y legitima para la investigada, ya que, de lo contrario, y como abiertamente se ha expuesto, es injusta y contraria a derecho. SEGUNDA: Concomitantemente a lo anterior, sírvase dejar sin efecto el acto administrativo RESOLUCIÓN No. 52087 DEL 18 DE AGOSTO DE 2021 en el cual se imponen sanciones a la sociedad Q10 SOLUCIONES S.A.S., al igual que cualquier acto administrativo que se derive de aquel.

TERCERA: Que en virtud de lo anterior, se sirva retrotraer la etapa procesal teniendo en cuenta la vulneración a los derechos fundamentales del debido proceso y de defensa en que incurrió esta entidad respecto al presente proceso de investigación.”

CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad Q10 SOLUCIONES S.A.S., este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los argumentos de la recurrente se enmarcan en los siguientes puntos: (i) Frente a los actos de trámite;

(ii) Frente al acto administrativo recurrido, (iii) Sobre la graduación de la sanción; (iv) Frente al principio de favorabilidad y (v) frente a las pretensiones. 5.1 Frente a los actos administrativos de trámite La sociedad recurrente alega que, dentro de los actos administrativos proferidos con anterioridad a la decisión de fondo, esta Dirección incurrió en errores e inconsistencias de tal magnitud, que, a su juicio, encarnan una violación flagrante a los principios constitucionales del debido proceso, la buena fe y del ejercicio de contradicción y defensa de la sociedad investigada.

Frente a este argumento, este Despacho se permite aclarar lo siguiente: Si bien es cierto que se pueden haber cometido inconsistencias en los actos administrativos de trámite proferidos dentro del proceso de la referencia, lo cierto es que los mismos fueron corregidos conforme a las reglas que establece el artículo 41 y siguientes del Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

Igualmente, se le recuerda a la sociedad recurrente que no puede alegar que se cometió una inconsistencia de tal magnitud que le impidiera su ejercicio de contradicción y defensa, por cuanto siempre está en su ejercicio de solicitar corrección o aclaración de los actos administrativos proferidos por esta Superintendencia; de manera que, siempre pudo haber ejercido dicha facultad con la finalidad de exponer argumentos y presentar pruebas.

Finalmente, conviene traer a colación la disposición contenida en el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, que señala lo siguiente: “Artículo 40. Pruebas Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. Los gastos que ocasione la práctica de pruebas correrán por cuenta de quien las pidió. Si son varios los interesados, los gastos se distribuirán en cuotas iguales.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” (Subraya fuera del texto original) Por lo expuesto, los argumentos de la sociedad recurrente no están llamados a prosperar. 5.2 Frente al acto administrativo recurrido La sociedad recurrente menciona e insiste en que este Despacho cometió unas inconsistencias, entre ellas, haber indicado que la sociedad Q10 SOLUCIONES S.A.S. no presentó alegatos de conclusión dentro del término legal previsto para el efecto.

De igual forma, alega que la totalidad de las pruebas por ella aportadas no fueron debidamente valoradas por esta Dirección, debido a que, en su sentir, los estados financieros debieron ser incorporados dentro de los actos de trámite y que dicha omisión de traduce necesariamente en una ausencia de valoración de los mismos. a. Frente a los alegatos de conclusión Este Despacho considera que no puede alegarse una violación al debido proceso, por involuntariamente haber señalado en los considerandos décimo primero y décimo cuarto de la Resolución N°. 52087 del 18 de agosto de 2021 que la sociedad investigada había guardado silencio, tal y como se muestra a continuación: “DÉCIMO PRIMERO: Que, una vez vencido el término de diez (10) días hábiles, concedido en la Resolución N°. 70710 del 06 de noviembre de 2020, para que presentara los respectivos alegatos de conclusión, la sociedad Q1O SOLUCIONES S.A.S. guardó silencio.

(…)

DÉCIMO CUARTO: Que, una vez vencido el término de diez (10) días hábiles, concedido en la Resolución N°. 10364 del 03 de marzo de 2021, para que presentara los respectivos alegatos de conclusión, la sociedad Q1O SOLUCIONES S.A.S. guardó silencio.” No obstante, este Despacho encuentra que efectivamente se cometió el error involuntario señalado, procederá a corregirlo de oficio.

De esta manera, es importante traer a colación el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo puesto que prevé que, “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras”.

