REPÚBLICA DE COLOMBIA (julio 28 de 2021) Radicación: 19-233246 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO. Que mediante Resolución 74206 de 16 de diciembre de 20191 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar una investigación administrativa y formular pliego de cargos contra la sociedad BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 por la presunta contravención de lo dispuesto en: “El literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales a) y e) del artículo 4 y el artículo 15 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.”
SEGUNDO. Que una vez agotada la etapa probatoria, y efectuado el análisis de los elementos probatorios que reposan en el expediente, así como del escrito de descargos1 allegado por BANCO DE BOGOTÁ, la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 68380 de 28 de octubre de 2020, resolvió: ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 de TRESCIENTOS CINCUENTA Y UN MILLONES CIENTO VEINTE MIL SEICIENTOS VEINTISIETE PESOS M/CTE ($351.120.627), equivalentes a NUEVE MIL OCHOCIENTAS SESENTA Y UN (9.861) Unidades de Valor Tributario, por la transgresión lo dispuesto en (i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 y de conformidad con la parte motiva del presente acto administrativo. 1 Actuación radicada el 17 de diciembre de 2019, bajo el número 19-233246 RESOLUCIÓN NÚMERO 47280 DE 2021 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá́ consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.
El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución ancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la sociedad BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 de abstenerse de hacer tratamiento de los datos suministrados como referencia, para fines distintos al verificar la identidad de sus contratantes y su comportamiento con las obligaciones adquiridas, o en su defecto, deberá contar con el consentimiento previo, expreso e informado del respectivo titular del dato.
TERCERO. Que en el término legal establecido, mediante escrito de 20 de noviembre de 2020, el apoderado general y judicial del BANCO DE BOGOTÁ (en adelante la recurrente), interpuso recurso de apelación contra la Resolución No. 68380 de 28 de octubre de 2020, con fundamento en los siguientes argumentos: 1. Autorización expresa de la Titular del Dato personal para remisión de información a su celular del producto de su hijo, incluyendo la relativa a la cobranza del producto.
La recurrente afirma que: “En síntesis, para la SIC, el fundamento fáctico de la sanción lo constituye que el Banco de Bogotá haya contactado a la señora XXXXX XXXX para realizar gestiones de cobro de una obligación de un tercero (su hijo), presuntamente sin contar con su autorización. Frente a lo anterior, el Banco de Bogotá discrepa por completo de la apreciación contenida en la Resolución, como quiera que, de manera previa a la remisión de cualquier mensaje de texto con la finalidad de informar la existencia de una acreencia insoluta de su hijo, medió autorización expresa por parte de la señora XXXXX XXXX a favor del Banco de Bogotá para la remisión de información y correspondencia relacionada con el producto de su hijo a su teléfono celular.
Prueba de lo anterior es la grabación de la llamada realizada el 13 de julio de 2016 - obrante en el expediente y decretada como prueba dentro de la oportunidad legal respectiva- en donde se evidencia que el Banco no realizó una gestión de cobranza en tal llamada, sino que la misma se limitó a obtener la autorización correspondiente de parte de la señora XXXXX XXXX para comunicarse a su teléfono celular y remitirle información y correspondencia del producto que su hijo tenía con el Banco de Bogotá. (…) No hay duda de que cuando un banco le remite una comunicación a un cliente, informándole del vencimiento de una obligación y del estado de mora de la misma, dicha comunicación forma parte de la correspondencia cruzada entre el Banco y su cliente y contiene información relacionada con su producto.
Por lo que resultaría equivocado afirmar que, dado que el RESOLUCIÓN NÚMERO 47280 DE 2021 contenido de la misiva es la recordación de la obligación de pago, la comunicación deja de ser correspondencia y su contenido deja de ser información relacionada con el producto de un cliente. Muy por el contrario, del contexto completo de la llamada, la señora Xxxxx al otorgar autorización para el envío a su celular de información del producto de su hijo, previamente preguntó si se trataba de la tarjeta de crédito de este, agregó que si se trataba de una deuda que tiene por una tarjeta pues refirió que ella tenía información de que próximamente la iba a pagar, y finalmente ratificó su autorización y solicitó que el Banco se comunicara con su hijo a través de su celular, pues durante toda la llamada puso de presente que el celular de su hijo había sido bloqueado por robo, razón por la que, se insiste, autoriza que se utilice su teléfono como medio de contacto y remisión de información del producto de su hijo con el Banco.
