Decisión 82808 de 2020 — SIC

REPÚBLICA DE COLOMBIA (31 de diciembre) Radicación 19-169324 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 34218 de 6 de agosto de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió iniciar una investigación administrativa y formular cargos en contra de AMARILO S.A.S. (en adelante, la recurrente) por la presunta vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4, y el artículo 9 de la misma norma, así como el artículo 2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

SEGUNDO. Que una vez agotada la etapa probatoria, y efectuado el análisis de los elementos probatorios que reposan en el expediente, así como del escrito de descargos allegado por AMARILO S.A.S., la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 42189 de 28 de julio de 2020, resolvió: Hoja 10 de la Resolución No. 42189 de 28 de julio de 2020 TERCERO. Que en el término1 legal establecido, mediante escrito 19-169324-20 de 20 de agosto de 2020, AMARILO S.A.S. (en adelante la recurrente), interpuso recurso de reposición y en subsidio de apelación, contra la Resolución No. 42189 de 28 de julio de 2020, con fundamento en los siguientes hechos y argumentos: De conformidad con la certificación de 26 de agosto de 2020, expedida por la Secretaria General Ad.-Hoc (Coordinadora del Grupo de Notificaciones y Certificaciones) de la Superintendencia de Industria y Comercio, la Resolución No. 42189 de 28 de julio de 2020 fue notificada, el 14 de agosto de 2020.

Con lo cual, el término para presentar los recursos vencía el 31 de agosto de 2020. Así las cosas, los recursos se presentaron en la oportunidad procesal correspondiente. RESOLUCIÓN NÚMERO 82808 DE 2020 “( )

1. FRENTE AL CARGO ÚNICO – RESPECTO AL DEBER DE SOLICITAR Y CONSERVAR COPIA DE LA AUTORIZACIÓN DEL TITULAR PARA EL TRATAMIENTO DE DATOS PERSONALES En la respuesta a la solicitud de explicaciones se indicó que la solicitud de autorización [sic] para el tratamiento [sic] de los datos [sic] fue efectuada oralmente y se le informo [sic] al señor Alvaro Schneider Guevara que dicha información, que [sic] seria [sic] tratada de conformidad con las políticas de tratamiento [sic] de datos [sic] de Amarilo, era para poder recibir información relevante asociada a su cotización y a otros desarrollos o lanzamientos de proyectos de Amarilo que pudieran ser de su interés. En lo referente a la conservación de copia de la autorización [sic], AMARILO reconoció expresamente su falta de conservación de la prueba en los términos del artículo 9 de la Ley 1581 de 2012, señalando que la conducta se ejecutó de buena fe por parte de la compañía sin intención de vulnerar las normas de protección de datos [sic].

En resolución que se recurre se indica que “cuando la norma indica que la autorización [sic] puede obtenerse a través de “conductas inequívocas del titular” quiere decir que el consentimiento debe ser explícito y concreto a la finalidad específica de la base [sic] de datos [sic], así [sic] mismo [sic] debe ser una conducta que permita concluir razonablemente que el titular [sic] otorgó la autorización [sic] y por ningún motivo el silencio del titular [sic] se podrá tomar como una conducta inequívoca”.

Por lo expuesto, se señala en la resolución [sic] 42189, que “es posible concluir que la sociedad AMARILO S.A.S., actuó negligentemente recolectando y almacenando información del titular [sic] sin solicitar y conservar copia de la autorización [sic] previa y expresa, razón por la cual es claro que no procedió con la debida diligencia respecto del cumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9, el literal c) del artículo 4 de la norma en mención, y el artículoN2.2.2.25.2.2 del Decreto Único Reglamentario 1074; en esa medida, se impondrá la correspondiente sanción”.

El motivo de inconformidad no está referido a lo expresado en la providencia recurrida que AMARILO no conservó una evidencia idónea de la autorización [sic] del titular [sic] para el tratamiento [sic] de datos [sic] personales, aspecto que, desde la solicitud de explicaciones, ha sido reconocido por parte de mi representada, sino a la circunstancia de que dado las circunstancias específicas del caso en cuestión, especialmente en lo referente a que estamos frente a un hecho superado, la buena fe con que actuó mi representada, y la aproximación preventiva expuesta por la actual administración de la Superintendencia, se debería haber ordenado el archivo de la investigación.

