(25 NOVIEMBRE 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 20-43267 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CRC OUTSOURCING S.A.S., (en adelante “la investigada”), identificada con Nit. 830.109.862- 3, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXX XXXX XXXXX XXXX XXXX: 1.1 En la queja se afirma que: “[…] a raíz de estas actuaciones malintencionadas de parte de CRC Outsorcing (sic) SAS, ya (sic) por la obtención de mis datos personales sin previa autorización. Es importante resaltar que ellos de manera arbitraria y sin consentimiento alguno hanobtenido (sic) información acerca de mi lugar de trabajo sin que (sic) mi autorización para ello y que en aras de presion (sic) por el pago de una presunta obligación sinacceder (sic) a las acciones previstas en la ley para la obtención de ese pago. […]; también es importante resaltar que por vía telefónica y vía whatsApp envian el siguiente mensaje: ‘Buenas Noches Sra XXXX XXXXX nuevamente se comunica con usted LA ABOGADA XXXX XXXXXX.
No hemos recibido una respuesta concreta con referencia a la obligación pendiente con la entidad. Por este motivo se pondrá en marcha el aparato jurídico en contra de sus bienes activos ‘Posible embargo salarial de hasta el 35%’, bienes mueble (sic) e inmuebles para resarcir la obligación pendiente con la entidad. Se enviara (sic) notificación judicial al departamento jurídico a cargo de (sic) la Dr XXXXX XXXXX XXXXXX.
En el evento que usted quiere realizar acuerdo comuníquese antes de las próximas 72 horas del recibido de este mensaje al PBX 770400 Ext 232. […]” 1. 1.2 Para soportar su denuncia, la señora XXX XXXXX XXXXX XXXXX XXXXX allegó el siguiente documento: Copia de un Derecho de Petición con fecha del 20 de febrero de 2020 instaurado por XXX XXXX XXXXX XXX, Coordinador de Cobranzas de CRC OUTSOURCING S.A.S ante la sociedad RHS ALIANZA HOMECARE IPS S.A.S., en el que solicita: “Tipo de contrato del señor(a) XXXXXX XXXXX XXXXX XXXXXX XXXXXX C.C XXXXX quien labora actualmente para ustedes, además salario, antigüedad y cargo actual que desempeña, ya que se está adelantando proceso de investigación de bienes por mora en deuda adquirida con Crédito Fácil Codensa. […]Para facilitar la resolución de lo solicitado estoy adjuntando los siguientes documentos: Carta de cesión de Codensa a CRC Outsourcing S.A.”2 Expediente digital, consecutivo 1, página 1 Expediente digital, consecutivo 1, página 2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
(ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, el 17 de febrero de 2021, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 6399 3 por medio de la cual se formularon dos (2) cargos a la sociedad CRC OUTSOURCING S.A.S., identificada con Nit.830.109.862- 3.
La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.
TERCERO: Que la investigada fue notificada electrónicamente el 24 de febrero de 2021 de la Resolución No. 6399 de 17 de febrero de 2021, de acuerdo con la certificación disponible en el consecutivo 20-43267- -13 del expediente digital.
CUARTO: Que, mediante escrito radicado el día 17 de marzo de 2021, a través de su representante legal, la investigada dio respuesta a la formulación de cargos4.
QUINTO: Que mediante la Resolución No. 56783 del 2 de septiembre de 2021 5, en virtud de lo dispuesto en el artículo 21 de la Ley 1581 de 2012, se amplían los cargos inicialmente formulados en la presente investigación administrativa por la presunta violación de las normas de protección de datos personales por parte de la sociedad CRC OUTSOURCING S.A.S en particular por la presunta contravención del deber establecido en el literal d) del artículo 17, en concordancia con el literal f) y g) del artículo 4 de la Ley 1581 de 2012, y se volvió a conceder el término de 15 días hábiles para presentar descargos o aportar o solicitar las pruebas que pretenda hacer valer respecto de la imputación de cargos realizada.
SEXTO: Que mediante Resolución No. 25072 del 29 de abril de 20226, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20- 43267, consecutivo 0 a 25, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
SÉPTIMO: Que dentro del plazo otorgado por la Resolución No. 25072 del 29 de abril de 2022, la sociedad investigada mediante comunicado del 16 de mayo de 2022 presentó alegatos7 de conclusión reiterando lo señalado en su escrito de descargos.
OCTAVO: Que mediante Resolución No. 53733 del 11 de agosto de 20228, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria contra la sociedad CRC OUTSOURCING S.A.S., con Número de Identificación Tributaria 830.109.862- 3, en cuantía de SETENTA Y DOS MILLONES DOSCIENTOS SIETE MIL SEISCIENTOS PESOS M/CTE (72.207.600) equivalente a MIL NOVECIENTAS (1.900) Unidades de Valor TributarioUVT, por el incumplimiento del deber establecido en el (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
(ii) Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.
NOVENO: Que la Resolución No. 53733 del 11 de agosto de 2022, fue notificada mediante Aviso Número 19813 a la sociedad CRC OUTSOURCING S.A.S. el día 24 de agosto de 20229. Resolución No. 6399 de 2021 obrante en el expediente 20-43267 Expediente digital, consecutivo 14 Resolución No. 56783 de 2021 obrante en el expediente 20-43267 Resolución No. 25072 del 2022 obrante en el expediente 20-43267 Expediente digital, Consecutivo 30 Resolución número 18356 del 31 de marzo de 2021 obrante en el expediente 20-302515.
Expediente digital, Consecutivo 38. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
DÉCIMO: Que mediante escrito radicado el día 7 de septiembre de 202210, la sociedad CRC OUTSOURCING S.A.S., mediante su apoderado especial, interpuso Recurso de Reposición y en subsidio de Apelación contra la Resolución No. 53733 del 11 de agosto de 2022, manifestando lo siguiente: 10.1 La sociedad informa que hubo una indebida aplicación de la Ley 1581 de 2012: “Igualmente se afirma en la resolución sancionatoria que la información personal de la denunciante compartida a terceros no autorizados hace parte del ámbito de aplicación de la Ley 1.581 de 2.012.
Ello no es cierto. La información supuestamente compartida es de naturaleza comercial, crediticia y financiera, por lo que debe aplicarse la Ley 1.266 de 2.008, que regula el tratamiento de esta clase de información y no la Ley 1.581 de 2.012.” 11 10.1.1 Asegura que: “En el presente caso la recolección de los datos y la autorización concedida por parte de la denunciante se llevó a cabo el 17 de septiembre de 2.005, esto es, con anterioridad a la vigencia de la ley 1.581 de 2.012.
