Decisión 13023 de 2022 — SIC

(Marzo 17 de 2022) Radicación No. 19-134213 VERSIÓN ÚNICA EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011(modificado por el artículo 6 del Decreto 92 de 2022), el numeral 3 del artículo 74 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y,

CONSIDERANDO

PRIMERO. Que mediante Resolución Nº 21544 del 19 de abril de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad SOCIAL, EDUCATIONAL, ENVIRONMENTAL AND DEVELOPMENT FOUNDATION, identificada con el NIT. 900.426.576-4, de OCHENTA Y UN MILLONES SEISCIENTOS NOVENTA Y TRES MIL PESOS ($81.693.000) M/CTE, equivalente a (2.250) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación a lo dispuesto en: I. II.

III. El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018; El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; y El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem.

SEGUNDO. Que la investigada fue notificada electrónicamente de la Resolución No. 21544 del 19 de abril de 2021 el 23 de abril de 2021, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia con radicado No. 19-134213- -18 del 3 de mayo de 2021.

TERCERO. Que mediante escrito con radicado 19-134213- -19 del 06 de mayo de 2021, a través de su representante legal, la sociedad SOCIAL, EDUCATIONAL, ENVIRONMENTAL AND DEVELOPMENT FOUNDATION interpuso recurso de reposición y en subsidio apelación contra la Resolución Nº 21544 del 19 de abril de 2021, fundamentando su recurso en los siguientes términos: “De acuerdo el artículo 1o de la parte resolutiva de la Resolución 39693 del 21 de julio de 2020, el primer cargo formulado por la SIC contra SEED FOUNDATION fue por la “presunta contravención de lo dispuesto en: (i) El numeral o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018”.

(Se destaca) En ese sentido, lo primero que hay que decir es que el artículo 17 de Ley 1581 de 2012 no tiene o incluye un “numeral o)”, luego el cargo está fundamentado en una norma inexistente. Lo segundo que abría que advertir en ese sentido, es que mientras el primera cargo formulado en la Resolución 39693 del 21 de julio de 2020 fue por el presunto incumplimiento del numeral o) del artículo 17 de la Ley 1581 de 2012”, que, insisto, no existe, la condena establecida en la Resolución impugnada (Resolución 21544 del 19 de abril de 2021) está construida sobre el incumplimiento del “literal o) del artículo 17 de la Ley 1581 de 2012”, lo que claramente demuestra que existe una incongruencia entre ese cargo y la sanción. HOJA Nº, 2 Al respecto es pertinente memorar que, como garantía del principio de tipicidad, el inciso 2o del artículo 42 del CPCA establece que de existir “méritos para adelantar un procedimiento sancionatorio” la autoridad competente “formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes SEED FOUNDATION no omitió y/o no tuvo la intención de omitir el deber de “Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio” contenido en el literal o) del artículo 17 de la Ley 1581 de 2012”.

Al respeto es pertinente advertir que el oficio con el radicado 19-134213- -1 del 3 de marzo de 2020, fue recibido en nuestras oficinas el viernes 13 de marzo de 2020. Sin embargo, a partir del lunes 16 de marzo de 2020 todos nuestros funcionarios comenzaron a trabajar de manera virtual como consecuencia de las medidas adoptadas por nosotros por la pandemia por Covid- 19.

Esa y no otra es la razón por la cual no dimos oportuna respuesta a ese requerimiento de la SIC. De ahí que no es que hubiéramos tenido la intensión de no contestar o hubiéramos hecho caso omiso de dicho requerimiento, lo que sucedió en realidad fue que como consecuencia de las medidas adoptadas por la pandemia no nos enteramos oportunamente de esa comunicación. Ahora bien, al margen de lo anterior, solicito considerar los efectos de la suspensión de términos ordenada por la SIC mediante la Resolución 11927 del 16 de marzo de 2020, entre otras, como consecuencia de la pandemia por Covid-19, así como las disposiciones adoptadas por el gobierno nacional por esa misma razón que impidieron la atención oportuna de los requerimientos de esa entidad.