(…) Por el contrario, como lo admite la SIC, toda remisión de información sobre el estado del producto del hijo de la señora Xxxxx fue posterior a la llamada surtida el 13 de julio de 2016, de suerte tal que no hubo remisión de mensajes con fines de cobro e información sobre el estado del producto, sin que mediara previa autorización de la titular del dato.
Nótese por lo demás, que la señora Xxxxx en momento alguno objetó y rechazó la llamada efectuada por el Banco, sino que su comportamiento fue inequívoco de aceptar tal contacto, lo que incluso fue posteriormente complementado con una autorización expresa y previa para continuar con el envío de información a su celular sobre el producto de su hijo, todo lo cual tenía como sustento que el celular del hijo había sido objeto de hurto, razón por la que no sólo autorizó sino solicitó que el Banco continuara con el envío de información a su celular y contactara a su hijo a través del mismo canal.
Así mismo, de la queja remitida por la señora Xxxxx se advierte que jamás cuestionó el contacto inicial realizado por el Banco, sino que desconociendo la autorización por ella otorgada, adujo que no había autorizado al Banco el envío de información relacionada con la cobranza del producto de su hijo, lo cual quedó por completo desvirtuado con la grabación de la llamada aportada.”. 2.
Graduación de la sanción – antecedentes de la SIC en la imposición de sanciones por cargos idénticos. “Banco de Bogotá obtuvo en forma legítima y bajo el amparo de la buena fe, de parte del hijo de su titular, los datos personales que fueron usados para contactar a la señora Xxxxx con el fin de obtener su autorización para la remisión de información sobre el producto que su hijo contaba en el Banco de Bogotá. Es decir, el Banco no accedió al dato de manera oculta o haciendo uso de mecanismos fraudulentos o engañosos a tales datos personales.
Tampoco hizo uso de mecanismos aleatorios para explotación y uso no autorizado de datos personales (mecanismos que han dado lugar a varias de las actuaciones administrativas sancionatorias por parte de la SIC) La titular del dato no objetó ni rechazó el contacto que el Banco de Bogotá tuvo el día 13 de julio de 2016, sino que, por el contrario, en dicha llamada consintió y solicitó que continuaran comunicándose a su celular y remitiéndole información del producto de su hijo, lo que precedió a la remisión de información relacionada con cobranza.
El primer contacto realizado por el Banco de Bogotá no tuvo por objeto realizar una gestión de cobranza; por el contrario, en dicho contacto se obtuvo autorización de la titular para la remisión de información del producto de su hijo, incluyendo información relativa a la cobranza y estado del producto, como es natural. RESOLUCIÓN NÚMERO 47280 DE 2021 Adicional a lo anterior, nos permitimos poner de presente los siguientes antecedentes de actuaciones sancionatorias adelantadas por la SIC, en donde se imputó la violación de la misma norma presuntamente trasgredida por el Banco, en donde esta autoridad ha impuesto sanciones significativamente menores, a pesar de la mayor gravedad de los hechos investigados (por su magnitud, puesta en peligro del interés jurídicamente tutelado, etc.), a saber: Página 7 del Recurso de apelación Por las razones antes expuestas, la recurrente solicita “revocar completamente la Resolución 68380 del 28 de octubre de 2020 objeto de impugnación. En subsidio, solicito graduar la sanción impuesta con base en las consideraciones contenidas en el presente escrito”2.
CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito del recurso de apelación contra la Resolución No. 68380 de 28 de octubre de 2020, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20113 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: 2 Página 8 del recurso de apelación. 3 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO 47280 DE 2021 “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”.
2. DE LOS DATOS PERSONALES DE TERCEROS SUMINISTRADOS COMO REFERENCIAS El número telefónico cuando se asocia al nombre de una persona adquiere la naturaleza de dato personal. Esa persona es el Titular del dato. En el presente caso, por ejemplo, la quejosa es la titular del número de su teléfono móvil suministrado por su hijo al Banco de Bogotá como una REFERENCIA PERSONAL.
En efecto, la sociedad recurrente mediante escrito radicado el 22 de febrero de 2019, bajo el número 18-201649-00006-0000 afirmó que: Efectivamente, en el expediente reposa copia del formulario en el cual se coloca la siguiente información de Xxx Xxxxxx Xxxxx quien aparece como REFERENCIA FAMILIAR del señor Xxxxxxxx Xxxxxxxxxx Xxxxx, tal y como se evidencia en la siguiente parte del formulario diligenciado el 25 de noviembre de 2014 y denominado “Solicitud Servicios Financieros Multiproducto”: RESOLUCIÓN NÚMERO 47280 DE 2021 (…) La expresión referencia significa, entre otras, lo siguiente: “(…). 6. f. Comúnmente en el ejercicio comercial, informe que acerca de la probidad, solvencia u otras cualidades de tercero da una persona a otra.”4.