2. LA CUANTÍA DE LA DESPROPORCIONADA. SANCIÓN IMPUESTA RESULTA EXCESIVA Y La ley [sic] 1581 de 2012 establece que la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento, multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Para determinar la cuantía de estas sanciones la citada Ley [sic] consagró un conjunto de criterios con base en los cuales la autoridad debe graduar las multas a imponer a las empresas halladas responsables.

RESOLUCIÓN NÚMERO 82808 DE 2020 La aplicación de estos exige que en la decisión sancionatoria correspondiente, a partir de la evidencia que obre en el expediente, se expongan las razones para la ponderación y cuantificación de la multa de forma que resulte proporcionada con la infracción imputada y los hechos que rodearon su comisión. Por tanto, bajo este marco regulatorio para la determinación de la multa a imponer no es suficiente acreditar la existencia de la conducta violatoria, sino que, en cada caso, se hace necesario considerar aspectos relacionados con la dimensión del daño o peligro a los intereses jurídicos tutelados; el beneficio económico obtenido por el infractor o terceros, la reincidencia en la comisión de la infracción, la resistencia, negativa u obstrucción a la acción investigadora, la renuencia o desacato a cumplir órdenes impartidas por la Superintendencia y el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción En el presente caso, aceptando en gracia de discusión que se debió proferir sanción- que no lo es- se solicita que se reduzca considerablemente la multa impuesta, toda vez que de la evidencia que obra en el expediente se acredita que la sanción impuesta a pesar de corresponder al 2,5% de la multa máxima, resulta excesiva y desproporcionada frente a la supuesta infracción cometida y las circunstancias probadas que rodearon su tipificación, como lo son, entre otras, la eliminación de la información de la base [sic] de datos [sic] de AMARILO; que los datos [sic] fueron suministrados directamente por el titular [sic], y el reconocimiento expresado por la Superintendencia que: i) no se encontró que la investigada hubiera obtenido beneficio económico por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir órdenes e instrucciones del Despacho y (v) el reconocimiento expreso de mi representada de la falta de evidencia idónea sobre la autorización [sic] del titular [sic].

En lo referente al criterio la dimensión del daño o peligro a los intereses tutelados por la ley, solicitamos que se revise el análisis efectuado, pues la providencia recurrida se limita a decir que “quedó demostrado el actuar negligente de la sociedad investigada AMARILO S.A.S., que se concretó en la vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9, el literal c) del artículo 4 de la norma en mención, y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, pues como se expuso, no cumplió con el deber de adoptar procedimientos para obtener la autorización [sic] del titular [sic] para el Tratamiento de sus datos [sic] personales que garanticen su consulta posterior, toda vez que la investigada señaló que la autorización [sic] fue obtenida de manera verbal, por lo tanto, no cuenta con prueba alguna que demuestre que en efecto, el titular [sic] otorgó su autorización [sic]”, pero no efectúa ningún análisis del criterio de graduación frente al caso particular.

La dimensión del daño o peligro a los intereses jurídicos tutelados en el caso particular es casi nulo pues, como se explicó en precedencia, en el presente caso, amén de que los datos [sic] fueron suministrados directamente por el titular, se eliminaron de la base [sic] de datos [sic] de AMARILO. Petición “( ) En el evento de que el señor Director consideré que no procede revocar la providencia recurrida, solicitamos la reducción de la sanción”.

CUARTO. Que mediante la Resolución No. 69304 de 29 de octubre de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, confirmando en todas sus partes la Resolución No. 42189 de 28 de julio de 2020. RESOLUCIÓN NÚMERO 82808 DE 2020 QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 42189 de 28 de julio de 2020, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”

2. DEL EXAMEN REALIZADO POR LA DIRECCIÓN DE INVESTIGACIÓN DE DATOS PERSONALES AL RECURSO INTERPUESTO Luego de realizar el análisis pertinente sobre los argumentos presentados por el recurrente, y los documentos que reposan en el expediente esta Delegatura se sujeta a lo allí decidido en lo relacionado con el argumento del hecho superado.

3. CONSERVACIÓN OBLIGATORIA DE LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LOS DATOS Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En línea con lo anterior, el artículo 8 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) dispone lo siguiente: 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO 82808 DE 2020 Prueba de la autorización [sic].