Indebida notificación de SEED FOUNDATION. En este sentido, resulta necesario advertir que la Resolución 39693 del 21 de julio de 2020 no se notificó debidamente, pues el aviso mencionado por la SIC tampoco fue entregado y/o recibidos por SEED FOUNDATION, contrario a lo dicho por la Secretaría Ad-Hoc de esta Superintendencia bajo radicado 19-134213- -7 del 25 de agosto de 2020.

Además, quiero llamar la atención sobre el hecho de que la notificación de la Resolución Sancionatoria me la hicieran en el siguiente correo electrónico: esperanza.rojas@solucionit.co, y los demás actos y requerimientos no me los hayan envido también a esa misma dirección de correo. De ahí que SEED FOUNDATION no tuvo la oportunidad de defenderse en este trámite.

La SIC esta sancionado a SEED FOUNDATION dos veces por el mismo hecho. Al resolver el cuarto cago, la SIC sostienen que SEED FOUNDATION, debiendo hacerlo, omitió su deber de adoptar un manual de políticas y procedimientos conforme lo exige el literal k) del artículo 17 de la Ley 1581 de 2012. La SIC llega a la anterior conclusión, esto es, que SEED FOUNDATION carece del referido manual de políticas y procedimientos, a partir del hecho de que mi representada no remitió la información requerida por esa entidad, que ya había sido sancionado.

Dicho de otra manera, del supuesto incumplimiento de los mencionados requerimientos de la SIC, esa entidad deduce que mi poderdante carece del referido manual de políticas y procedimientos. Sin embargo, ese supuesto hecho (la omisión de los requerimientos de la SIC), no es indicativo ni puede ser prueba de que mi representada carece de las mencionadas políticas y procedimientos, ni da lugar a la inversión de la carga de la prueba.

En consecuencia, la SIC termina sancionado a SEED FOUNDATION por un hecho que no está debidamente probado en el proceso, como es la inexistencia de un manual de políticas y procedimientos, a partir de un hecho supuestamente probado (el incumplimiento de los requerimientos de la SIC), el cual termina, entonces, sancionado dos veces. La sanción viola la presunción de inocencia y el principio que proscribe toda responsabilidad objetiva en materia disciplinaria y, por contera, el derecho fundamental al debido proceso consagrado en el artículo 29 de la Constitución Política Nacional.

HOJA Nº, 3 Para que una persona pueda ser declarada responsable en Colombia, es necesario determinar su culpabilidad (además de la tipicidad y antijuridicidad de su conducta), pues, fuera de las contadas excepciones de responsabilidad objetiva admitidas por la jurisprudencia nacional, la mayoría bajo la modalidad de riesgo creado, en todos los demás casos, la regla general impone la necesidad de establecer la culpabilidad del imputado, que por virtud del artículo 29 “se presume inocente mientras no se la haya declarado judicialmente culpable”.

En ese mismo sentido, el artículo 13 de la Ley 734 de 2002 señala que “en materia disciplinaria queda proscrita toda forma de responsabilidad objetiva. Las faltas sólo son sancionables a título de dolo o culpa”. De allí que la SIC no solo debió determinar la tipicidad y la antijuridicidad de la conducta de SEED FOUNDATION sino también su culpabilidad.

Y como no lo hizo, terminó sancionándola mediante la aplicación de un régimen de responsabilidad objetiva y, por esa vía, quebrantando el artículo 29 de la Constitución Política del cual se desprende el régimen de responsabilidad subjetiva que impera en nuestro sistema legal (con las excepciones ya mencionadas) y el 23 de esa misma disposición, entre otras.

(…) Ahora bien, si se revisan la Resolución impugnada, puede apreciarse con facilidad que la SIC al valorar la conducta de SEED FOUNDATION en ningún momento hace referencia al aspecto subjetivo de la misma. Por lo dicho atrás, es claro entonces que la SIC no definió a título de que le imputó a SEED FOUNDATION los cargos que formuló en su contra, debiendo hacerlo, lo cual, por sí mismo, viola su debido proceso y daría lugar sino que tampoco tuvo en cuenta el aspecto subjetivo de su conducta para imponerle la sanción que le impuso, lo que obliga concluir que terminó multándola mediante la aplicación de un sistema de responsabilidad objetiva y con ello desconoció, insisto, el artículo 29 de la Constitución Política nacional que establece un régimen de responsabilidad subjetivo, como las demás disposiciones concordantes.