Como se observa, el dato del número telefónico de la Titular del dato fue suministrado por un tercero para que se tenga como REFERENCIA PERSONAL, es decir para que, en caso de ser necesario, informe al Banco de Bogotá sobre la probidad, solvencia u otras cualidades del solicitante del producto que diligenció el citado formulario. Dado lo anterior, resulta pertinente traer a colación lo que ordena la Ley Estaturia 1581 de 2012 en el literal “Artículo 2°.
Ámbito de aplicación. (…) El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley;” Como se observa, la Ley Estatutaria 1581 de 2012 no aplica a las “bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”.
Para la Corte, la expresión “mantenidos en un ámbito exclusivamente personal o doméstico” no puede predicarse de las personas jurídicas ni comprende el tratamiento de datos cuando ellos circulan internamente5 en un una organización, gremio o grupo corporativo 6. En el artículo 2 del Decreto 1377 de 2013 se incorporó lo precisado por la Corte en el sentido de establecer que las bases de datos personales y domésticas son las de las personas naturales.
No obstante, según el decreto no basta que la base de datos sea de una persona 4 Cfr. Real Academia Española. Direccionario de la Lengua Española. https://dle.rae.es/referencia 5 Precisó la Corte que “no puede entenderse que el primer contenido normativo del literal a) se extienda al tratamiento de cualquier dato cuando circule internamente, como pretende ASOBANCARIA.
En primer lugar, (…) para que opere la excepción, por voluntad del legislador, se requiere además que los datos sean mantenidos por una persona natural en su esfera íntima. (…) En segundo lugar, (…) El que los datos no circulen o circulen internamente, no asegura que su tratamiento no pueda tener consecuencias adversas para su titular. Piénsese por ejemplo en las hojas de vida de los empleados de una empresa mantenidas en el ámbito interno; si bien no van a ser divulgadas a terceros, su tratamiento y circulación interna sí puede traer consecuencias negativas para el titular del dato (por ejemplo, en términos sancionatorios o de ascensos), razón por la cual deben estar sujetas a las reglas generales que consagra el proyecto de ley”.
(Corte Constitucional, sentencia C-748 de 2011, numeral 2.4.5.3.1) 6 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.4.5.3.1 RESOLUCIÓN NÚMERO 47280 DE 2021 natural sino que ésta se utilice dentro del contexto de “la vida privada o familiar” de esa persona. Si una persona va a suministrar a terceros los datos contenidos en sus bases de datos o archivos para fines personales o domésticos de contacto de sus amigos, deberá previamente informarles de ello al Titular del dato y solicitar la autorización del mismo para entregar esa información a terceros.
En el caso no se reposa en el expediente evidencia que ponga de presente que el Banco de Bogotá adoptó medidas para garantizar que el suministro de datos de referidos (terceros) se realice conforme a la ley. Es jurídicamente relevante que los Responsables se aseguren que quien le suministra información está legitimado porque, de lo contrario, se estaría avalando que terceros suministren datos de otras personas a empresas sin observar lo que ordena la ley.
En línea con lo anterior, el literal a) del artículo 4 de la Ley Estatutaria 1581 de 2012 ordena que “el tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen”. Así las cosas, la recolección, uso o tratamiento de datos no puede hacerse de cualquier forma sino únicamente de la manera que lo indica la ley.
El tratamiento de datos es una actividad reglada y debe efectuarse conforme a las normas. Por eso, el artículo 47 del Decreto 1377 de 2013 expresamente prohíbe “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. Si bien el Banco de Bogotá no fue sancionado por infringir el inciso 2 del literal a) del artículo 2 de la citada Ley, este Despacho considera relevante traer a colación dicho tema porque el tratamiento de datos debe hacerse conforme a la Ley desde el primer momento que se recolectan los datos personales.