Los Responsables deberán conservar prueba de la autorización [sic] otorgada por los Titulares de datos personales para el Tratamiento de los mismos. No debe olvidarse que al “Responsable del Tratamiento” le corresponde probar que ha cumplido la ley tal y como lo dispone el capítulo VI del citado Decreto 1377 titulado “Responsabilidad demostrada frente al tratamiento [sic] de datos [sic] personales”.

El artículo 26 establece lo que sigue a continuación: Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). En suma, el Responsable del Tratamiento tiene la carga probatoria de, entre otras, acreditar la prueba obtenida para tratar los Datos del Titular de la información. El Decreto Único Reglamentario 1074 de 2015 estableció en relación con la Autorización del Titular para el Tratamiento de sus Datos: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

( ) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(Decreto 1377 de 2013, art. 7). Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (Decreto 1377 de 2013, art. 8)” (Énfasis añadido). Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el RESOLUCIÓN NÚMERO 82808 DE 2020 procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Frente a lo anterior, y luego de analizar todos los documentos este despacho no admite los argumentos presentados por la investigada, pues todos conducen a excusar el incumplimiento de la Ley 1581 de 2012, en la conducta omisiva de solicitar la Autorización del Titular de los Datos y de conservar copia de la misma. Así, lo correcto debió consistir en que investigada fuera lo suficientemente diligente para conservar en condiciones óptimas y verificables copia de la Autorización que en su momento hubiera otorgado el Titular de la información para el debido Tratamiento de sus Datos.

4. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS. CARGA DE LA PRUEBA. Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la trasgresión de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4, y el artículo 9 de la misma norma, así como el artículo 2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Frente a este punto, es importante decir que no es aceptable lo aducido por la recurrente en el escrito de alegatos: Página 3 comunicación 19-169324-13 de 7 de noviembre de 2019 Así pues, no se trata de lograr “bajísimos niveles de quejas y solicitudes” por parte de los clientes o terceros interesados en los proyectos, como afirma de la investigada.

Se trata es de cumplir efectivamente el Régimen General de Protección de Datos Personales y de darle la importancia que merecen los derechos de los Titulares y los deberes que tienen a su cargo los Responsables y Encargados del Tratamiento de los Datos de aquellos. De otra parte tampoco se admite el argumento de la recurrente en el que deduce que la primera instancia pasó por alto realizar una valoración concreta razonada de la dimensión del daño o peligro que la conducta de la investigada generó para los derechos de la Titular.

De hecho, si se hubiera omitido realizar el análisis anterior, probablemente la decisión de la resolución recurrida no habría sido la imposición de una multa. La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar.

Al respecto, la Corte Constitucional ha señalado: RESOLUCIÓN NÚMERO 82808 DE 2020 “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte. En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar.

Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”3 En correspondencia con lo anterior, este Despacho considera importante resaltar que la recurrente en ningún momento aportó las pruebas esperadas y suficientes en esta actuación administrativa.

Pues, como se ha establecido incluso por ella misma, no presentó la copia de la Autorización para el Tratamiento de los Datos personales del Titular de la información, en razón a que no la tiene. En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes.” 4; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”5 3 Corte Constitucional, Sentencia T-733 de 2013. 4 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulopruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 5 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo.

RESOLUCIÓN NÚMERO 82808 DE 2020 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”6 Así las cosas, es inocultable el actuar de la recurrente, en el sentido de no haber aportado las pruebas que permitieran acreditar el cumplimiento de lo ordenado por la Ley 1581 de 2012 a los Responsables del Tratamiento de Datos, y en general no haber asumido el rol activo que se supone debería tener en esta actuación procesal.

Por último, y en los mismos términos que esta autoridad lo ha mencionado7 “la autorización [sic] para el tratamiento [sic] de datos [sic] personales no necesariamente tiene que ser escrita, pero el responsable [sic] del tratamiento [sic] debe establecer mecanismos que permitan su consulta posterior cuando es verbal o por conductas inequívocas.

Ahora bien, para proceder a demostrar que se ha otorgado la autorización [sic] para el tratamiento de datos, el responsable o encargado de los mismos, puede de acuerdo a l[sic] o consagrado en el Código General del Proceso acudir en virtud del principio de libertad probatoria como elemento fundamental al debido proceso, a cualquier medio de prueba válido y admisible, siempre que se preserve en el curso del proceso los principios y garantías constitucionales”.