Para determinar considero, muy respetuosamente, que el monto de la sanción impuesta por la SIC resulta excesiva frente a la conducta de SEED FOUNDATION, que se reduce esencialmente a no haber contestado el requerimiento efectuado por la SIC, justificado de alguna manera por la situación que vivía y vive el país y el mundo por la pandemia por Covid- 9, como se explicó arriba.

Ese exceso, resulta más claro aun si se tiene en cuenta que en este caso en particular no hubo vulneración alguna del derecho fundamental a la protección de datos personales, esto es, no hubo daño. Así mismo, el peligro de vulneración de dicho derecho, que en mi opinión la SIC omitió dimensionar, fue mínimo, si es que lo hubo. En efecto, al respecto el análisis de la SIC se limita a indicar en varios apartes del numeral 15.1.1. de la Resolución impugnada que SEED FOUNDATION actuó de manera “negligente” o “negligentemente” pero en realidad no dimensiona cual fue el peligro al cual se expuso el derecho fundamental a la protección de datos personales con esa supuesta negligencia, que como ya lo advertí, esta de algún modo justificada por la situación que vivimos hoy.

Por último, una sanción de ese monto en las circunstancias socio económicas del país, para una persona jurídica que no tiene fines de lucro es muy grave e inequitativa. Por esa razón, en el evento en que esa entidad decida mantener su decisión sancionatoria, con la que en todo caso no estamos de acuerdo, le ruego la reduzca sustancialmente”.

En este sentido, la sociedad recurrente solicita que: “Por las razones antes mencionadas, comedidamente solicito revocar la sanción impuesta y/o se disminuya la sanción impuesta ya que no guarda proporcionalidad en relación con los hechos relacionados”.

CUARTO. Que mediante Resolución Nº 48531 del 2 de agosto de 2021 la Dirección de Investigación de Protección de Datos Personales decidió: “ARTÍCULO PRIMERO: MODIFICAR el artículo primero de la parte resolutiva de la Resolución No. 21544 del 19 de abril de 2021, el cual quedará así: HOJA Nº, 4 ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a SOCIAL, EDUCATIONAL, ENVIRONMENTAL AND DEVELOPMENT FOUNDATION identificada con el Nit. 900.426.576-4, de CUARENTA MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL QUINIENTOS PESOS ($40.846.500) M/CTE, equivalente a (1.125) UNIDADES DE VALOR TRIBUTARIO – UVT unidades de valor tributaria- UVT, por la violación a lo dispuesto en: I. II.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta Resolución se impone, deberá́ consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. ARTÍCULO SEGUNDO: CONFIRMAR en sus demás partes la Resolución No. 21544 del 19 de abril de 2021”.

QUINTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver los recursos de apelación interpuesto contra la Resolución N° 21544 del 19 de abril de 2021, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “( ) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así́ como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. ( )”.

2. DE LA PRESUNTA VIOLACIÓN AL DEBIDO PROCESO EN LA FORMULACIÓN DE CARGOS En el escrito de apelación, la recurrente sostiene que esta Superintendencia de Industria y Comercio, para efectos de imponer la sanción correspondiente al primer cargo, por el incumplimiento del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018, violó el debido proceso de la recurrente “( ) en la medida en que el primer cargo estuvo edificado sobre una disposición inexistente (numeral o) del artículo 17 de la Ley 1581 de 2012), fuera de que la sanción no guarda congruencia con dicho cargo”.

(Destacamos). Durante la actuación administrativa fue claro que a la recurrente se le formularon cargos por, entre otras, por no obedecer el mandato legal según el cual dicha empresa debe “cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”. Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

HOJA Nº, 5 El error formal entre la palabra “numeral” y “literal” no tiene la identidad suficiente para que la recurrente alegue falta de claridad frente al cargo elevado por esta autoridad. De hecho, mediante la Resolución 39693 del 21 de julio de 2020 “Por la cual se inicia una investigación administrativa y se formulan cargos” se transcribió textualmente aquel deber presuntamente incumplido.

Esto, en los siguientes términos: Como se observa, el tenor literal de ese acto administrativo establece con precisión y claridad el motivo por el cual se formuló el cargo a la recurrente. Más aún, aquel error formal se subsanó desde la Resolución No. 59903 del 28 de septiembre de 2020 “Por la cual se incorporan pruebas dentro de una investigación y se corre traslado para alegar”.