Posterior a ese momento no se recogió información adicional de la titular. 10.1.2 Indica que respecto al cargo por incumplimiento al deber de informar: Dado que la recopilación de la información se efectuó cuando no estaba aún vigente la ley 1.581 de 2.012, resulta claro que se dio una aplicación retroactiva e indebida de la misma al presente asunto.
De esta manera se desconoció el inciso 2 del artículo 29 de la Constitución Nacional que prevé “nadie podrá ser juzgado sino conforme a leyes prexistentes al acto que se le imputa…” (Negrilla fuera del texto)”12 10.2. Así mismo informa que no pudo haber violado el literal c del artículo 17 de la Ley 1581 del 2012, porque para la fecha en que se recopiló la información no ostentaba la calidad de responsable de la misma: “Teniendo en cuenta que la falta de cumplimiento de lo dispuesto en el literal c) del artículo 17 de la ley 1.581 del 2.012, es una falta instantánea que se consuma cuando la fuente procede a tratar los datos, sin haber previamente obtenido la autorización informada por parte del titular, y considerando que CRC OUTSOURCING SAS, no ostentaba la calidad de responsable para cuando presuntamente se llevó cabo dicho tratamiento (recaudo de la información) (septiembre 17 de 2005), debe concluirse forzosamente que la investigada no pudo haber violado la norma, conforme a lo endilgado.
Para serle atribuible la falta ha debido ostentar la condición de responsable para el momento del recaudo de la información.”13 10.3 Indicó que se presentó anfibología de los cargos que se pretende subsanar en la resolución sancionatoria: “Consideramos que se vulnera el derecho de contradicción y defensa debido a la anfibología de los cargos adicionales, que posteriormente y con desconocimiento del derecho de defensa se pretende subsanar en la resolución sancionatoria.”14 (…) “Por un lado, la formulación de cargos delimita fáctica y jurídicamente las faltas atribuidas al investigado, respecto de las cuales le corresponde ejercer su defensa.
Como puede evidenciarse, la claridad y exactitud del cargo es un requisito sine qua non para el adecuado ejercicio del derecho de defensa. Solo mediante cargos inequívocos y entendibles podrá ejercerse eficazmente la actividad de contradicción. Es por ello, por lo que la ley ha exigido precisión, exactitud, claridad, y minuciosidad en la atribución de los hechos constitutivos de la infracción y de la determinación de las normas vulneradas con la conducta.
Dice el artículo 47 inciso 2 del CPACA que “concluidas las averiguaciones preliminares, si fuere el Expediente digital, Consecutivo 25. Expediente digital, Consecutivo 39, página 2, folio 8 Expediente digital, Consecutivo 39, página 2, folio 11 Expediente digital, Consecutivo 39, página 2, folio 12 Expediente digital, Consecutivo 39, página 2, folio 14 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” caso, formulará cargos mediante acto administrativo en el que se señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.”(Negrillas fuera del texto)Consideramos que la minuciosidad y detalle en la determinación de los hechos además cobra relevancia, si de otra parte se tiene en cuenta que la sanción solo es viable cuando la conducta enjuiciada ha sido prevista como infracción, a través de “tipos” integrados por diversos elementos (sujeto activo, sujeto pasivo, verbo rector, elementos normativos y subjetivos del tipo.)”15 10.4 Manifiesta que no se determina la tipicidad de la conducta desde su aspecto fáctico: “No obstante, al momento de indicar la información indebidamente compartida solo se menciona el nombre y el número de documento de identidad de la titular, que dista de ser información privada o semiprivada.
Se indica que con la comunicación del 20 de febrero del 2.020 se allegó documento de cesión de crédito que contiene información financiera de la denunciante, pero tampoco precisa dicha información. Al dejarse de establecer la supuesta información indebidamente compartida, no se pudo determinar si se trata de información privada o semiprivada, y por ende reservada, o, si, por el contrario, es de carácter público, por lo que tampoco se puede establecer la subsunción de la conducta en un tipo de prohibición..”16 10.5 Dice que hubo caducidad de la facultad sancionatoria: “Es necesario especificar y concretar en qué momento se debe obtener la autorización para el tratamiento de los datos, y, consecuentemente en que oportunidad debe informarse la finalidad de dicho tratamiento.
En realidad, se trata de un proceso secuencial. Para la recolección de datos, debe previamente obtenerse la autorización del Titular, y dicha autorización debe ser suficientemente informada. En consecuencia, la indicación de la finalidad del tratamiento de datos debe ser previa a la autorización. En este orden de ideas la recolección de datos sin la autorización informada por parte del Titular implica la transgresión de las normas que protege el habeas data.
Consideramos que se trata de una conducta instantánea que se configuraría en el instante mismo en que se recolectan los datos sin autorización informada.” “Es necesario especificar y concretar en qué momento se debe obtener la autorización para el tratamiento de los datos, y, consecuentemente en que oportunidad debe informarse la finalidad de dicho tratamiento.
En realidad, se trata de un proceso secuencial. Para la recolección de datos, debe previamente obtenerse la autorización del Titular, y dicha autorización debe ser suficientemente informada. En consecuencia, la indicación de la finalidad del tratamiento de datos debe ser previa a la autorización. En este orden de ideas la recolección de datos sin la autorización informada por parte del Titular implica la transgresión de las normas que protege el habeas data.
Consideramos que se trata de una conducta instantánea que se configuraría en el instante mismo en que se recolectan los datos sin autorización informada. Esta conducta debe distinguirse de la hipótesis que se da cuando existe autorización del Titular, pero el responsable o encargado del Tratamiento, se desvía de dicha autorización o la utiliza para otras finalidades.
En tal caso, el momento consumativo de la infracción se presenta no en el momento en que ha debido obtenerse la autorización, sino cuando se hace uso indebido de la información bajo su custodia. En el presente caso la información fue recolectada por parte del responsable el 17 de septiembre de 2.005 con ocasión de la concesión de un crédito rotativo.”17 10.6 Señala que hay una violación del derecho de defensa por no especificarse en el acto de formulación de cargos el aspecto subjetivo de la contravención administrativa lícito administrativo: Expediente digital, Consecutivo 39, página 2, folios 14 y 15 Expediente digital, Consecutivo 39, página 2, folio 15 Expediente digital, Consecutivo 39, Página 2, Folio 16 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Como parte integrante de la conducta punible administrativa, la culpabilidad debe precisarse en la formulación de cargos para que el administrado pueda controvertir dicho aspecto.