5. SOBRE LA BUENA FE ALEGADA POR LA RECURRENTE En la página 4 del escrito No. 19-169324-13 de 7 de noviembre de 2019 (alegatos) remitido por la recurrente, afirma que: “( ) solicitamos entonces a su Despacho [sic] que evalúe dicha conducta, llevada a cabo por Amarilo, valorando en todo caso que la conducta se ejecutó de buena fe por parte de la compañía sin intención de vulnerar de ninguna manera las normas de protección de datos [sic] sobre obtención del consentimiento”.

Sobre este particular es necesario recalcar que, no es admisible argumentar haber actuado de buena fe al omitir el cumplimiento de lo establecido en la Ley 1581 de 2012. Así, no basta la simple intención o deseo de no infringir las normas, esto debe traducirse en un cumplimiento real. “La buena fe objetiva que implica una exigencia de comportamiento “diligente, advertido, pundonoroso, y la consiguiente carga probatoria del sujeto que ha de comportarse así”8 En virtud de lo anterior no se acogerá el argumento expuesto por la recurrente. 6 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467- 01.M.P. Edgardo Villamil Portilla. 7 Concepto 16-075042 de 5 de mayo de 2016 de la Superintendencia de Industria y Comercio 8 Neme Villarreal, Martha Lucía. “El principio de buena fe en materia contractual en el sistema jurídico colombiano”. Revista de Derecho Privado, núm. 11, julio-diciembre, 2006, pp. 79-125 Universidad Externado de Colombia Bogotá, Colombia, citó a Fernando Hinestrosa.

Tratado de las obligaciones, segunda edición. Bogotá, Universidad Externado de Colombia, 2003. Página 561. RESOLUCIÓN NÚMERO 82808 DE 2020

6. DIMENSIÓN DEL DAÑO O PELIGRO A LOS INTERESES JURÍDICOS TUTELADOS Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a la sociedad AMARILO S.A.S. La cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.

Adicionalmente, contrario a lo aludido por la recurrente, esta superintendencia sí valoró totalmente y en conjunto todos los elementos probatorios, incluidos los allegados por su parte. Los cuales, dicho sea de paso, sirvieron como fundamento para imponer la sanción. Así las cosas, en todo momento se cumplió a cabalidad con la verificación precisa de la existencia y comisión de la infracción, pues como se evidenció, la investigada no cuenta con la Autorización del Titular para el Tratamiento de sus Datos.

No es posible que pretenda que el operador jurídico valide una afirmación de esta clase cuando ni siquiera aporta el documento que constituye la prueba pertinente y conducente que demostraría lo que alega en el recurso bajo estudio.

7. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 239, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de 9 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

RESOLUCIÓN NÚMERO 82808 DE 2020 riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”10 En el mismo sentido, y en relación con los principios11 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina12 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta13), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto 10 Corte Constitucional. Sentencia C-748 de 2011. 11 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 12 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 13 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. RESOLUCIÓN NÚMERO 82808 DE 2020 que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”14. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”15. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por AMARILO S.A.S. vulneró el deber de conservar la copia de la Autorización para el Tratamiento de los Datos personales del Titular.

Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa equivalente a cuarenta y tres millones ochocientos noventa mil ciento cincuenta pesos m/cte ($43’890.150) representa aproximadamente el dos punto cinco por ciento (2.5%) del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

8. APLICACIÓN DE LOS CRITERIOS DE ATENUACIÓN PARA LA GRADUACIÓN DE LA SANCIÓN IMPUESTA. 14 Corte Constitucional. Sentencia C-406 de 2004. 15 Corte Constitucional. Sentencia C-1161 de 2000. RESOLUCIÓN NÚMERO 82808 DE 2020 Tal como lo estableció la Dirección de Investigación de Protección de Datos Personales, revisado el expediente y el contenido de la resolución recurrida se encuentra que no se aplicaron los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, pues dentro de la actuación no se encontró prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, al momento de imponer la sanción se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente reconoció expresamente haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta. Adicionalmente, al ser un proceso administrativo, las distintas actuaciones que comprende, el orden de continuidad, los tiempos y etapas que en él se establecen, al ser imperativas o disposiciones de orden público, hacen obligatorio su cumplimiento.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos [sic] personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las RESOLUCIÓN NÚMERO 82808 DE 2020 instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. No debe perderse de vista que la Ley 1581 de 2012 es de naturaleza estatutaria, cuyo rango legal exclusivo pone de presente la protección especial que tiene el habeas data, la protección de Datos personales o el debido Tratamiento de esa información. Por eso, los Responsables o Encargados del Tratamiento de Datos personales no pueden prescindir de su observancia, o escapar de su cumplimiento.