Por último, se reitera que el artículo 41 de la Ley 1437 de 20112 establece que, “La autoridad, en cualquier momento anterior a la expedición del acto, de oficio o a petición de parte, corregirá las irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias para concluirla”.

(Destacamos). Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. HOJA Nº, 6 Dado lo anterior, no son de recibo los argumentos de la recurrente porque no se ajustan a derecho. Durante la actuación administrativa se le garantizó el debido proceso y de manera inequívoca se estableció la conducta por la cual se le formularon cargos.

DE LA PRESUNTA INDEBIDA NOTIFICACIÓN La recurrente en su escrito de apelación afirma que, ““( ) la Resolución 39693 del 21 de julio de 2020 no se notificó debidamente, pues el aviso mencionado por la SIC tampoco fue entregado y/o recibidos por SEED FOUNDATION, contrario a lo dicho por la Secretaría Ad-Hoc de esta Superintendencia bajo radicado 19134213- -7 del 25 de agosto de 2020”.

Más aún, la recurrente argumenta que, “Además, quiero llamar la atención sobre el hecho de que la notificación de la Resolución Sancionatoria me la hicieran en el siguiente correo electrónico: esperanza.rojas@solucionit.co, y los demás actos y requerimientos no me los hayan enviado también a esa misma dirección de correo. De ahí que SEED FOUNDATION no tuvo la oportunidad de defenderse en este trámite”.

Sobre el proceso de notificación, en el expediente se puede evidenciar que el 24 de julio de 2020 bajo radicado 19-134213- -3, se le informó a la recurrente lo siguiente: Vencido el término establecido para la notificación personal electrónica, se procedió a notificar por aviso No. 17214 el 3 de agosto de 2020, entregando copia integra de la Resolución No. 39693 e informando que la notificación se considera surtida al finalizar el día siguiente al de la entrega del aviso.

Téngase presente que al momento de efectuar la notificación de las resoluciones No. 39693 del 21 de julio de 2020 y No. 59903 del 28 de septiembre de 2020, el correo electrónico de notificaciones reportado por la recurrente y que se podía visualizar en el certificado de existencia y representación legal era el de seedfoundationco@gmail.com.

Posteriormente, para la época de notificación de la Resolución No. 21544 del 19 de abril de 2021, dicho correo electrónico había sido modificado. HOJA Nº, 7 En virtud de lo expuesto, contrario a lo que afirma la recurrente, se encuentra probada la debida notificación de la Resolución No. 39693 del 21 de julio de 2020 “Por la cual se inicia una investigación administrativa y se formulan cargos”, al correo electrónico de notificación judicial de la recurrente.

3. DE LA CARGA PROBATORIA DE LOS RESPONSABLES DEL TRATAMIENTO PARA DEMOSTRAR EL CUMPLIMIENTO DE LOS DEBERES LEGALES ESTABLECIDOS EN LA REGULACIÓN SOBRE TRATAMIENTO DE DATOS PERSONALES La sociedad recurrente afirma en su escrito de apelación que, “( ) En consecuencia, la SIC termina sancionado a SEED FOUNDATION por un hecho que no está debidamente probado en el proceso, como es la inexistencia de un manual de políticas y procedimientos, a partir de un hecho supuestamente probado (el incumplimiento de los requerimientos de la SIC), el cual termina, entonces, sancionado dos veces”.

(Destacamos). Dicho argumento no es de recibo por esta Despacho, toda vez que desconoce el principio de responsabilidad demostrada en el debido Tratamiento de datos personales. En efecto, nuestra regulación le exige a los Responsables del Tratamiento “( ) ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”3.

Nótese que la norma impone una carga probatoria en cabeza de los Responsables de probar que han adoptado las medidas para cumplir lo ordenado por dicha ley. En este caso, como se mencionó, la adopción de políticas y procedimientos para el cumplimiento de las normas vigentes sobre protección de datos personales de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

La Corte Constitucional mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).

El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”4.