No basta que el aspecto subjetivo se desarrolle en la resolución sancionatoria, pues para ese momento procesal el administrado no podrá ejercer su derecho de contradicción presentando descargos.”18 10.7 Indica que hay una violación del derecho de defensa por no haberse precisado en el acto de formulación de cargos las sanciones aplicables al caso concreto: “La Superintendencia no cumplió con esta carga de claridad y precisión en la definición de la sanción que sería procedente.
La entidad simplemente indica que la investigación se realiza con el fin de determinar si es procedente imponer una de las sanciones previstas en el artículo 23 de la ley 1.581 de 2.012, o impartir las órdenes necesarias para hacer efectivo el derecho de habeas data. Igualmente se limita a trascribir en su integridad el artículo 23 de la ley 1.581 de 2.012, que consagra la amplia gama de sanciones que puede imponer la Superintendencia. Debido al amplio espectro de sanciones, en realidad no se precisa ni siquiera mínimamente la que sería procedente.
En efecto el artículo 23 de la ley 1.581 establece como tales las siguientes: (i) Cierre inmediato y definitivo de las operaciones involucradas con el habeas data, (ii) Suspensión de las actividades relacionadas con el tratamiento de datos, (iii) Cierre temporal de las operaciones relacionadas con el tratamiento de datos una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia, y (iv) Multas hasta 2000 smlmv.
Además, o concurrente con las sanciones, procede impartir órdenes tendientes a resguardar el derecho de habeas data. Es más, dentro del ámbito de la sanción pecuniaria existe un margen considerable, por cuanto la multa puede oscilar entre unos pocos pesos hasta 2000 smmlv. Ninguna de las medidas o sanciones fue precisada en el pliego de cargos, como tampoco la reincidencia como factor de agravación, por lo que se vulneró nuevamente el derecho de defensa del Administrado”19 10.8 Señala que hay falta de reincidencia: “En realidad, la reincidencia se presenta cuando al momento de cometerse la infracción se había declarado al contraventor responsable de un ilícito mediante decisión ejecutoriada.
Es claro que para la fecha en que presuntamente se cometió la falta atribuida a mi representada, no se había determinado mediante acto administrativo su responsabilidad. Por los motivos antes expuestos, respetuosamente solicito a Usted se sirva revocar la Resolución N° 53733 del 11 de agosto del 2.022 y en su lugar absolver a mi representada de todo cargo”20 DÉCIMO PRIMERO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de aquellos.
Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 11.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución 53733 de 2022 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 11.1.1 La sociedad investigada fue notificada por aviso No. 19813 el 24 de agosto de 2022 de 2021 de la Resolución 53733 de 2022, a través de su representante legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la agosto de 202221. Expediente digital, Consecutivo 39, Página 2, Folio 16 Expediente digital, Consecutivo 39, Página 2, Folio 17 y 18 Expediente digital, Consecutivo 39, Página 2, Folio 18 Expediente digital, Consecutivo 24 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 11.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 7 de septiembre de 2022 a través de correo electrónico con radicado 20-43267- -000390001, encontrándose presentado dentro del término legal22. 11.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 53733 de 2022, los cuales fueron expuestos en el numeral considerativo noveno de esta resolución. 11.1.4 Respecto de los documentos aportados como pruebas por la recurrente.
Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio. La apoderada especial en el acápite de Notificaciones del escrito con radicado 2043267- -00039-0001 del 7 de septiembre de 2021, con el cual interpone recurso de reposición y en subsidio de apelación a la Resolución 53733 de 2022, señala nombre, dirección y correo electrónico de la recurrente para notificaciones 23.
DÉCIMO SEGUNDO. Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en los siguientes aspectos, a saber: (i) indebida aplicación de la Ley 1.581 de 2.012 (ii) sobre la vigencia temporal de la Ley 1581 de 2012, (iii) la calidad de Responsable la investigada, (iv) anfibología de los cargos que se pretende subsanar en la resolución sancionatoria, (v) tipicidad de la conducta, (vi) caducidad, (vii) aspecto subjetivo de la contravención administrativa, (viii) violación del derecho de defensa por no haberse precisado en el acto de formulación de cargos las sanciones aplicables al caso concreto, (ix) falta de reincidencia y (iv) pretensiones.
Razón por la cual se procederá a analizar lo recurrido de la siguiente manera: 12.1 Indebida Aplicación de la Ley 1581 de 2012 El recurrente manifiesta lo siguiente: “Igualmente se afirma en la resolución sancionatoria que la información personal de la denunciante compartida a terceros no autorizados hace parte del ámbito de aplicación de la Ley 1.581 de 2.012.
Ello no es cierto. La información supuestamente compartida es de naturaleza comercial, crediticia y financiera, por lo que debe aplicarse la Ley 1.266 de 2.008, que regula el tratamiento de esta clase de información y no la Ley 1.581 de 2.012.24 (…) En este orden de ideas, es el desconocimiento de tal régimen especial el que genera responsabilidad para los actores que intervienen en la actividad, sin que les sea aplicable otro Estatuto.25 (…) Aunque los principios, establecidos en el artículo 4 de la ley 1.581 de 2.012, son aplicables al tratamiento de datos en general, las otras disposiciones, y especialmente las que señalan las faltas y las sanciones que las mismas acarrean y los procedimientos, no son aplicables a “las bases de datos y archivos regulados por la ley 1.266 del 2.008. 26” En relación a este tema, es importante aclarar que la sociedad investigada no se limitó a compartir con terceros datos personales públicos, sino que también compartió información financiera, ahora bien, si en gracia de discusión se tomara que los datos compartidos con el tercero fueron solo datos públicos, es importante aclararle a la recurrente que de acuerdo a lo establecido en la Ley 1581 de 2012 el artículo 10 señala los casos en que no es necesaria la autorización: “Artículo 10.
Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: Expediente digital, Consecutivo 39 Expediente digital, Consecutivo 39, Página 2, Folio 19 Expediente digital, Consecutivo 39, Página 2, Folio 8 Expediente digital, Consecutivo 39, Página 2, Folio 10 Expediente digital, Consecutivo 39, Página 2, Folio 10 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.
Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” (resaltado y subrayado fuera del texto) Respecto de la normatividad en cita se resaltan dos apartes, el primero es el literal b) el cual indica que para el tratamiento de los datos de naturaleza publica no se requiere la autorización previa del titular; el segundo es el párrafo final del artículo 10 que aclara que si se realiza tratamiento de datos sin que medie la autorización previa deberá en todo caso cumplir con las demás disposiciones establecidas en el Ley.
En consecuencia, es claro que contrario a lo que señala la recurrente el hecho de supuestamente estar inmersa en una de las excepciones legales para no mediar autorización previa al tratamiento de los datos personales, de modo alguno, le autoriza a la sociedad incumplir los demás deberes establecidos en la Ley. Pues es claro que la excepción solo aplica para la autorización previa del titular, es decir, respecto del cumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 y no se hace extensible al deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, establecido en el literal c) del artículo 17 de la Ley 1581 de 2012.
Por lo anterior es claro que para realizar tratamiento de datos de naturaleza publica no necesita solicitar previamente la autorización del titular, pero si debe informarle las finalidades específicas del tratamiento, como en este caso se encontró que de manera negligente omitió informarle al titular las finalidades específicas para las cuales trataría sus datos personales, adicionando el hecho de que no solo compartió datos de naturaleza pública.
Ahora bien, de otro lado, la sociedad indica que como la información compartida es de naturaleza comercial, crediticia y financiera no le es aplicable la Ley 1581 de 2012, sino que se debe aplicar la Ley 1266 de 2008, al respecto es importante recordar lo señalado por la honorable corte en la sentencia de control de constitucionalidad de la Ley 1581 respecto del ámbito de aplicación de la Ley: “Una lectura conjunta del inciso tercero y del parágrafo permite concluir que el primero prevé una serie de casos exceptuados de las reglas del proyecto de ley, debido a que requieren reglas especiales, como las que se introdujeron en la Ley 1266 para datos personales financieros y comerciales destinados a calcular el riesgo crediticio.
Estas hipótesis requieren una regulación especial, por cuanto son ámbitos en los que existe una fuerte tensión entre el derecho al habeas data y otros principios constitucionales (como el derecho a la información, la seguridad nacional y el orden público), tensión que para ser resuelta requiere reglas especiales y complementarias. Sin embargo, de conformidad con la primera parte del parágrafo, estas hipótesis no están exceptuadas de los principios, como garantías mínimas de protección del habeas data.
En otras palabras, las hipótesis enunciadas en el inciso tercero son casos exceptuados –no excluidos- de la aplicación de las disposiciones de la ley, en virtud del tipo de intereses involucrados en cada uno y que ameritan una regulación especial y complementaria, salvo respecto de las disposiciones que tienen que ver con los principios. (…) En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad.” Por lo anterior, es claro que la Ley 1266 de 2008 aplica para datos personales financieros y comerciales destinados a calcular el riesgo crediticio, ahora bien, en los casos bajo estudio es claro que los datos recolectados por el acreedor originario eran para calcular el riesgo crediticio y en consecuencia la Ley aplicable es la Ley 1266 de 2008, no obstante, se encuentra que la sociedad recurrente tomo los datos personales de la denunciante y se los compartió a terceros no autorizados, esto de ninguna manera puede tomarse como un tratamiento de datos bajo la Ley 1266 de 2008 y tal como lo indicó la corte constitucional por regla general aplica el régimen de protección de datos personales, la Ley 1581 de 2012.
En consecuencia, es claro que al utilizar los datos del titular para finalidades no autorizadas y permitir que terceros accedan a los mismos, de modo alguno se entiende que se utilizan los datos personales para el cálculo del riesgo crediticio. 12.2 Sobre la vigencia temporal de la Ley 1581 de 2012 El recurrente manifiesta lo siguiente: “En el presente caso la recolección de los datos y la autorización concedida por parte de la denunciante se llevó a cabo el 17 de septiembre de 2.005, esto es, con anterioridad a la vigencia de la ley 1.581 de 2.012.
Posterior a ese momento no se recogió información adicional de la titular. Dado que la recopilación de la información se efectuó cuando no estaba aún vigente la ley 1.581 de 2.012, resulta claro que se dio una aplicación retroactiva e indebida de la misma al presente asunto. De esta manera se desconoció el inciso 2 del artículo 29 de la Constitución Nacional que prevé “nadie podrá ser juzgado sino conforme a leyes prexistentes al acto que se le imputa…” (Negrilla fuera del texto).27 Referente a este tema se debe aclara que el concepto de Responsable del tratamiento: El literal e) del artículo 3 de la Ley 1581 de 2012, define al Responsable del tratamiento de la siguiente manera: "Artículo 3.
Definiciones, Para los efectos de la presente ley, se entiende por: (…) d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por si misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
(…)” Esta norma fue declarada exequible mediante Sentencia C-748 de 2011 en el siguiente entendido: "( ) él concepto 'decidir sobre el tratamiento' empleado por el literal e) parece coincidir con la posibilidad de definir —jurídica y materialmente- los fines y medios del tratamiento". Esto significa que es Responsable del tratamiento la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, determine - de hecho, o de derecho- los fines del tratamiento y los medios para alcanzarlos; en este caso la sociedad investigada ostenta la calidad de Responsable por el simple hecho de compartir los datos personales del titular con terceros, lo cual es una forma de tratamiento, y también por haber decidido sobre el uso que se daría respecto a estos.