9. DECISIONES DE LA ADMINISTRACIÓN. PROPORCIONALIDAD DE LA SANCIÓN. PRINCIPIO DE PROPORCIONALIDAD. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento frente a los deberes impuestos por la Ley 1581 de 2012 a los Responsables y Encargados del Tratamiento de los Datos personales de los Titulares de la información. En segundo lugar, es claro que la Resolución No. 42189 de 28 de julio de 2020 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

En cuarto lugar, es relevante tener presente que AMARILO S.A.S.trata Datos de más de doscientos cincuenta y cinco mil (255.000) ciudadanos lo cual lo obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos. Esta es la información que reportó esa sociedad en el Registro Nacional de Bases de Datos: Número de Radicado Nombre de la Base de Datos Fecha de Registro Fecha de Finalización Fecha Radicado Trámites Finalidades Tipo Descripción Cantidad de Titulares RESOLUCIÓN NÚMERO 82808 DE 2020 Finalidades varias Fines históricos, científicos o estadísticos 16264715-000002000 VISITANTES 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Gestión de estadísticas internas Finalidades varias Procedimientos administrativos Gestión contable, fiscal y administrativa - Gestión administrativa Seguridad - Seguridad Seguridad - Seguridad y control de acceso a edificios Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Formación Capacitación Recursos humanos Gestión de personal Recursos humanos Gestión de personal Recursos humanos Prestaciones sociales Recursos humanos Prestaciones sociales Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Servicios económicofinancieros y seguros Gestión de fondos de pensiones Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Servicios económicofinancieros y seguros - Gestión de fondos de pensiones Servicios económicofinancieros y seguros - Gestión de fondos de pensiones Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Procedimientos administrativos Gestión contable, fiscal y administrativa - Gestión administrativa Seguridad Seguridad Seguridad Seguridad y control de acceso a edificios Gestión contable, fiscal y administrativa - Gestión administrativa Servicios económicofinancieros y seguros - Gestión de fondos de pensiones Recursos humanos Formación de personal 20211300-000000000 EMPLEADOS ACTIVOS EMPLEADOS HISTÓRICOS 03/07/2020 03/07/2020 03/07/2020 03/07/2020 03/07/2020 03/07/2020 Servicios económicofinancieros y seguros Gestión de fondos de pensiones Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Fines históricos, científicos o estadísticos 20211322-000000000 VIDEOVIGILANCIA 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Gestión de estadísticas internas Finalidades varias Procedimientos administrativos Gestión contable, fiscal y administrativa - Gestión administrativa Seguridad - Seguridad Seguridad - Seguridad y control de acceso a edificios 20211303-000000000 EMPLEADOS HISTÓRICOS AUTOMATIZADA Gestión contable, fiscal y administrativa - Gestión administrativa 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Procedimientos administrativos Gestión contable, fiscal y administrativa - Gestión administrativa Seguridad Seguridad Seguridad Seguridad y control de acceso a edificios Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Formación Recursos humanos Gestión de nómina Recursos humanos Control de horario 16318414-000004000 Capacitación Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de nómina Gestión contable, fiscal y administrativa - Gestión administrativa Servicios económicofinancieros y seguros Gestión de fondos de pensiones 10800 1003 1855 1003 RESOLUCIÓN NÚMERO 82808 DE 2020 Capacitación Formación Recursos humanos Gestión de nómina Formación Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de nómina Recursos humanos Gestión de personal Recursos humanos Gestión de personal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y selección de personal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y selección de personal Ejercicio de un derecho Trabajo y bienestar social - Relaciones laborales y condiciones de trabajo Finalidades varias Atención al ciudadano/cliente (Gestión PQR)/Recepción y gestión de requerimientos internos o externos sobre productos o servicios Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Finalidades varias Procedimientos administrativos Finalidades varias Registro de entrada y salida de documentos Gestión contable, fiscal y administrativa - Gestión administrativa Gestión contable, fiscal y administrativa - Gestión de clientes Gestión contable, fiscal y administrativa - Gestión de cobros y pagos Gestión contable, fiscal y administrativa - Gestión de facturación Gestión contable, fiscal y administrativa - Gestión de proveedores y contratistas Gestión contable, fiscal y administrativa - Gestión económica y contable Recursos humanos Gestión de nómina Capacitación Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones Formación Recursos humanos Control de horario 20211314-000000000 PASANTES AUTOMATIZADA 03/07/2020 03/07/2020 03/07/2020 Recursos humanos Formación de personal Ejercicio de un derecho Trabajo y bienestar social - Relaciones laborales y condiciones de trabajo Finalidades varias Atención al ciudadano/cliente (Gestión PQR)/Recepción y gestión de requerimientos internos o externos sobre productos o servicios Finalidades varias Fines históricos, científicos o estadísticos 20211320-000000000 PQRS AUTOMATIZADA 