(Destacamos). Artículo 26 del decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra. Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm HOJA Nº, 8 Así las cosas, la recurrente tiene el deber de demostrar que adoptó políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, de conformidad con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

De otra parte, no es cierto que este Despacho impuso dos veces una sanción por el mismo hecho. Como es de conocimiento de la recurrente esta entidad: 1. Le impuso una sanción por la vulneración del deber consagrado en lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem, esto es, porque quedó demostrado que la recurrente no atendió los requerimientos efectuados por esta Superintendencia. 2.

Le impartió́ una orden a la recurrente con el fin de que adoptara políticas y procedimientos para el cumplimiento de las normas vigentes sobre protección de datos personales de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

Como es sabido, una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma.

Allí́ se puede constatar que las órdenes no son sanciones. En este orden de ideas, se reitera que esta Superintendencia de Industria y Comercio no sancionó dos veces a la sociedad recurrente por no haber acreditado que contaba con las políticas y procedimientos en mención.

4. DE LA PRESUNTA VIOLACIÓN A LA PRESUNCIÓN DE INOCENCIA Y DEL DEBER DE DAR RESPUESTA A LOS REQUERIMIENTOS DE ESTA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO A diferencia de lo argumentado por la sociedad recurrente, no es cierto que esta autoridad no determinó la culpabilidad de la recurrente por las conductas desplegadas. Veamos: • La Dirección de Investigaciones requirió de manera preliminar en varias ocasiones a la recurrente.

De acuerdo con la información que reposa en el expediente, a la sociedad recurrente se le remitió el siguiente requerimiento de información el 2019-06-14 como se puede constatar en el consecutivo 0 del radicado bajo estudio. HOJA Nº, 9 Posteriormente, el tres (3) de marzo del 2020 la Dirección remitió un segundo oficio a la sociedad recurrente bajo el consecutivo 1 del radicado bajo estudio: En aquel segundo requerimiento se puso de presente que el catorce (14) de junio de 2019 se había remitido al correo electrónico que aparece registrado en el Certificado de Existencia y Representación Legal de la sociedad para efectos de notificación judicial el primer requerimiento. • La sociedad recurrente no allegó respuesta a esta autoridad Afirma la recurrente que, “Al respeto es pertinente advertir que el oficio con el radicado 19-134212- -1 del 3 de marzo de 2020, fue recibido en nuestras oficinas el viernes 13 de marzo de 2020.

Sin embargo, a partir del lunes 16 de marzo de 2020 todos nuestros funcionarios comenzaron a trabajar de manera virtual como consecuencia de las medidas adoptadas por nosotros por la pandemia por Covid- 19. Esa y no otra es la razón por la cual no dimos oportuna respuesta a ese requerimiento de la SIC”. (Destacamos). La pandemia generada por el virus SARS-CoV-2 (COVID-19) no es excusa válida de no haber dado respuesta (alguna u oportuna) a los requerimientos de esta Superintendencia de Industria y Comercio.

Ya que, a la sociedad recurrente se le remitió un primer requerimiento de información meses antes de que dicha situación sanitaria se declarara en nuestro país. Así, de acuerdo con la información que se puede observar en el sistema de trámites, fue posterior a la remisión de los requerimientos de información que esta autoridad decidió iniciar una investigación administrativa y formular cargo por medio de la Resolución Nº 39693 de 2020.

Con esto en mente, se insiste que el literal o) del artículo 17 de la Ley 1581 de 2012 establece que es deber de los Responsables: “o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”. HOJA Nº,10 Entonces, el procedimiento recurrido no supuso de modo alguno la vulneración de los derechos constitucionales a la presunción de inocencia y debido proceso de la investigada.

Por el contrario, esta autoridad ha garantizado que, en cada una de las etapas a lo largo de la investigación, la recurrente presente las pruebas pertinentes con las cuales acredite el cumplimiento de sus deberes como Responsable, desvirtuando así cada uno de los cargos formulados. Adicionalmente, téngase en cuenta que la responsabilidad objetiva está proscrita y que se analizó en todo momento la conducta negligente de la sociedad recurrente en el cumplimiento de los deberes sancionados.

Así, además de haberla requerido de manera preliminar en varias ocasiones con el fin de que allegara las pruebas y acreditara el cumplimiento de sus deberes como Responsable, se impuso una sanción porque la recurrente fue negligente al no acreditar, teniendo la oportunidad para hacerlo, el cumplimiento de las disposiciones contenidas en la Ley 1581 de 2012. 5.