En la medida en que decide sobre el tratamiento, la información tratada no corresponde a datos financieros y tampoco tenía por finalidad el cálculo del riesgo crediticio, por lo que es claro que el ámbito de aplicación es la Ley 1581 de 2012. Expediente digital, Consecutivo 39, Página 2, Folio 19 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ahora bien, sobre la discusión acerca del momento en que se recaudaron los datos del titular, y su tratamiento respecto a la entrada en vigencia de la Ley 1581 de 2012, se debe indicar que los hechos en cuestión ocurrieron el 20 de febrero de 2020, con el envío del derecho de petición a la sociedad RHS ALIANZA HOMECARE IPS S.A.S. fecha posterior a la entrada en vigencia de la Ley 1581 de 2012 momento en el cual la investigada compartió los datos personales del titular con terceros, de igual manera el recaudo efectuado en 2005 no exonera a esta ni a ninguna otra sociedad a respetar y cumplir con los lineamientos del Régimen de Protección de Datos Personales, es decir que aunque hayan hecho la recopilación de datos antes de la entrada en vigencia de la Ley en mención las sociedades deben implementar las medidas de protección necesarias antes de proceder a hacer algún tipo de tratamiento, puesto que su calidad de Responsables se define en el momento en que hacen tratamiento de los datos personales del Titular sin importar si la obtención de los datos fue anterior a la entrada en vigencia de la Ley 1581 de 2012.De igual forma, la Ley 1581 estableció un régimen de transición para adecuarse a las disposiciones contenidas en la misma, artículo 28 de la Ley 1581 de 2012. 12.3 Respecto a que CRC OUTSOURCING SAS, no pudo haber violado el literal c del artículo 17 de la Ley 1.581 del 2.012, porque para la fecha en que se recopiló la información no ostentaba la calidad de responsable de la misma “Teniendo en cuenta que la falta de cumplimiento de lo dispuesto en el literal c) del artículo 17 de la ley 1.581 del 2.012, es una falta instantánea que se consuma cuando la fuente procede a tratar los datos, sin haber previamente obtenido la autorización informada por parte del titular, y considerando que CRC OUTSOURCING SAS, no ostentaba la calidad de responsable para cuando presuntamente se llevó cabo dicho tratamiento (recaudo de la información) (septiembre 17 de 2005), debe concluirse forzosamente que la investigada no pudo haber violado la norma, conforme a lo endilgado.
Para serle atribuible la falta ha debido ostentar la condición de responsable para el momento del recaudo de la información.”28 Como ya se estableció anteriormente, la sociedad investigada es Responsable del tratamiento y la comisión de la conducta vulneratoria data del 20 de febrero de 2020 es decir que la vulneración que incumple los deberes establecidos en la Ley 1581 de 2012 son de casi 8 años después de expedida la Ley.
De igual manera, el hecho de haber compartido los datos personales de la titular el 20 de febrero de 2020 mediante el derecho de petición enviado a la sociedad RHS ALIANZA HOMECARE IPS S.A.S., independientemente de que la fecha de recaudo de estos se llevó a cabo en 2005, toda vez que el acto que se reprocha ocurrió posteriormente a la entrada en vigencia de la Ley 1581 de 2012 y porque cualquier tipo de tratamiento que se realice con los datos personales de los titulares está regulado para garantizar la protección de su derecho fundamental de habeas data, de manera que no están excluidos los datos que hayan sido recopilados con anterioridad a la entrada en vigencia de dicha Ley. 12.4.
Anfibología de los cargos que se pretende subsanar en la resolución sancionatoria El recurrente manifiesta lo siguiente: “Por un lado, la formulación de cargos delimita fáctica y jurídicamente las faltas atribuidas al investigado, respecto de las cuales le corresponde ejercer su defensa. Como puede evidenciarse, la claridad y exactitud del cargo es un requisito sine qua non para el adecuado ejercicio del derecho de defensa.
Solo mediante cargos inequívocos y entendibles podrá ejercerse eficazmente la actividad de contradicción. (…) Consideramos que la minuciosidad y detalle en la determinación de los hechos además cobra relevancia, si de otra parte se tiene en cuenta que la sanción solo es viable cuando la conducta enjuiciada ha sido prevista como infracción, a través de “tipos” integrados por diversos elementos (sujeto activo, sujeto pasivo, verbo rector, elementos normativos y subjetivos del tipo.)”29 Expediente digital, consecutivo 39, página 2, folio 12 Expediente digital, consecutivo 39, página 2, folio 14, 15 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Con relación a este argumento, se debe decir que los cargos por los que se sancionó a CRC OUTSOURCING S.A.S. fueron imputados como consecuencia del análisis de las pruebas que permitieron concluir el incumplimiento de los deberes que se le endilgan.
Los hechos que dieron lugar a esta conclusión fueron los siguiente: La petición del 20 de febrero de 2020 enviada por la investigada a RHS ALIANZA HOMECARE IPS SAS, ciertamente se comparten los siguientes datos de la titular: (i) (ii) (iii) XXXXXX XXXXXXX XXXXXX XXXXXXX XXXXXX C.C XXXXXXX Carta de cesión de Codensa a CRC Outsourcing S.A.S30 La acción de exponer los datos personales de la titular a su empleador fue una forma de tratamiento no consentida, pese a que sus datos fueran públicos y que ya fueran conocidos por RHS ALIANZA HOMECARE IPS S.A.S, la vulneración se configuró por la acción de realizar el tratamiento de la información personal de la titular para fines no autorizados.
(i) Por otra parte, se tiene que, aunque el objetivo de la petición radicada por la investigada ante RHS ALIANZA HOMECARE IPS S.A.S era solicitar información de la titular, al mismo tiempo estaba suministrando y/o circulando ante un tercero no autorizado previamente por la titular, los datos personales antes mencionados. Si bien, la titular dice que tenía una relación de tipo laboral con RHS ALIANZA HOMECARE IPS S.A.S, esto no significa que CRC OUTSOURCING S.A.S. pudiera divulgar los datos personales de la titular sin antes contar con la autorización de ella, y además se encontró demostrado que no solo utilizó los datos para finalidades no autorizadas sino que además permitió que terceros no autorizados tuvieran acceso a los datos junto con la carta de cesión de Codensa a CRC OUTSOURCING S.A.S., en la que aparecen datos personales de la señora XXXXX XXXX XXXX XXXX XXXXX.
De esta manera, se logra colegir que la investigada actuó de una manera negligente al realizar el tratamiento de los datos personales de la titular con fines no informados ni conocidos previamente por esta, y por no conservar la información personal de la titular bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; puesto que divulgó los datos personales de la titular con terceros no autorizados mediante la petición del 20 de febrero de 2020 presentada ante su empleador RHS ALIANZA HOMECARE IPS S.A.S, con el fin de llevar cabo el cobro de una obligación financiera. 12.5 No se determina la tipicidad de la conducta desde su aspecto fáctico.
“No obstante, al momento de indicar la información indebidamente compartida solo se menciona el nombre y el número de documento de identidad de la titular, que dista de ser información privada o semiprivada. Se indica que con la comunicación del 20 de febrero del 2.020 se allegó documento de cesión de crédito que contiene información financiera de la denunciante, pero tampoco precisa dicha información. Al dejarse de establecer la supuesta información indebidamente compartida, no se pudo determinar si se trata de información privada o semiprivada, y por ende reservada, o, si, por el contrario, es de carácter público, por lo que tampoco se puede establecer la subsunción de la conducta en un tipo de prohibición.”31 Al analizar las conductas que dieron lugar a la sanción imputada a la investigada, se encontró que estaban tipificadas como un incumplimiento de los deberes de los Responsables del tratamiento definidos en el artículo 17 de la Ley 1581 de 2012.