3. LA AUTORIZACIÓN PREVIA EXPRESA E INFORMADA DEL TITULAR ES UN PRERREQUISITO PARA PODER TRATAR SUS DATOS PERSONALES Ordenan lo siguiente las normas que la Dirección considero infringidas por la recurrente: Ley Estatutaria 1581 de 2012:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;
ARTÍCULO 4 o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) 7 Denominado “Recolección de los datos personales”. RESOLUCIÓN NÚMERO 47280 DE 2021 c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
Decreto Único Reglamentario 1074 de 2015:
ARTÍCULO 2. 2.2.25.2.2. AUTORIZACIÓN. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.
Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. Como se observa, la regulación sobre protección de Datos personales impone cargas probatorias en cabeza del Responsable del Tratamiento. Entre otras, están las siguientes: a) Conservar prueba de haber informado al Titular del Dato, al momento de solicitarle la autorización, todo lo que ordena el artículo 12 de la Ley 1581 de 2012 y, cuando el Titular lo solicite, entregarle copia de ello. b) Informar al Titular de los Datos las finalidades especificas del Tratamiento. c) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva Autorización otorgada por el Titular.
Según la resolución recurrida, la sanción impuesta tuvo como origen una denuncia ciudadana en la que se pone de presente que el Banco de Bogotá ha utilizado el número telefónico de la Titular del dato para llamarla y enviarle mensajes de datos con el propósito de cobrarle una obligación dineraria que ella no adquirió. Manifestó la quejosa que, a pesar de no tener ninguna relación contractual o comercial con dicho banco, fue objeto de “una serie de cobros amenazantes e intimidatorios” mediante llamadas telefónicas y mensajes de texto por parte de dicha entidad.
Todo lo anterior se puede constatar a continuación: RESOLUCIÓN NÚMERO 47280 DE 2021 Durante la investigación se verificó que la ciudadana fue incluida como “referencia” en una solicitud de crédito y que ella no autorizó al banco para que usaran su información para adelantar gestión de cobro de cartera de un tercero. En las páginas 9 y 10 de la Resolución 68380 de 2020 se pone de presente evidencia de las múltiples comunicaciones del Banco de Bogotá para cobrar cartera: RESOLUCIÓN NÚMERO 47280 DE 2021 La sociedad recurrente afirma que por medio de una llamada realizada el 13 de julio de 2016 a la señora Xxx Xxxxxx Xxxxx Xxxx se obtuvo la Autorización de la Titular para remitirle información y correspondencia del producto que su hijo tenía con el Banco de Bogotá. Para el efecto, transcribe la siguiente conversación telefónica: Página 3 del recurso de apelación Ahora bien, la sociedad recurrente expresa su descontento a lo establecido en la resolución sancionatoria, toda vez que se le advierte a la sociedad que “el titular autorizó el envío posterior de “una correspondencia” y no de la permanente gestión de cobro”.
Según la recurrente: Página 4 del recurso de apelación RESOLUCIÓN NÚMERO 47280 DE 2021 De la transcripción de la conversación telefónica del 13 de julio se observa que la Titular del dato manifestó que “le pueden mandar a este número porque a él en este momento le robaron el celular”. Lo anterior no es suficiente para acreditar que el Banco de Bogotá obtuvo la autorización previa, expresa e informada para poder recolectar y usar los datos de la señora Xxxxx para realizar actividades de cobro de cartera.
Si ese era el objetivo de la recolección, el Banco de Bogotá debió ser claro, preciso y transparente con la Titular del dato. En efecto, este Despacho encuentra lo siguiente: En primer lugar, el dato del número telefónico lo obtuvo el Banco de Bogotá mediante el sistema de referidos en donde no se evidencia que se haya cumplido lo que ordena el inciso 2 del literal a) del artículo 2 de la Ley Estatutaria 1581 de 2012.
Como se mencionó, el dato del número telefónico de la Titular del dato fue suministrado por un tercero para que se tenga como REFERENCIA PERSONAL, es decir para que, en caso de ser necesario, informe al Banco de Bogotá sobre la probidad, solvencia u otras cualidades del solicitante del producto que diligenció el citado formulario. El Banco de Bogotá no puede utilizar ese dato para lo que quiera sino solo para lo que le permita el Titular del mismo o lo autorice la ley.
En ese sentido, este Despacho comparte lo establecido por la Dirección en la página 9 de la Resolución 68380 de 2020, a saber: En segundo lugar y en gracia de discusión que la primera recolección del dato haya sido lícita, la grabación de la llamada telefónica del 13 de julio no cumple lo requisitos legales para tenerse como una autorización legitimadora del tratamiento de datos personales.