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Formación 40260 RESOLUCIÓN NÚMERO 82808 DE 2020 Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Prestaciones sociales Recursos humanos Prestaciones sociales Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Servicios económicofinancieros y seguros Gestión de fondos de pensiones Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Servicios económicofinancieros y seguros - Gestión de fondos de pensiones Capacitación Capacitación Formación Recursos humanos Gestión de nómina Formación Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de nómina Recursos humanos Gestión de personal Recursos humanos Gestión de personal Recursos humanos Gestión de trabajo temporal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Capacitación Recursos humanos Gestión de trabajo temporal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de persona Capacitación Formación Recursos humanos Gestión de nómina Formación Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de nómina Recursos humanos Gestión de personal Recursos humanos Gestión de personal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y selección de personal Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y selección de personal Ejercicio de un derecho Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones Recursos humanos Formación de personal EMPLEADOS TEMPORALES AUTOMATIZADA 03/07/2020 03/07/2020 03/07/2020 Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario 20211313-000000000 PASANTES 03/07/2020 03/07/2020 03/07/2020 Recursos humanos Formación de personal Ejercicio de un derecho 20211318-000000000 Finalidades varias Fines históricos, científicos o estadísticos PQRS 03/07/2020 03/07/2020 03/07/2020 Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de personal Recursos humanos Control de horario 20211305-000000000 Recursos humanos Gestión de personal Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones. 40260 RESOLUCIÓN NÚMERO 82808 DE 2020 Finalidades varias Procedimientos administrativos Finalidades varias Registro de entrada y salida de documentos Gestión contable, fiscal y administrativa - Gestión administrativa Gestión contable, fiscal y administrativa - Gestión de clientes Gestión contable, fiscal y administrativa - Gestión de cobros y pagos Finalidades varias Atención al ciudadano/cliente (Gestión PQR)/Recepción y gestión de requerimientos internos o externos sobre productos o servicios Gestión contable, fiscal y administrativa - Gestión de facturación Gestión contable, fiscal y administrativa - Gestión de proveedores y contratistas Gestión contable, fiscal y administrativa - Gestión económica y contable Trabajo y bienestar social - Relaciones laborales y condiciones de trabajo 20211308-000000000 PROCESOS DE SELECCIÓN DE EMPLEADOS 03/07/2020 03/07/2020 03/07/2020 Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Finalidades varias Registro de entrada y salida de documentos 16264795-000003000 CLIENTES 03/07/2020 03/07/2020 03/07/2020 Finalidades varias – Transporte de pasajeros - Reservas y emisión de tiquetes de transporte Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial - Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Finalidades varias Procedimientos administrativos Finalidades varias Registro de entrada y salida de documentos Gestión contable, fiscal y administrativa - Gestión administrativa Gestión contable, fiscal y administrativa - Gestión de clientes Gestión contable, fiscal y administrativa - Gestión de cobros y pagos Finalidades varias Atención al ciudadano/cliente (Gestión PQR)/Recepción y gestión de requerimientos internos o externos sobre productos o servicios Gestión contable, fiscal y administrativa - Gestión de facturación Gestión contable, fiscal y administrativa - Gestión de proveedores y contratistas Gestión contable, fiscal y administrativa - Gestión económica y contable Trabajo y bienestar social - Relaciones laborales y condiciones de trabajo - Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones Finalidades varias Registro de entrada y salida de documentos Finalidades varias – Transporte de pasajeros - Reservas y emisión de tiquetes de transporte Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados 40260 RESOLUCIÓN NÚMERO 82808 DE 2020 Comercialización de datos Educación y cultura Enseñanza Informal Educación y cultura Enseñanza Informal Comercialización de datos Comercialización de datos Educación y cultura Enseñanza Informal Educación y cultura Enseñanza Informal Publicidad y prospección comercial - Venta a distancia Recursos humanos Acción social a favor de funcionarios públicos Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Finalidades varias Registro de entrada y salida de documentos Finalidades varias – Transporte de pasajeros - Reservas y emisión de tiquetes de transporte 16264842-000006000 CLIENTES AUTOMATIZADA 03/07/2020 03/07/2020 03/07/2020 Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial - Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia Recursos humanos Acción social a favor de funcionarios públicos Capacitación Formación Recursos humanos Gestión de nómina Recursos humanos Gestión de personal Recursos humanos Gestión de personal Recursos humanos Gestión de trabajo temporal Recursos humanos Gestión de trabajo temporal Recursos humanos Control de horario EMPLEADOS TEMPORALES 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Gestión de sanciones, amonestaciones, llamados de atención, exclusiones.