PROPORCIONALIDAD Y RAZONABILIDAD EN LA SANCIÓN ADMINISTRATIVA Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”5. A lo largo de la presente actuación administrativa se logró demostrar que la sociedad vulneró los deberes establecidos en: I. II.

Ahora, el artículo 23 de la Ley 1581 de 2012 establece las sanciones que puede imponer esta entidad a los Responsables y Encargados del Tratamiento. Revisado el expediente y el contenido de la resolución recurrida, se encuentra que de los criterios de graduación contenidos en el artículo 24 de la Ley Estatutaria 1581 de 2012, únicamente se tuvo en cuenta aquél que habla de la dimensión del daño o peligro a los intereses jurídicamente tutelados, pues efectivamente se encontró probado que la sociedad recurrente incumplió los deberes mencionados.

Sobre los otros criterios de graduación contenidos en el artículo 24 de la citada norma, la resolución recurrida menciona que: Considerando que la Resolución Nº 48531 del 2 de agosto de 2021, encontró “(…) procedente la disminución de la sanción impuesta para un valor total de CUARENTA MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL QUINIENTOS PESOS ($40.846.500) M/CTE, equivalente a (1.125) UNIDADES DE VALOR TRIBUTARIO – UVT”, este Despacho considera que el monto de la sanción en el citado acto administrativo es proporcional, en consideración a los hechos que le sirvieron de causa y la motivación del acto administrativo recurrido.

Corte Constitucional, sentencia C-818 del de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº,11 No sobra señalar que la sanción aquí impuesta, tiene como objetivo que la investigada en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.

Finalmente, resulta pertinente resaltar lo siguiente: 1. La multa de $40.846.500 equivale al 2,25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 2. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. 3. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. 4.

Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. 5.

La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”6. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia7. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Aunque las razones anteriores son suficientes para confirmar la Resolución N° 21544 del 19 de abril de 2021, esta Delegatura considera pertinente destacar lo siguiente respecto de la Responsabilidad Personal de los Administradores en el Tratamiento de Datos Personales.

6. DE LA RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí́ se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm cual se puede consultar en: HOJA Nº,12 En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la ley 222 de 19958 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado.

Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas. Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.

No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 249 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”10.

Las disposiciones referidas, proveen unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. CONCLUSIONES Sin perjuicio de lo establecido, se accederá las pretensiones de la recurrente por, entre otras, las siguientes razones: I. Durante la actuación administrativa se le garantizó a la recurrente el debido proceso y de manera inequívoca se estableció la conducta por la cual se le formularon cargos.

Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Parte inicial del artículo 24 de la ley 222 de 1995.

HOJA Nº,13 II. III. IV. V. Nuestra regulación le exige a los Responsables del Tratamiento “( ) ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”11. Una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de datos personales.

Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma. Allí se puede constatar que las órdenes no son sanciones. La multa de $40.846.500 equivale al 2,25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).

La recurrente no sólo debe ser profesional y diligente en el tratamiento de los datos personales, sino que tiene el deber legal de cumplir las instrucciones y los requerimientos de la Superintendencia de Industria y Comercio. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución N° 21544 del 19 de abril de 2021 En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución N° 21544 del 19 de abril de 2021 de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SOCIAL, EDUCATIONAL, ENVIRONMENTAL AND DEVELOPMENT FOUNDATION, identificada con el NIT. 900.426.576-4, a través de su representante legal, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 17 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES digitalmente NELSON Firmado por NELSON ANGARITA REMOLINA REMOLINA Fecha: 2022.03.17 ANGARITA 12:04:15 -05'00' NELSON REMOLINA ANGARITA ALC Artículo 26 del decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) Notificación Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: SOCIAL, EDUCATIONAL, ENVIRONMENTAL AND DEVELOPMENT FOUNDATION Nit. 900.426.576-4 BLANCA ESPERANZA ROJAS GUTIÉRREZ C.C. No. 52.489.812 esperanza.rojas@solucionit.co Carrera 22A No. 85A- 41 Bogotá D.C. HOJA Nº,14

Resolución sancionatoria N° 13023 de 2022

CONSIDERANDO

RESUELVE