Por lo tanto, es ilícito el uso del número telefónico de la Titular para fines de cobro de cartera. Lo anterior es así porque en esa llamada: a) No se comunican las finalidades específicas del Tratamiento de datos (cobro de deudas de un tercero -gestión de cobranza-) b) No se informa al Titular todo lo que ordena el artículo 12 de la Ley 1581 de 2012.
Deber recordarse que el consentimiento de la persona solo legitima el tratamiento de datos personales si cumple unos requisitos exigidos por la ley. En otras palabras, no basta ni es suficiente obtener una manifestación de voluntad de la persona ya que la misma debe ser previa, expresa e informada. De conformidad con el literal c) del artículo 4 de la Ley Estatutaria 1581 de 2012, el principio de libertad significa que “el tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el RESOLUCIÓN NÚMERO 47280 DE 2021 consentimiento”. El Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) no sólo reitera la necesidad de la autorización para el tratamiento de los datos al disponer que “salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular”8 sino que advierte que los medios para recolectar los datos deben ser lícitos y honestos: “No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales” 9.
La Corte Constitucional concluyó que el principio de libertad es “pilar fundamental de la administración de datos” que “permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos” 10. Esta elección voluntaria del titular es una manifestación su libertad de decidir sobre sus datos. Por eso, la Corte ha establecido “que con el principio de libertad previsto en el artículo 15 C.P., de acuerdo con el cual la legitimidad constitucional de los procesos de acopio, tratamiento y divulgación de datos personales se sustenta, entre otros aspectos, en que el sujeto concernido preste su autorización libre, previa y expresa”11.
Adicionalmente, “el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular”12. Sobre este aspecto la Corte Constitucional concluyó y precisó: “los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.
Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular”13. (Destacamos).
En suma, no se pueden recolectar Datos Personales para hacer un uso indiscriminado de los mismos, ni establecer finalidades ambiguas o indeterminadas. Sólo se permite tratarlos para propósitos concretos y específicos. El artículo 9 de la Ley 1581 de 2012 dispone que “sin perjuicio de las excepciones previstas en la ley14, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y, en este mismo sentido, el artículo 17 de dicha norma consagró como deber de los Responsables del Tratamiento el de “b) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.
El artículo 5 del Decreto 1377 de 201315, por su parte, establece que “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos 8 Cfr. Artículo 4 del Decreto 1377 de 2013 9 Cfr. Artículo 4 del Decreto 1377 de 2013 10 Cfr. Corte Constitucional, sentencia C- 748 de 2011, numeral 2.6.5.2.3 11 Cfr. Corte Constituciona, sentencia C-1011 de 2008 12 Cfr. Literal b) del artículo 4 de la ley 1581 de 2012. 13 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.6.5.2.2. 14 El artículo 10 de la Ley 1581 de 2012 ordena lo siguiente: “ARTÍCULO
10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” 15 Incorporado en el Decreto 1074 de 2015.
RESOLUCIÓN NÚMERO 47280 DE 2021 personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”. (Destacamos). Adicionalmente, el artículo 12 de la Ley 1581 de 2012 instituyó que el Responsable del Tratamiento al momento de solicitar la Autorización del Titular “(…) deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento (…)”.
En este orden de ideas, es pertinente indicar que el artículo 2.2.2.25.2.4 del Decreto 1074 de 201516 (Decreto 1377 de 2013, art. 7) estableció los diversos modos de obtener la Autorización para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, a saber: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.
Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.
De lo anterior, se entiende que el Titular ha dado su Autorización para el Tratamiento de sus Datos Personales cuando: (i) sea por escrito, (ii) sea verbal o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación del Titular que permitan concluir de forma razonable que otorgó la Autorización. En otras palabras, la Autorización también se podrá obtener a partir de conductas evidentes, claras e incontrovertibles del Titular que no admitan duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados.
En todo caso, y al margen del modo como se obtenga la Autorización, esta no solo debe ser previa e informada, sino que el Responsable del Tratamiento tiene la carga probatoria de acreditar evidencia de la Autorización y de que informó lo que ordena el artículo 12 de la Ley 1581 de 2012. 4. Dado lo anterior, la decisión de la Dirección se ajusta a derecho ya que la recurrente no obtuvo una autorización para utilizar el número telefónico de la Titular para fines de cobro de cartera (finalidad específica).
La sociedad recurrente tampoco demostró haber informado al Titular del Dato, al momento de solicitarle la Autorización, todo lo que ordena el artículo 12 de la Ley 1581 de 2012. Tampoco acreditó prueba del consentimiento previo, expresa e informado de la señora Prada para usar sus datos 16 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”.
RESOLUCIÓN NÚMERO 47280 DE 2021 personales para realizar labores de cobro de cartera de un tercero. DEL COBRO DE OBLIGACIONES DINERARIAS Es importante destacar que no solo es lícita la gestión de cobro y recuperación de cartera de crédito, sino que, es obligación de los deudores pagar oportunamente sus obligaciones dinerarias. No obstante lo anterior, vale la pena reiterar y llamar la atención respecto de los siguientes aspectos: a) El fin no justifica los medios.
Quien pretenda cobrar una suma de dinero no debe hacerlo de cualquier manera, sino con estricto cumplimiento de lo establecido en la ley. Colombia es un Estado Social de Derecho en el que no solo es "deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”17, sino que también, los particulares “son responsables ante las autoridades por infringir la Constitución y las leyes” 18. b) La recolección y uso de datos personales para utilizarlos con el propósito de adelantar gestiones de cobranza debe ser respetuoso de lo que ordena le Ley.
Es por eso que, entre otras, el artículo 15 de la Constitución ordena que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.
5. PROPORCIONALIDAD DE LA SANCIÓN ADMINISTRATIVA. Refiriéndose a la “constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato”, la Corte Constitucional precisó que la facultad investigativa y sancionatoria de esta entidad “es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”19.
La resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la 17 Cfr. Artículo 4 de la Constitución Política de Colombia 18 Cfr. Artículo 4 de la Constitución Política de Colombia 19 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.21.3.1 RESOLUCIÓN NÚMERO 47280 DE 2021 primera instancia que llevó a concluir y comprobar la vulneración por parte del Banco de Bogotá de la regulación sobre tratamiento de datos personales.
La sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos en la regulación sobre Tratamiento de Datos personales resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo apelado; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.
En todo caso, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. Por este motivo, es necesario reiterar lo siguiente: En primer lugar, el monto de la multa impuesta al Banco de Bogotá es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
De tal suerte que, la recurrente al desatender el deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva Autorización otorgada por el Titular vulneró los derechos que le asisten al Titular del Dato. De igual forma, desatendió sus deberes legales cuando por medio de la llamada telefónica, en ausencia de una Autorización, realizó un Tratamiento de los Datos personales de la quejosa.
No sobra señalar que la sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Dato personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia.
En todo caso, la multa impuesta es proporcional si se tiene en cuenta que el momento límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes, por lo que, para este caso, dicha multa, equivale al veinte por ciento (20%) del monto máximo permitido por la Ley.
Resulta útil mencionar, que, según la información reportada por la sociedad en el Registro Nacional de Bases de Datos, el BANCO DE BOGOTÁ trata Datos personales de tres millones ciento sesenta y seis mil cuatrocientos noventa y un (3.148.987) clientes. Lo cual lo obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.
La vulneración del derecho de la protección de Datos no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
RESOLUCIÓN NÚMERO 47280 DE 2021 Así las cosas, la defensa de un derecho fundamental no puede doblegarse ante los intereses económicos de un Responsable que violentó el ordenamiento jurídico. Por los motivos expuestos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.
Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta mediante la Resolución No. 68380 de 28 de octubre de 2020 ($351.120.627) equivale al 20% del máximo legal permitido por el artículo 23 de la Ley 1581 de 2012. ii. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. iii. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. iv.
Las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de Datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de Datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos.
6. LOS PRECEDENTES NO HACEN PARTE DE LOS CRITERIOS DE TASACIÓN Y GRADUACIÓN DE LAS SANCIONES ESTABLECIDO EN LA LEY 1581 DE 2012 Argumentó lo siguiente la recurrente en el recurso de apelación: RESOLUCIÓN NÚMERO 47280 DE 2021 Sobre el particular es necesario tener presente lo siguiente: En primer lugar, los criterios de graduación de las sanciones son los señalados por el artículo 24 de la Ley Estatutaria 1581 de 2012.
Allí no se menciona las multas previas como factor de graduación de la sanción. En efecto, dicha norma dice lo que sigue a continuación: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Sobre este artículo, la Corte Constitucional señaló que “este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución” 20 Como se observa, la Ley Estatutaria 1581 de 2012 no establece una tabla de montos o una “tarifa legal” por cada infracción a una norma, sino que ordena que se consideren los criterios precitados a la luz de las particularidades de cada caso.
Resulta pertinente resaltar que el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. Los “intereses jurídicos tutelados por la presente ley” a que se refiere el literal a) del artículo 24 son, ni mas ni menos, todos los derechos de millones de personas que se pueden ver vulnerados por el indebido tratamiento de sus datos personales como, entre otros, su buen nombre, el debido proceso, la libertad, el habeas data.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”21. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un 20 Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.23.3. 21 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. RESOLUCIÓN NÚMERO 47280 DE 2021 elemento esencial de la democracia22. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. En segundo lugar, las decisiones de la administración no necesariamente deben ser iguales en abstracto.
Pues, todo dependerá de los supuestos fácticos, el material probatorio y las circunstancias de cada caso. En este sentido, la Corte Constitucional ha establecido que “la igualdad es un concepto relacional por lo que no puede aplicarse en forma mecánica o automática, pues no solo exige tratar igual a los iguales, sino también desigualmente las situaciones y sujetos desiguales”23 (Destacamos) En tercer lugar, los casos a los que se refiere la recurrente no son idénticos a los cobijados por la resolución recurrida, pues la situación particular de los sujetos, hechos y derechos vulnerados, difieren.
Y estas circunstancias especiales son las que dan lugar a determinar el monto de la sanción en cada caso. Es preciso señalar que a 27 de julio de 2021 se han impuesto 964 multas por infracciones al régimen legal del Tratamiento de Datos Personales. Todas suman $53.356.547.518. De acoger la tesis de la recurrente, esta entidad debería comparar las 964 multas con las particularidades del caso del Banco Bogotá. Ello haría inviable e ilegal la facultad sancionatoria por la cantidad de casos y porque los factores de graduación no son los precedentes sino los criterios establecidos en el artículo 24 de la Ley de 1581 de 2012.
Ahora bien, es relevante señalar que existen decisiones en los que se han impuesto multas por montos similares o superiores a los previstos en el acto administrativo recurrido. Tal es el caso, por ejemplo, de las resoluciones número: • 10720 de 2020 (Multa de $350,070,000), • 37701 de 2021 (Multa de $479.265.600) En todo caso, la imposición de cada multa no es un acto caprichoso o arbitrario sino ajustado a derecho siguiendo lo establecido en el precitado artículo 24 y teniendo en cuenta las particularidades de cada actuación administrativa.
Con apoyo en estos argumentos, no se acogerán las peticiones de la recurrente. Aunque las razones anteriores son suficientes para confirmar la Resolución No. 68380 de 28 de octubre de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. ii. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y Responsabilidad jurídica de los Administradores Artículo de la Carta Democrática Interamericana la cual se http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 23 Cfr. Corte Constitucional, sentencia C-106 de 2004.
M.P. Dra. Clara Inés Vargas Hernández puede consultar en: RESOLUCIÓN NÚMERO 47280 DE 2021
7. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.
Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”24. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de estos como consecuencia del almacenamiento en sus Bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2625 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”26 24 Cfr. Corte Constitucional, sentencia T-227 de 2003. 25 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 26 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a RESOLUCIÓN NÚMERO 47280 DE 2021 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada27(accountability)28”.
El término “accountability”29, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.
Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza30 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. El mismo, exige que los responsables y encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales.
El éxito de este dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 28 “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 29 Cfr. Grupo de trabajo de protección de datos del artículo 29.
Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 30 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. RESOLUCIÓN NÚMERO 47280 DE 2021 para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 31.
(Énfasis añadido). El Principio de Responsabilidad Demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 32, es destacable que el Principio de Responsabilidad Demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”33.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 34. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”35. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su 31 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales.
Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 33 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 34 Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hablecorrectamente-de-compliance-iii/ 35 Idem. RESOLUCIÓN NÚMERO 47280 DE 2021 compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability).
En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”36 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”37.
8. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES Según el artículo 22 de la Ley 222 de 199538 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2439 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 37 Ibidem. 38 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 39 Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores.
El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. RESOLUCIÓN NÚMERO 47280 DE 2021 Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23.
Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”40. Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales.
En virtud de lo expuesto, se considera imprescindible que los Administradores de la sociedad recurrente implementen en la práctica todo lo que ordena la regulación sobre tratamiento de datos personales. 9. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por las siguientes razones: i. Durante la investigación se verificó que la ciudadana fue incluida como “referencia” en una solicitud de crédito y que ella no autorizó al banco para que usaran su información para adelantar gestión de cobro de cartera de un tercero. ii.
Es jurídicamente relevante que los Responsables se aseguren que quien le suministra información está legitimado para hacerlo porque, de lo contrario, se estaría avalando que terceros suministren datos de otras personas a empresas sin observar lo que ordena la ley. iii. La grabación de la llamada telefónica del 13 de julio no cumple lo requisitos legales para tenerse como una autorización legitimadora del tratamiento de datos personales.
Por lo tanto, es ilícito el uso del número telefónico de la Titular para fines de cobro de cartera. Lo anterior es así porque en esa llamada: a) No se comunican las finalidades específicas del tratamiento de datos (cobro de deudas de un tercero -gestión de cobranza-), y b) No se informa al Titular todo lo que ordena el artículo 12 de la Ley 1581 de 2012. iv.
El consentimiento de la persona solo legitima el Tratamiento de datos personales si cumple unos requisitos exigidos por la ley. En otras palabras, no basta obtener una manifestación de voluntad de la persona ya que la misma debe ser previa, expresa e informada. v. Es obligación de los deudores pagar oportunamente sus obligaciones dinerarias.
De igual forma, es lícita la gestión de cobro y recuperación de cartera de crédito. No obstante lo anterior, el fin no justifica los Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 40 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.
RESOLUCIÓN NÚMERO 47280 DE 2021 medios. Quien pretenda cobrar una suma de dinero no debe hacerlo de cualquier manera, sino con estricto cumplimiento de lo establecido en la ley. vi. La recolección y uso de datos personales para utilizarlos con el propósito de adelantar gestiones de cobranza debe ser respetuoso de lo que ordena le Ley. Es por eso que, entre otras, el artículo 15 de la Constitución ordena que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución” vii.
Los criterios de graduación de las sanciones son los señalados por el artículo 24 de la Ley Estatutaria 1581 de 2012. Allí no se menciona las sanciones previas como factor de graduación de la sanción. La Ley Estatutaria 1581 de 2012 no establece una tabla de montos o una “tarifa legal” por cada infracción a una norma sino que ordena que se consideren los criterios precitados a la luz de las particularidades de cada caso concreto. viii.
Las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de los supuestos fácticos, el material probatorio y las circunstancias de cada caso. En este sentido, la Corte Constitucional ha establecido que “la igualdad es un concepto relacional por lo que no puede aplicarse en forma mecánica o automática, pues no solo exige tratar igual a los iguales, sino también desigualmente las situaciones y sujetos desiguales”. ix.
El BANCO DE BOGOTÁ trata Datos personales de tres millones ciento sesenta y seis mil cuatrocientos noventa y un (3.166.491) clientes. Lo cual lo obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los titulares de los datos. x. La resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración de los mandatos legales señalados. xi. La multa impuesta mediante la Resolución No. 68380 de 28 de octubre de 2020 ($351.120.627) equivale al 20% del máximo legal permitido dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad la Resolución No. 68380 de 28 de octubre de 2020.
En mérito de lo expuesto, este Despacho, RESOLUCIÓN NÚMERO 47280 DE 2021
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes contra Resolución No. 68380 de 28 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. Notificar personalmente el contenido de la presente resolución al BANCO DE BOGOTÁ identificada con el Nit. 860.002.964-4 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. Comunicar el contenido de la presente decisión a la señora Xxx Xxxxxx Xxxxx Xxxx identificada con la Cédula de Ciudadanía No. xx.xxx.xxx o a su apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., julio 28 de 2021 El Superintendente Delegado para la Protección de Datos Personales NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.07.28 16:18:15 -05'00' Nelson Remolina Angarita ALC RESOLUCIÓN NÚMERO 47280 DE 2021 Notificación Investigada Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Banco de Bogotá Nit. 860.002.964-4 Alejandro Augusto Figueroa Jaramillo C.C. 8.228.877 Calle 36 #7-47 P 15 Bogotá D.C., rjudicial@bancodebogota.com.co Apoderado Señor: Identificación: Tarjeta Profesional: Correo electrónico: Ciudad: Xxxx Xxxxxx Xxxxxxxxx Xxxxxxx C.C xx.xxx.xxx Nº xxx.xxx del C.S.J. xxxxxxx@xxxxxxxxxxxxx.xxx.xx Xxxxxx X.X., Comunicación Señora: Identificación: Correo electrónico: Xxx Xxxxxx Xxxxx Xxxx C.C. Nº xx.xxx.xxx xxxxxxxxxx@xxxxxxx.xxx