Finalidades varias Registro de entrada y salida de documentos Finalidades varias – Transporte de pasajeros - Reservas y emisión de tiquetes de transporte Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia Recursos humanos Acción social a favor de funcionarios públicos Capacitación Formación Gestión contable, fiscal y administrativa - Gestión administrativa Recursos humanos Control de horario Recursos humanos Formación de personal Recursos humanos Gestión de nómina Gestión contable, fiscal y administrativa - Gestión administrativa 20211304-000000000 Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia Recursos humanos Acción social a favor de funcionarios públicos Comercialización de datos Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Recursos humanos Formación de personal 40260 RESOLUCIÓN NÚMERO 82808 DE 2020 Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de actividades culturales Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de clubes o asociaciones deportivas, culturales, profesionales y similares Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de medios de comunicación social y/o contenido editorial.

Capacitación Finalidades varias Fidelización de clientes Finalidades varias Fines históricos, científicos o estadísticos 20211317-000000000 PROSPECTOS COMERCIALES 03/07/2020 03/07/2020 03/07/2020 Finalidades varias Gestión de estadísticas internas Finalidades varias Publicaciones Marketing Publicidad y prospección comercial - Análisis de perfiles Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial - Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia 16318258-000002000 Servicio de telecomunicaciones Comercio electrónico Capacitación Comercialización de datos PROVEEDORES 03/07/2020 03/07/2020 03/07/2020 Educación y cultura Encuestas sociológicas y de opinión Recursos humanos Prevención de riesgos laborales Recursos humanos Promoción y gestión de empleo Recursos humanos Promoción y selección de personal Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de actividades culturales Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de clubes o asociaciones deportivas, culturales, profesionales y similares Actividades asociativas, culturales, recreativas, deportivas y sociales Gestión de medios de comunicación social y/o contenido editorial Capacitación Finalidades varias Fidelización de clientes Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Publicaciones Marketing Publicidad y prospección comercial - Análisis de perfiles Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia Servicio de telecomunicaciones Comercio electrónico Capacitación Comercialización de datos Educación y cultura Encuestas sociológicas y de opinión 74809 RESOLUCIÓN NÚMERO 82808 DE 2020 Finalidades varias Fidelización de clientes Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Publicaciones Finalidades varias Registro de entrada y salida de documentos Financiera Marketing Publicidad y prospección comercial - Análisis de perfiles Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial - Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia 20211311-000000000 PROCESOS DE SELECCIÓN DE EMPLEADOS AUTOMATIZADA 03/07/2020 03/07/2020 03/07/2020 TOTAL Gestión contable, fiscal y administrativa - Gestión administrativa Finalidades varias Fidelización de clientes Finalidades varias Fines históricos, científicos o estadísticos Finalidades varias Gestión de estadísticas internas Finalidades varias Publicaciones Finalidades varias Registro de entrada y salida de documentos Financiera Marketing Publicidad y prospección comercial - Análisis de perfiles Publicidad y prospección comercial - Encuestas de opinión Publicidad y prospección comercial Prospección comercial Publicidad y prospección comercial - Publicidad propia Publicidad y prospección comercial Segmentación de mercados Publicidad y prospección comercial - Sistemas de ayuda a la toma de decisiones Publicidad y prospección comercial - Venta a distancia - Gestión contable, fiscal y administrativa - Gestión administrativa 255272 Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental16 a la protección de Datos17.

Finalmente, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin 16 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 17 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. RESOLUCIÓN NÚMERO 82808 DE 2020 necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”18.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia19. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa. Aunque las razones anteriores son suficientes para confirmar la Resolución No. 42189 de 28 de julio de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.

Responsabilidad Personal de los Administradores.

10. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES. Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos [sic] que contengan información personal o socialmente relevante”20. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2621 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia 18 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 20 Cfr. Corte Constitucional, Sentencia T-227 de 2003. 21 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: RESOLUCIÓN NÚMERO 82808 DE 2020 de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic] ”22.

Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos23. El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”24.

Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del Dato personal cuando sea procedente y permitida por el ordenamiento jurídico. 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 22 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 23 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” 24 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”.

RESOLUCIÓN NÚMERO 82808 DE 2020 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada25(accountability)26”. El término “accountability”27, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de Datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza28 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Tatos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 26 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 27 Cfr. Grupo de trabajo de protección de datos [sic] del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 28 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. RESOLUCIÓN NÚMERO 82808 DE 2020 garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 29.

(Énfasis añadido) El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 30, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”31.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 32. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”33. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”34 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos [sic] personales”35. 29 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 31 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 32 Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).

Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hablecorrectamente-de-compliance-iii/ 33 Idem. 34 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 35 Ibidem.

RESOLUCIÓN NÚMERO 82808 DE 2020 11. RESPONSABILIDAD PERSONALES. DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS Según el artículo 22 de la Ley 222 de 199536 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2437 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”38.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. En virtud de lo expuesto, se exhorta a la Representante Legal de AMARILO S.A.S. y a los miembros de su junta directiva, para que adopten medidas pertinentes, útiles, efectivas y verificables con el fin de: 36 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 37 Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 38 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

RESOLUCIÓN NÚMERO 82808 DE 2020 1. Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales. Sobre todo, con el fin de lograr una real y efectiva aplicación del Programa Integral de Protección de Datos Personales de AMARILO S.A.S.; 4.

Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”39. Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos personales; 5.

Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas. 12. CONCLUSIÓN Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: i) ii) iii) iv) v) Se confirmó que la recurrente infringió lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4, y el artículo 9 de la misma norma, así como el artículo 2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

La sanción impuesta obedece a la desatención del deber de conservar la copia de la Autorización para el Tratamiento de los Datos personales del Titular de la información. AMARILO S.A.S. trata Datos de más de doscientos cincuenta y cinco mil (255.000) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

Al momento de imponer la sanción se realizó el análisis de proporcionalidad y dosificación de la sanción. Así, los criterios señalados en el artículo 24 de la Ley 1581 de 2012, incluida la aceptación de la infracción, ya fueron tenidos en cuenta al momento del estudio probatorio. La multa impuesta de $43’890150 representa aproximadamente el dos punto cinco por ciento (2.5%) del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra el Superintendente Delegado para la Protección de Datos Personales que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 42189 de 28 de julio de 2020.

En mérito de lo expuesto, este Despacho, RESUELVE El texto de Accountability.pdf la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- RESOLUCIÓN NÚMERO 82808 DE 2020 PRIMERO. Confirmar en todas sus partes la Resolución No. 42189 de 28 de julio de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

SEGUNDO. Notificar personalmente el contenido de la presente resolución a AMARILO S.A.S., identificada con el Nit. 800.185.295-1 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

TERCERO. Comunicar el contenido de la presente decisión al señor Carlos Pizano Mallarino identificado con la Cédula de Ciudadanía No. 19.239.222, o a sus apoderados, entregándoles copia de la misma e informándoles que contra el presente acto administrativo no procede recurso alguno.

CUARTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 de diciembre de 2020 El Superintendente Delegado para la Protección de Datos Personales, NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2020.12.31 12:26:50 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 82808 DE 2020 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderado: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo electrónico: AMARILO S.A.S. Nit. 800.185.295-1 Roberto Moreno Mejía C.C. 19.248.371 Calle 90 No. 11A-27 Bogotá D.C. josehernan.arias@amarilo.com Jairo Rubio Escobar C.C. 79.108.890 35306 del Consejo Superior de la Judicatura Calle 94 A No. 13-34 Of 102 Bogotá D.C. jrubio@rubioescobar.com Comunicación Miembro de Junta Directiva de AMARILO S.A.S. Señor: Carlos Pizano Mallarino Identificación: C.C. 19.239.222 Dirección: Calle 90 No. 11A-27 Ciudad: Bogotá D.C. Correo electrónico: josehernan.arias@amarilo.com

Resolución sancionatoria N° 82808 de 2020

CONSIDERANDO