Pues es cierto que, aunque el tratamiento se realizó sobre datos personales de carácter público, debió ser informado el tipo de uso que se daría a los mismos y requerir el consentimiento respectivo de parte de la titular. Por consiguiente, el hecho de que la sociedad recurrente haya tratado los datos personales de la titular de carácter público no significa que la conducta reprochada sea atípica puesto que los datos públicos también están protegidos por la Ley 1581 de 2012.
Respeto a los argumentos de la recurrente se entiende que la misma le resta importancia al hecho de permitir que terceros no autorizados accedan a los datos personales de sus titulares, que obran Expediente digital, consecutivo 0, página 2 Expediente digital, Consecutivo 39, página 2, Folio 15 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” bajo su custodia, solo por el hecho de ser datos de carácter público como el nombre y la cédula, y la carta de cesión. Por lo anterior se le reitera a la recurrente la importancia de proteger los datos personales de los titulares y que independientemente del carácter de los mismos, sean públicos, privados o semiprivados, deben cumplir con todas las disposiciones y exigencias de la Ley respecto a los deberes de informar las finalidades e impedir que terceros no autorizados accedan a los datos personales.
La Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012 que contiene la lista de deberes exigibles al Responsable del tratamiento. En este caso el incumplimiento de dos de estos deberes llevó a la imposición de la sanción: “Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia, garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involucrado en el tratamiento del dato pueda argumentar, con fundamento en la ley.
Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no significa que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos.
En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional.
No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.
Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley“ Así mismo respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica “ Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (resaltado fuera del texto) Por lo anterior, es claro que a lo largo de la investigación se cumplió con el principio de legalidad al fallar respecto de la Ley que regula el tema, el de tipicidad al formular cargos y decidir respecto del incumplimiento de deberes establecidos en el artículo 17 de la Ley 1581 de 2012 y la conducta o comportamiento reprochable fue claramente detallado desde la formulación y analizado y soportado con las pruebas en la decisión y cumpliendo en todo momento con el debido proceso, garantizando el derecho de defensa que fue ejercido en todas las etapas por parte de la investigada. 12.6 Sobre la caducidad de la acción Al respecto la investigada manifiesta lo siguiente: “Esta conducta debe distinguirse de la hipótesis que se da cuando existe autorización del Titular, pero el responsable o encargado del Tratamiento, se desvía de dicha autorización o la utiliza para otras finalidades.
En tal caso, el momento consumativo de la infracción se presenta no en el momento en que ha debido obtenerse la autorización, sino cuando se hace uso indebido de la información bajo su custodia. En el presente caso la información fue recolectada por parte del responsable el 17 de septiembre de 2.005 con ocasión de la concesión de un crédito rotativo.
Desde ese entonces han transcurrido más de tres años, por lo que se habría producido la caducidad de la acción sancionatoria respecto de la supuesta vulneración del artículo 17 literal c) de la ley 1.581 de 2.012.”32 Con relación a la caducidad de la facultad sancionatoria la Ley 1437 dice lo siguiente: “ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. La sanción decretada por acto administrativo prescribirá al cabo de cinco (5) años contados a partir de la fecha de la ejecutoria.” (Subrayamos) Con relación al tema de la recopilación de los datos personales por parte de la sociedad investigada en 2005 fecha que dice el recurrente que se debe tomar en cuenta para calcular la caducidad de la facultad sancionatoria, se reitera que esto no es posible, ya que el hecho que generó el inicio de la Expediente digital, Consecutivo 39, Página 2, Folio 16 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” presente investigación, por el cual se dio la vulneración del derecho de habeas data de la titular y el incumplimiento de los deberes de la sociedad en calidad de Responsable, ocurrió el 20 de febrero de 2020 cuando la investigada envió a RHS ALIANZA HOMECARE IPS S.A.S un derecho petición solicitando y compartiendo información personal de la titular.
Por lo cual, aún se encuentra dentro del término para seguir su curso, y no opera el fenómeno de la caducidad. Por otro lado, la recurrente no puede pretender señalar que el hecho vulneratorio ocurrió al momento de recolectar los datos personales, es decir, en el año 2005, pues es evidente que las conductas vulneratorias no ocurrieron en esa fecha y en consecuencia no se puede tomar esa fecha para calcular la caducidad de la facultad sancionatoria. 12.7 Violación del derecho de defensa por no especificarse en el acto de formulación de cargos el aspecto subjetivo de la contravención administrativa lícito administrativo El recurrente dice lo siguiente: “Como parte integrante de la conducta punible administrativa, la culpabilidad debe precisarse en la formulación de cargos para que el administrado pueda controvertir dicho aspecto.
No basta que el aspecto subjetivo se desarrolle en la resolución sancionatoria, pues para ese momento procesal el administrado no podrá ejercer su derecho de contradicción presentando descargos.”33 Al respecto, este Despacho considera que en la presente investigación se le garantizó a la investigada el ejercicio del derecho de defensa y contradicción tanto en la etapa de formulación de cargos con la presentación del escrito de descargos, como en el etapa probatoria con los alegatos de conclusión, las cuales son dos oportunidades anteriores a la decisión para que la sociedad investigada demuestre el cumplimiento de sus deberes o reconozca la infracción cometida, de manera que no es procedente declarar algún tipo de culpabilidad sin que se haya escuchado al investigado y se cuenten los con elementos probatorios suficientes para tomar una decisión. Es necesario aclarar a la sociedad que si se le indicó en el acto administrativo que abrió la investigación y formuló los cargos, el aspecto subjetivo de la contravención, y esto se puede observar en el artículo QUINTO de la parte motiva de la Resolución No. 6399 de 2021 34, en el que se indicó lo siguiente: 5.1.
Cargo Primero: La presunta trasgresión por parte de la investigada en su condición de Responsable del Tratamiento de los datos personales, del deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
Disposiciones normativas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17. Deberes de los Responsables del Tratamiento: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;
(…)” Al respecto, mediante Oficio del 8 de mayo de 2020, esta Dirección le solicitó a la sociedad CRC OUTSOURCING S.A.S. entre otras cosas, lo siguiente: Expediente digital, Consecutivo 39, Página 2, Folio 16, y 17 Resolución No. 6399 de 2021 obrante en el expediente 20-43267 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “[…] 4.