Así las cosas, y siguiendo lo señalado por el artículo en mención, dicho error de transcripción no modifica en sentido alguno la decisión material adoptada mediante la Resolución N°. 52087 del 18 de agosto de 2021, toda vez que en dicho acto administrativo se realizó una debida valoración de los argumentos esgrimidos por la sociedad investigada, así como de la totalidad del material probatorio obrante en el expediente 18-260290.

En esta medida, aún cuando no hay alteración del sentido material de la decisión y que por ello no se está ante una violación del principio del debido proceso, esta Dirección considera pertinente aclarar los considerandos décimo primero y décimo cuarto de la Resolución N°. 52087 del 18 de agosto de 2021, los cuales quedarán así: “DÉCIMO PRIMERO: Que, la sociedad Q10 SOLUCIONES S.A.S. presentó escrito de alegatos de conclusión con radicado 18-260290-21 del 23 de noviembre de 2020, reiterando los argumentos esgrimidos en los escritos de descargos.

(…)

DÉCIMO CUARTO: Que, la sociedad Q10 SOLUCIONES S.A.S. presentó escrito de alegatos de conclusión con radicado 18-260290-27 del 17 de marzo de 2021, reiterando los argumentos esgrimidos en los escritos de descargos y el escrito de alegatos de conclusión previamente presentado.” b. Frente a la valoración probatoria “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Al respecto, se debe indicar por parte de esta Dirección que las pruebas, al momento de emitir la Resolución N°. 52087 del 18 de agosto de 2021, fueron valoradas conforme a las reglas de la sana crítica en la medida en que para este Despacho existieron elementos de juicio suficientes para imponer la sanción por los deberes vulnerados.

Para claridad de la sociedad recurrente, esta Dirección actuó conforme a las reglas de la sana critica en la medida en que se concluyó, de manera lógica, que la sanción obedece a criterios de razonabilidad y proporcionalidad, de acuerdo con los estados financieros presentados por la sociedad recurrente. De manera tal que existe congruencia entre los cargos formulados, la valoración probatoria y la sanción impuesta a la sociedad Q10 SOLUCIONES S.A.S. La sociedad recurrente menciona que el proceso sancionatorio objeto de la presente resolución es ilegal ya que en la parte resolutiva se estructura a partir de una falsa motivación del acto administrativo.

Menciona que el acto administrativo esta deficientemente motivado cuando en las situaciones jurídicas o la argumentación utilizada no coincide con la realidad. Así mismo, señala que esta misma situación jurídica de alegar la falsa motivación se configura cuando se omite valorar sistemáticamente las pruebas. Sobre el particular, este Despacho entra a pronunciarse, así: En primer lugar, quedó demostrado que si bien la sociedad Q10 SOLUCIONES S.A.S. contaba con una Política de Tratamiento de Datos Personales para el mes de octubre de 2018, lo cierto es que la misma no cumplía con la totalidad de los requisitos mínimos establecidos en la Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

Sin embargo, se encuentra que la versión actualizada cumple con señalar concretamente las finalidades del tratamiento. Frente al cargo segundo, este Despacho encontró que, para el mes de octubre de 2018, la sociedad investigada ya tenía documentado un procedimiento para la atención de quejas y reclamos. En cuanto a los cargos tercero y quinto, esta Dirección encontró suficientemente probado que: (i) Para el mes de octubre de 2018 la sociedad Q10 SOLUCIONES S.A.S. no había adoptado e implementado un manual de políticas de seguridad de la información donde se describieran las medidas humanas técnicas y administrativas adoptadas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme al tipo de bases de datos que trata en calidad de Responsable.

(ii) La sociedad Q10 SOLUCIONES S.A.S. no adoptó las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, conforme a los hallazgos y conclusiones de la visita de inspección realizada los días 8 y 9 de octubre de 2018 por parte de esta Superintendencia Sobre el cargo cuarto este Despacho encontró que la sociedad investigada no ha documentado los procedimientos de recolección, almacenamiento, uso y circulación de los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento según lo dispuesto en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015.