Manifieste ante este Despacho si cuenta con la autorización por parte de la Titular XXXXXX XXXXXXX XXXXXXX XXXXXXX XXXXXXX, para enviar información personal a su empleador MAPLE RESPIRATORY IPS S.A.S. 5.Remita copia de la autorización previa, expresa e informada, otorgada por la señora XXX XXXXX XXXXXXX XXXXXXXX XXX para el tratamiento de sus datos personales. […]” Este requerimiento fue respondido por la investigada mediante comunicación del 30 de mayo de 2020 mediante el cual informó lo siguiente: “[…] AL PUNTO CUARTO.- CRC OUTSOURCING SAS, no cuenta con autorización de la señora XXXX XXXXXXXXX XXXXX XXXXXX XXXXXXXXXXX, para enviar información a su empleador MAPLE RESPIRATORY IPS SAS.
No obstante, el propósito de CRC OUTSOURCING SAS, no fue la de enviar información personal de la señora XXXXX XXXX XXXXXXX XXXXXXXX XXXXXX a la compañía MAPLE RESPIRATORY IPS SAS., (…) “5.2. Cargo Segundo: La presunta vulneración por parte de la sociedad CRC OUTSOURCING S.A.S. en su condición de Responsable del tratamiento de datos personales, de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de conformidad con el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Ley 1581 de 2012 “Artículo 17. Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada Artículo 4.
Principios: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; (…)” ( ) Artículo 12. Deber de informar al Titular: El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o o electrónica y teléfono del Responsable del Tratamiento.
Respecto de la información solicitada y efectivamente obtenida al momento de haberse concedido el crédito rotativo, denominado CRÉDITO FÁCIL CODENSA cabe señalar que la misma tenía dos finalidades: (i) Efectuar el estudio de crédito pertinente a fin de decidir si se concedía, (ii) Dentro del marco de lo previsto en la ley 1266 del 2008, servir como elemento de juicio para evaluar el riesgo financiero, de los usuarios que intervienen en este sector económico.
Esta finalidad quedó plasmada en la autorización conferida por la Titular para el tratamiento de sus datos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ahora bien, respecto de la información que se pretendió́ obtener con posterioridad a la concesión del crédito, y ante la mora en su pago, la finalidad y necesidad de recolectar información de la señora XXXXXX XXXXXX XXXXXX XXXXX XXX, se enmarca dentro de la facultad general de persecución que tienen los acreedores sobre los bienes del deudor.
En este sentido, la información que se ha pretendido obtener se refiere única y exclusivamente a la (…) Habiendo estudiado la respuesta y los documentos remitidos por la sociedad CRC OUTSOURCING S.A.S. en los cuales soportó su respuesta frente al requerimiento de información, no se encuentra prueba mediante la cual se acredite, como se indicó previamente, la obtención de la autorización previa, expresa e informada por parte de la Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, así como tampoco que a ésta se le haya informado de manera previa y expresa acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales.
Por lo que, preliminarmente, se encuentra que, la sociedad CRC OUTSOURCING S.A.S. realizó una aparente contravención de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” Y en el artículo NOVENO de la parte motiva de la Resolución que amplía cargos No. 56783 de 202135: “9.1.
Cargo Tercero: La presunta trasgresión por parte de la investigada en su condición de Responsable del Tratamiento de los datos personales, del deber de Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, consagrado en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.
Disposiciones normativas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 4. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida. El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley.
Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la presente ley. g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
(…) Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
(…)” En este punto se observa que, la sociedad CRC OUTSOURCING S.A.S. mediante el derecho de petición de 20 de febrero de 2020 dirigido a la sociedad RHS ALIANZA HOMECARE IPS SAS., compartió la siguiente información: “Tipo de contrato del señor(a) XXXXXXx XXXXXX XXXXX XXXXXXX C.C XXXXX quien labora actualmente para ustedes, además salario, antigüedad y cargo actual que desempeña, ya que se está Resolución que amplía cargos No. 56783 de 2021 obrante en el expediente 20-43267 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” adelantando proceso de investigación de bienes por mora en deuda adquirida con Crédito Fácil Codensa.” En virtud de lo expuesto, esta Dirección encuentra que presuntamente la sociedad CRC OUTSOURCING S.A.S. permitió el acceso de los datos personales de la señora XXX XXXXX XXXXX XXXXX XXXXXX a terceros no autorizados.
En razón a lo anterior, se encuentra que la sociedad CRC OUTSOURCING S.A.S. habría contravenido lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.”". 12.8 Violación del derecho de defensa por no haberse precisado en el acto de formulación de cargos las sanciones aplicables al caso concreto Al respecto la recurrente manifiesta lo siguiente: “No obstante, no se especificó las que serían aplicables al caso concreto que concita nuestra atención. El acto de formulación de cargos tampoco se estableció la supuesta reincidencia como agravante de la sanción. (…) Además, o concurrente con las sanciones, procede impartir órdenes tendientes a resguardar el derecho de habeas data.
Es más, dentro del ámbito de la sanción pecuniaria existe un margen considerable, por cuanto la multa puede oscilar entre unos pocos pesos hasta 2000 smmlv. Ninguna de las medidas o sanciones fue precisada en el pliego de cargos, como tampoco la reincidencia como factor de agravación, por lo que se vulneró nuevamente el derecho de defensa del Administrado.”36 Con relación a este argumento, se debe informar que, efectivamente se indicaron las sanciones jurídicas procedentes en la presente investigación, en el numeral sexto de la parte motiva la Resolución 6399 del 17 de febrero 202137 de formulación de cargos, y en el numeral décimo de la parte motiva de la Resolución 56783 del 2 de septiembre de 202138 de ampliación de cargos.
Como se dijo anteriormente, la decisión respecto del tipo de sanción procedente depende de las pruebas allegadas al expediente y de la gravedad de la conducta, de modo que la sociedad investigada pueda demostrar el cumplimiento del deber que se le formula en el curso de la investigación, o se determine un cumplimiento parcial que solo amerite impartir una orden y finalmente en caso de que se demuestre que la investigada no incurrió en ninguna falta se archive la investigación, por lo cual, seria contrario a la Ley señalar una sanción específica a la investigada desde la formulación de cargos sin antes garantizarle al Responsable el derecho al debido proceso. 12.9 Falta de reincidencia “En realidad, la reincidencia se presenta cuando al momento de cometerse la infracción se había declarado al contraventor responsable de un ilícito mediante decisión ejecutoriada.