En virtud de lo expuesto, este Despacho no acepta la aseveraciones en torno a que el acto recurrido se encuentre viciado por falsa motivación y que se configure una vía de hecho administrativa, ya que las actuaciones y decisiones proferidas se rigen siempre por el principio de legalidad y por la veracidad sus actuaciones; aunado a que, en las resoluciones expedidas siempre se tuvieron en cuenta los argumentos de hecho y de derecho esgrimidos por la sociedad investigada, junto con las pruebas aportadas por la misma; de manera que, las aseveraciones de la investigada son infundadas y atentan contra los mismos principios en los que se basa su actuación. 5.3 Sobre la graduación de la sanción La sociedad recurrente considera que la sanción pecuniaria impuesta, mediante Resolución N°. 52087 del 18 de agosto de 2021, desconoce los principios de proporcionalidad y razonabilidad.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, VERSIÓN ÚNICA En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 23 de la misma. Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, VERSIÓN ÚNICA asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…) Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 22.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que los cargos comprobados en contra de la sociedad Q10 SOLUCIONES S.A.S., afectaron de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias. Quedó suficientemente demostrado que para el mes de octubre de 2018: La sociedad Q10 SOLUCIONES S.A.S. no había adoptado e implementado un manual de políticas de seguridad de la información donde se describieran las medidas humanas técnicas y administrativas adoptadas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme al tipo de bases de datos que trata en calidad de Responsable; conducta con la que transgredió el deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015; razón por la cual se impondrá una sanción pecuniaria de CINCUENTA Y TRES MILLONES TRESCIENTOS SETENTA Y DOS MIL SETECIENTOS SESENTA PESOS M/CTE ($53.372.760) equivalentes a MIL CUATROCIENTAS SETENTA (1.470) Unidades de Valor Tributario (UVT) vigentes.

La sociedad investigada no ha documentado los procedimientos de recolección, almacenamiento, uso y circulación de los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, conducta con la cual infringe el deber consagrado en el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2015, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem; razón por la cual se impondrá una sanción pecuniaria de CINCUENTA Y TRES MILLONES TRESCIENTOS SETENTA Y DOS MIL SETECIENTOS SESENTA PESOS M/CTE ($53.372.760) equivalentes a MIL CUATROCIENTAS SETENTA (1.470) Unidades de Valor Tributario (UVT) vigentes.

La sociedad Q10 SOLUCIONES S.A.S. no adoptó las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, conforme a los hallazgos y conclusiones de la visita de inspección realizada los días 8 y 9 de octubre de 2018 por parte de esta Superintendencia, omisión con la que transgredió el deber dispuesto en el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; razón por la cual se impondrá una sanción pecuniaria de CINCUENTA Y TRES MILLONES TRESCIENTOS SETENTA Y DOS MIL SETECIENTOS SESENTA PESOS M/CTE ($53.372.760) equivalentes a MIL CUATROCIENTAS SETENTA (1.470) Unidades de Valor Tributario (UVT) vigentes.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CIENTO SESENTA MILLONES CIENTO DIECIOCHO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($160.118.280), correspondiente a CUATRO MIL CUATROCIENTAS DIEZ (4.410) Unidades de Valor Tributario (UVT) vigentes, por la violación a lo dispuesto en: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, VERSIÓN ÚNICA (i) el Literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal g) del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 del 2015;

(ii) el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2015, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem y (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. 22.1.2 Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada reconoció de manera expresa la comisión de la infracción investigada por esta Superintendencia, al manifestar que se tengan por reconocidos y aceptados los cargos segundo, tercero, cuarto y quinto. Así las cosas, y teniendo en cuenta la aceptación de la comisión de las infracciones por parte de la sociedad Q10 SOLUCIONES S.A.S., en los términos expuestos, esta Dirección aplicará el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 y, en consecuencia, procederá a reducir la sanción impuesta en la mitad de la suma referida, es decir que la sanción se impondrá por un valor de OCHENTA MILLONES CINCUENTA Y NUEVE MIL CIENTO CUARENTA PESOS M/CTE ($80.059.140), equivalentes a DOS MIL DOSCIENTAS CINCO (2.205) Unidades de Valor Tributario (UVT) vigentes.” Así pues, tal como fue transcrito, se demostró en la presente investigación de manera inequívoca la comisión de las infracciones por parte de la sociedad investigada a lo dispuesto en: (i) El literal (sic) k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 del 2015;

(ii) El literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2915, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2.2.2.25.2.8 ejúsdem; y (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que (i) dentro “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, VERSIÓN ÚNICA de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. En relación con el criterio de atenuación de la sanción señalado en el literal f) del artículo citado, el mismo se aplicó toda vez que la investigada reconoció la comisión de las infracciones, al manifestar que se tengan por reconocidos y aceptados los cargos segundo, tercero, cuarto y quinto. Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción se encuentra ajustada a derecho, donde se tuvieron en cuenta las infracciones a los deberes dispuesto en: (i) el literal (sic) k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 del 2015;

Sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.1 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.

Así pues, esta Superintendencia una vez valoró los criterios mencionados y de acuerdo con el material probatorio obrante en el expediente, impuso una sanción pecuniaria de OCHENTA MILLONES CINCUENTA Y NUEVE MIL CIENTO CUARENTA PESOS M/CTE ($80.059.140) equivalentes a DOS MIL DOSCIENTAS CINCO (2.205) Unidades de Valor Tributario (UVT) vigentes a la sociedad investigada, de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; Cfr. Corte Constitucional, sentencia C-699/08, M.P. Alberto Rojas Ríos.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, VERSIÓN ÚNICA d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”2 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.

Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-011 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.

Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso, donde quedó suficientemente probado que: Si bien la sociedad Q10 SOLUCIONES S.A.S. contaba con una Política de Tratamiento de Datos Personales para el mes de octubre de 2018, lo cierto es que la misma no cumplía con la totalidad de los requisitos mínimos establecidos en la Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

Sin embargo, se encuentra que la versión actualizada cumple con señalar concretamente las finalidades del tratamiento. Frente al cargo segundo, este Despacho encontró que, para el mes de octubre de 2018, la sociedad investigada ya tenía documentado un procedimiento para la atención de quejas y reclamos. En cuanto a los cargos tercero y quinto, esta Dirección encontró suficientemente probado que: • Para el mes de octubre de 2018 la sociedad Q10 SOLUCIONES S.A.S. no había adoptado e implementado un manual de políticas de seguridad de la información donde se describieran las medidas humanas técnicas y administrativas adoptadas para impedir la adulteración, Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, VERSIÓN ÚNICA pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme al tipo de bases de datos que trata en calidad de Responsable. • La sociedad Q10 SOLUCIONES S.A.S. no adoptó las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, conforme a los hallazgos y conclusiones de la visita de inspección realizada los días 8 y 9 de octubre de 2018 por parte de esta Superintendencia Sobre el cargo cuarto este Despacho encontró que la sociedad investigada no ha documentado los procedimientos de recolección, almacenamiento, uso y circulación de los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento según lo dispuesto en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en (i) el literal (sic) k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 del 2015;

(ii) el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2915, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2.2.2.25.2.8 ejúsdem; y (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; violentando con ello el derecho fundamental de habeas data de los Titulares de la información. Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.

Ahora bien, la multa impuesta a la sociedad recurrente es insignificante para el tope establecido en la norma, ya que porcentualmente la sanción fue del 5.87 % del rango previsto permitido por la Ley 1581 del 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en esta instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad Q10 SOLUCIONES S.A.S. no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución N°. 52087 del 18 de agosto de 2021; razón por la cual, este Despacho confirmará la proporcionalidad de la sanción inicialmente calculada. 5.4 Frente a la aplicación del principio de favorabilidad Frente a la aplicación de este principio, el Despacho se permite traer a colación el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, que señala lo siguiente: “ARTÍCULO 3o.

PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.

En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, VERSIÓN ÚNICA En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” Nótese que la disposición en cita no consagra el principio de favorabilidad como uno de los pilares del derecho administrativo; si bien es cierto que el monopolio del ius puniendi en cabeza del Estado es la circunstancia que conduzca a la aplicación de este tipo de principios, como una de las garantías contenidas dentro del derecho al debido proceso, lo cierto es que dicho principio es de aplicación casi restrictiva al ámbito del derecho penal.

La jurisprudencia ha entendido que la aplicación del principio de favorabilidad se vislumbra como la materialización de los principios rectores del derecho procesal penal, principio que resulta de vital importancia a la hora de analizar los efectos de las normas durante el proceso penal al que se vio sometido el sujeto; por esta razón, el Despacho no puede acceder a lo peticionado por la sociedad Q10 SOLUCIONES S.A.S. 5.5 Frente a las pretensiones En su escrito de recurso, la sociedad Q10 SOLUCIONES S.A.S. realiza las siguientes solicitudes: “PRIMERA: Que se sirva revocar la decisión adoptada mediante la RESOLUCIÓN No. 52087 del 18 de agosto de 2021, en virtud de lo expuesto en la parte motiva.

Lo anterior, ya que resulta equitativo para las partes, que se revoque la ejecución de la sanción discutida hasta tanto no se valoren los elementos fácticos y jurídicos en los cuales se fundamenta la sanción, y cuando esta entidad efectivamente dirima el conflicto que nos ocupa. Solo así, la decisión será justa, legal y legitima para la investigada, ya que, de lo contrario, y como abiertamente se ha expuesto, es injusta y contraria a derecho.

SEGUNDA: Concomitantemente a lo anterior, sírvase dejar sin efecto el acto administrativo RESOLUCIÓN No. 52087 DEL 18 DE AGOSTO DE 2021 en el cual se imponen sanciones a la sociedad Q10 SOLUCIONES S.A.S., al igual que cualquier acto administrativo que se derive de aquel. TERCERA: Que en virtud de lo anterior, se sirva retrotraer la etapa procesal teniendo en cuenta la vulneración a los derechos fundamentales del debido proceso y de defensa en que incurrió esta entidad respecto al presente proceso de investigación.” Teniendo en cuenta que fueron desvirtuados todos y cada uno de los motivos de inconformidad esgrimidos por la sociedad Q10 SOLUCIONES S.A.S. en su escrito de recurso, esta Dirección no encuentra procedente conceder lo solicitado; razón por la cual, se confirmará la decisión adoptada, mediante la Resolución N°. 52087 del 18 de agosto de 2021.

SEXTO: CONCLUSIONES 1. Con fundamento en lo expuesto, se encuentra suficientemente acreditado que la sociedad Q10 SOLUCIONES S.A.S., en su calidad de Responsable del Tratamiento, vulneró los deberes dispuestos en: - El literal (sic) k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 4) de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 del 2015; - El literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2915, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2.2.2.25.2.8 ejúsdem; y - el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

Al no haber adoptado e implementado para el mes de octubre de 2018 un manual de políticas de seguridad de la información donde se describieran las medidas humanas técnicas y “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 17, VERSIÓN ÚNICA administrativas adoptadas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme al tipo de bases de datos que trata en calidad de Responsable.

No haber adoptado las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, conforme a los hallazgos y conclusiones de la visita de inspección realizada los días 8 y 9 de octubre de 2018 por parte de esta Superintendencia No haber documentado los procedimientos de recolección, almacenamiento, uso y circulación de los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento según lo dispuesto en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015.

Por lo que no se avizora por parte de esta Dirección fractura alguna a los principios constitucionales del debido proceso, la buena fe, ni al ejercicio de contradicción y defensa por parte de la sociedad investigada. Igualmente, no se advierte falsa motivación en el acto administrativo recurrido, así como tampoco la configuración de una vía de hecho administrativa. 2.

En el presente caso el Despacho realizó una debida valoración probatoria del material obrante en el expediente 18-260290. 3. La graduación de la sanción no obedeció a una decisión caprichosa de esta Dirección, sino que se realizó con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho modificará parcialmente la parte considerativa del acto recurrido y confirmará en sus demás partes la partes la Resolución N°. 52087 del 18 de agosto de 2021.

OCTAVO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad Q10 SOLUCIONES S.A.S. con Número de Identificación Tributaria 900.299.474-6, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad smoncayo@q10soluciones.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad Q10 SOLUCIONES S.A.S. considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 18, VERSIÓN ÚNICA Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CORREGIR la Resolución N°. 52087 del 18 de agosto de 2021, proferida por este Despacho, modificando los considerandos décimo primero y décimo cuarto, así: “DÉCIMO PRIMERO: Que, la sociedad Q10 SOLUCIONES S.A.S. presentó escrito de alegatos de conclusión con radicado 18-260290-21 del 23 de noviembre de 2020, reiterando los argumentos esgrimidos en los escritos de descargos.

(…)

ARTÍCULO SEGUNDO: CONFIRMAR las demás disposiciones de la Resolución N°. 52087 del 18 de agosto de 2021.

ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO CUARTO: NOTIFICAR a la sociedad Q10 SOLUCIONES S.A.S. identificada con el NIT. 900.299.474-6, a través de su representante legal, entregándole copia de la misma.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 29 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.29 16:33:49 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: Q10 SOLUCIONES S.A.S. NIT. 900.299.474-6 STEVEN MONCAYO VIVEROS C.C. N°. 71.381.730 mosorio@q10soluciones.com; smoncayo@q10soluciones.com Carrera 75 Calle 45 F 23 Medellín, Antioquia

Resolución sancionatoria N° 54070 de 2021

CONSIDERANDO

RESUELVE