Es claro que para la fecha en que presuntamente se cometió la falta atribuida a mi representada, no se había determinado mediante acto administrativo su responsabilidad.”39 La reincidencia respecto al incumplimiento del deber de informar la finalidad del tratamiento de los datos personales de la titular fue determinada en la etapa de decisión una vez se concluyó el incumplimiento, y se agravó la sanción de acuerdo a lo establecido de la Ley 1581 de 2012 en el literal c) del artículo 24 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por la misma conducta violatoria de la ley.
Aunque no fue informada la reincidencia como una causal para agravar la sanción impuesta en la formulación de cargos, es un deber de los Responsables conocer las causales de agravación de las sanciones puesto que esta información se encuentra en la Ley y es de libre acceso para las personas interesadas, por otro lado, la Expediente digital, Consecutivo 39, Página 2, Folio 18 Resolución 6399 del 17 de febrero 2021 obrante en el expediente 20-43267 Resolución 56783 del 2 de septiembre de 2021 obrante en el expediente 20-43267 Expediente digital, Consecutivo 39, Página 2, Folio 18 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Resolución No. 56699 de fecha 16 de septiembre de 2020 ya se encontraba ejecutoriada al momento de proferirse la Resolución 53733 de 202240. 12.10 Respecto de las pretensiones La recurrente solicita: “Por los motivos antes expuestos, respetuosamente solicito a Usted se sirva revocar la Resolución N° 53733 del 11 de agosto del 2.022 y en su lugar absolver a mi representada de todo cargo.”41 Al respecto, no se accede a la revocatoria de la resolución recurrida, al confirmarse el incumplimiento del deber consagrado en el: (i) literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, (ii) Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, que conllevó a la vulneración del derecho de habeas data del titular.
Finalmente, se concede el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales con el fin de que surta el trámite de Apelación. 12.11 Conclusiones En relación con el Recurso de Reposición y en subsidio de Apelación interpuesto por la sociedad CRC OUTSOURCING S.A.S contra la Resolución 53733 de 202242, esta Dirección en la presente Resolución desarrolló lo siguiente: i. ii. iii. iv. v. Se confirmó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el: (i) literal c del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y (ii) en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.
La sociedad investigada no informó a la titular las finalidades por las cuales compartió sus datos personales mediante el derecho de petición del 20 de febrero de 2020, radicado ante su empleador RHS ALIANZA HOMECARE IPS S.A.S, en el que requería información de su contrato laboral como parte de las acciones de cobro de la obligación financiera cedida por Condensa a CRC OUTSOURCING S.A.S. La investigada actuó de una manera negligente al no conservar la información personal de la titular bajo condiciones de seguridad para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; puesto que divulgó los datos personales de la titular ante terceros no autorizados mediante la petición del 20 de febrero de 2020 radicada ante RHS ALIANZA HOMECARE IPS S.A.S, con el fin de llevar cabo el cobro de una obligación financiera.
Los datos públicos de los titulares también están protegidos por la Ley 1581 de 2012 y deben ser tratados por los Responsables con la autorización previa, expresa e informada del titular, así mismo, deben informarle el uso que se hará de los mismos. No opera el fenómeno de la caducidad en el presente caso, porque el evento que generó la vulneración del derecho de habeas data de la titular ocurrió el 20 de febrero de 2020, cuando la investigada envió a RHS ALIANZA HOMECARE IPS S.A.S un derecho petición solicitando información personal de la titular.
DÉCIMO TERCERO: Que analizadas todas las cuestiones planteadas con ocasión del Recurso y al tenor de lo dispuesto por el Código de Procedimiento Administrativo y de lo Contencioso Administrativo artículo 8043, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución impugnada, en la medida en que la sociedad recurrente no demostró que realizó el envío de la comunicación previa al Titular observando los veinte (20) días Resolución 53733 de 2022 obrante en el expediente bajo radicado 20-43267 Expediente digital, Consecutivo 39, Página 2, Folio 19 Resolución 53733 de 2022 obrante en el expediente bajo radicado 20-43267 Código de Procedimiento Administrativo y de lo Contencioso Administrativo.
“Artículo 80. Decisión de los recursos. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. [ ] La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso.” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” calendario de acuerdo a lo establecido en el artículo 12 de la Ley 1266 de 2008 Razón por la cual el acto administrativo recurrido será confirmado.
DÉCIMO CUARTO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad CRC OUTSOURCING S.A.S con Número de Identificación Tributaria 830.109.862-3, esta Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su Representante Legal vinculado al correo electrónico de notificación judicial de la sociedad, alex.russo@crc.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución número 53733 del 11 agosto de 2022, por las razones expuestas en la parte motiva de este Acto Administrativo.
ARTÍCULO SEGUNDO: CONCEDER el Recurso de Apelación interpuesto subsidiariamente por la sociedad sancionada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR a la sociedad CRC OUTSOURCING S.A.S con Número de Identificación Tributaria 830.109.862-3, la presente Resolución, a través de su Representante Legal o apoderado, entregándole copia de la misma.
ARTÍCULO CUARTO: COMUNICAR a la señora XXXXX XXXXX XXXXX XXXXX XXXXX, identificado con C.C. XXXXXX el contenido de la presente decisión.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
COMUNÍQUESE,
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 25 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2022.11.25 14:26:31 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DMPR/ Revisó: AMVJ/ Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Investigada: Entidad: CRC OUTSOURCING S.A.S Identificación: Nit.: 830.109.862-3 Representante Legal: SANDRA FANERY AGUIRRE SANDOVAL Identificación: C.C. No. 51721782 Dirección: Cra 7 No 155 C - 30 Centro Empresarial North Point Torre E Piso 26 Ciudad: Bogotá D.C. Correo electrónico: alex.russo@crc.com.co y puribe@crc.com.co Apoderado: XXXXXX XXXXXXX XXXXXXX XXXXXX Identificación: C.C XXXXXXXXX T.P. N° XXXXXXXXXXXX.
Dirección: XXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXX Correo electrónico: juanmacasas@hotmail.com COMUNICACIÓN: Señora: XXXX XXXX XXXXXX XXXX XXXXX XXXXX Identificación: C.C. No. XXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXXXXXX