(Marzo 14 de 2022) Radicación 19-33867 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante la Resolución No. 20167 de 14 de abril de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad UNE EPM TELECOMUNICACIONES S.A. identificada con el Nit. 900.092.385-9 de OCHENTA Y CINCO MILLONES TREINTA Y TRES MIL TRESCIENTOS TREINTA Y SEIS PESOS M/CTE ($85.033.336) equivalentes a DOS MIL TRESCIENTAS CUARENTA Y DOS (2.342) Unidades de Valor Tributario, por la transgresión de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y de conformidad con la parte motiva del presente acto administrativo.
( )"
SEGUNDO. Que mediante escrito radicado bajo el No. 19-33867-31 de 7 de mayo de 2021, la sociedad UNE EPM TELECOMUNICACIONES S.A. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 20167 de 14 de abril de 2021.
TERCERO. Que mediante la Resolución No. 41665 de 6 de julio de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por el recurrente, confirmando en todas sus partes la Resolución 20167 de 14 de abril de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.
CUARTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto contra la Resolución 20167 de 14 de abril de 2021. Con este propósito, iniciará con el resumen de los argumentos expuestos por la recurrente:
1. INDEBIDA VALORACIÓN PROBATORIA “El 26 de julio de 2018, el señor Xxxxxxxx Xxxx Xxxxxxxx interpuso una queja de servicio, radicado xxxxxxxxxxxxxxxx, mediante la cual nos manifiesta su inconformidad por los mensajes asociados a los numero de contrato xxxxxxxx y xxxxxxxx, que no tiene relación con dichos contratos. Esta solicitud fue resuelta favorable el 02 de agosto de 2018.
( ) Posteriormente, El día 10 de septiembre de 2018, usuario radica queja servicio No xxxxxxxxxxxxxxxx; mediante la cual nos manifiesta su inconformidad con la gestión de cobro que se le realiza en atención a los contratos xxxxxxxx y xxxxxxx, ya que no tiene ningún vínculo con los mismos y por ende solicita no se le continúen enviando mensajes de cobro, dicha PQR fue resuelta de forma favorable el día 11 de septiembre de 2018 informándole que “se procedió con la HOJA Nº desactivación de su número telefónico de nuestra base de datos con el fin de evitar que se presenten situaciones similares” ( ) El 8 de noviembre de 2018, usuario interponte queja servicio bajo radicado 1- 15421335215038, Ley Habeas Data, mediante la cual nos manifiesta su inconformidad debido a que le están llegando mensajes de cobro de unos contratos que no le corresponden, motivo por el cual, ha colocado las reclamaciones con radicado xxxxxxxxxxxxxxxx del 26 de julio del 2018, con respuesta del 02 de agosto del 2018, donde le dan favorabilidad, y radicado xxxxxxxxxxxxxxxx, con respuesta del 19 de octubre del 2018, en el cual, no le dan favorabilidad porque supuestamente todo está corregido, nuevamente expresa su molestia porque le siguen llegando mensajes de texto a su celular personal, por lo tanto, no desea le sigan llegando.
( ) El dia 23 de noviembre de 2018, se emite respuesta a la queja servicio No xxxxxxxxxxxxxxxx. ( ) El día 5 de enero de 2019, bajo solicitud xxxxxxxxxxxxxxxx, se interpone queja servicio, mediante la cual nos manifiesta su inconformidad debido a que le están llegando mensajes de cobro de un contrato que no le corresponde, requiere se valide y no le vuelvan a llegar.
( ) Se emitió respuesta el día 9 de enero de 2019, para el radicado xxxxxxxxxxxxxxxx: “( ) Hemos recibido su comunicación el día 04 de enero del 2019, identificada en nuestro sistema de información con el número xxxxxxxxxxxxxxxx, mediante la cual nos manifiesta su inconformidad debido a que le están llegando mensajes de cobro de un contrato que no le corresponde, requiere se valide y no le vuelvan a llegar.
Nos permitimos informarle que, los mensajes virtuales que enviamos tienen como propósito mantener informados a nuestros clientes sobre el estado de sus pagos. Pero teniendo en cuenta que usted nos informa que no le pertenece, procedimos a validar en nuestros sistemas y corroboramos que el cobro del contrato que nos menciona no está a su nombre, sin embargo, se evidencia que ya le fue desactivado su línea móvil desde el 02 de agosto del 2018, por lo tanto, no se ejecuta ninguna acción. Dadas las condiciones que anteceden, le indicamos que debido a su inconformidad de forma interna realizamos la debida gestión con nuestra área de crédito y cartera para que se actualice de nuevo la base de datos, con el fin de evitar que se presente de nuevo tal situación. En este punto es pertinente mencionar que, nuestra empresa actúa con el principio de buena fe y que la información suministrada por cada usuario corresponda a sus datos personales, igualmente, se resguardan sus datos e información personal de manera confidencial, como lo estipula la ley.
Ahora bien, con relación a la calidad en la atención por parte de nuestro personal en la línea de servicio al cliente, lamentamos los inconvenientes que esta situación le haya ocasionado, a su vez tomamos los correctivos necesarios y realizamos las retroalimentaciones correspondientes con nuestro personal implicado con el fin de mejorar nuestros procesos e índices de calidad.
( )” “( ) sumado al hecho de que la Compañía dio respuesta a todas las peticiones presentadas por el señor XXXX XXXXXXX XXXXXXXX dentro de la oportunidad legal de forma favorable, informando que se desactivaría el número telefónico de la base de datos, es preciso indicar que desde el 28 de julio de 2018, la línea XXXXXXXXXX, se encuentra desactivada en adminfo y Analytics, es decir que fue eliminada de la plataforma para envíos de mensajes de texto ( ) ( ) es claro que la Superintendencia de Industria y comercio no realizó una adecuada valoración de las pruebas aportadas por la Compañía en el escrito de descargos, pues se encuentra demostrado HOJA Nº que la línea XXXXXXXXXX fue desactivada de nuestro sistema de acuerdo a las solicitudes presentadas por el señor Xxxxxxxx.
Adicional a lo anterior, es pertinente señalar también que revisada la información correspondiente a los contratos indicados por el denunciante, estos estaban en cabeza de la compañía FORINOX y las misma al momento de la firma del contrato estableció como contacto el número XXXXXXXXXX ( ) ( ) se destaca que los números a los que la compañía realiza gestión de cobro no son tomados de manera aleatoria, sino que son aportados por los titulares de los servicios.
Además de lo narrado con anterioridad, la línea xxxxxxxxxx, fue incluida en listas para evitar que el titular de la misma reciba mensajes que no le corresponden ( ) 2. AFECTACIÓN A LA LIBERTAD DE EMPRESA “De la Resolución Impugnada es posible evidenciar que cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, que está relacionada con la documentación e implementación de un procedimiento efectivo y verificable para atender de manera inmediata los requerimientos de rectificaciones y/o supresión de datos, está tomando decisiones que no resultan proporcionales ni ajustadas al caso que pretende resolver.
Conforme se observa, la SIC optó por ordenar a UNE implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio, en tanto pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.
( )”.
3. ANÁLISIS DE LOS FACTORES DE GRADUACIÓN DE LA SANCIÓN “Mi representada no desconoce que su objeto social está relacionado con la prestación de servicios públicos y que la normatividad, en especial la establecida en la Ley 1581 de 2012, se fundamentan en las facultades que permiten la protección de los derechos de los Titulares y justifican el actuar de las autoridades como respuesta al principio de intervención del Estado, pero también es cierto que estas mismas normas también se complementan con lo establecido en las normas que constituyen el procedimiento administrativo y el procedimiento civil, porque existen intereses particulares que deben ser configurados de esta manera.
Así, si bien la discrecionalidad es un aspecto que faculta al fallador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, esos criterios que acoge para imponerla deben ser soportados en bases jurídicas y fácticas y explicados claramente al sancionado para que tenga la posibilidad de controvertirlos.
La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad pues ello desdice del Estado Social de Derecho. ( ) en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios analizados al imponer la sanción a mi representada, lo que le impide a la Compañía controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la sociedad UNE EPM TELECOMUNICACIONES, contrariando lo manifestado por la jurisprudencia Como se ha insistido a lo largo del presente escrito, la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al usuario ni tener en cuenta que, como se indicó en varias ocasiones, se accedió favorablemente a su solicitud realizando el cobro a la persona que adquirió los servicios, ya que el caso analizado parte de un hecho privado y concreto relacionado con la reclamación de un usuario.
HOJA Nº
4. CUANTIFICACIÓN DE LA SANCIÓN IMPUESTA Proporcionalidad de las medidas del Estado cuando actúa en virtud de la potestad sancionatoria. Tal y como lo ha señalado la Corte Constitucional, el derecho fundamental al Debido proceso comprende, no solamente las garantías del artículo 29 de la Carta, sino también otro cúmulo de valores y principios de la misma raigambre constitucional que hacen que vaya más allá del cumplimiento por parte de las autoridades de los requisitos que la ley procesal impone, lo anterior a través de la irrestricta observancia de los demás derechos que permitan la vigencia de un orden justo.
Así pues, la misma Corte Constitucional ha mencionado que una arista del principio de la buena fe y del derecho fundamental al debido proceso es la proporcionalidad en la sanción o prestación impuesta. [la] proporcionalidad es también un postulado que informa toda la actividad administrativa y no pretende otra cosa que la adecuación entre medios y fines, entre las medidas utilizadas y las necesidades que se tratan de satisfacer.
( ) PRETENSIONES PRIMERO: REVOCAR íntegramente la decisión adoptada mediante la Resolución No 20167 del 14 de abril del 2021 y en su lugar se sirva absolver a la Compañía UNE EPM TELECOMUNICACIONES S.A. respecto de los cargos formulados mediante la Resolución 44631 del 04 de agosto de 2020, conforme a los descargos y pruebas que integran y acompañan el presente documento.
SEGUNDO: DISPONER el archivo de la actuación administrativa objeto del presente recurso.
TERCERO: Si el Despacho insiste en imponer sanción por supuesto incumplimiento, entonces ésta sea la mínima establecida en la norma para este tipo de casos. PETICIÓN SUBSIDIARIA: Que se conceda el Recurso de Apelación en el evento en que el Recurso de Reposición interpuesto como principal sea resuelto de manera desfavorable para mi representada.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).
2. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS. CARGA DE LA PRUEBA Tal como quedó establecido en los actos administrativos 20167 de 14 de abril y 41665 de 6 de julio, ambos del año 2021, se realizó una adecuada y completa valoración probatoria de todos los elementos que reposan en el expediente, lo cual permitió concluir que se incumplió el deber 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
HOJA Nº contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley. Frente a este punto, es importante decir que no es aceptable el argumento de la recurrente según el cual, “( ) sumado al hecho de que la Compañía dio respuesta a todas las peticiones presentadas por el señor XXXX XXXXXXX XXXXXXXX dentro de la oportunidad legal de forma favorable, informando que se desactivaría el número telefónico de la base de datos, es preciso indicar que desde el 28 de julio de 2018, la línea (…) se encuentra desactivada en adminfo y Analytics, es decir que fue eliminada de la plataforma para envíos de mensajes de texto.
(…) es claro que la Superintendencia de Industria y comercio no realizó una adecuada valoración de las pruebas aportadas por la Compañía en el escrito de descargos, pues se encuentra demostrado que la línea ( ) fue desactivada de nuestro sistema de acuerdo a las solicitudes presentadas por el señor Xxxxxxxx". En orden a desatar el recurso, es necesario tener en cuenta que el ciudadano, de acuerdo con lo informado incluso por la misma investigada, presentó en varias oportunidades (iniciando el 26 de julio de 2018) la solicitud de supresión de sus Datos personales, tal como se puede corroborar con la información suministrada por la propia recurrente, mediante el escrito radicado bajo el No. 1933867-08 de 23 de mayo de 2020: Lo anterior debido a que, en concepto de la Superintendencia, mi representada no garantizó al Titular el efectivo ejercicio de su derecho de habeas data al no cesar en el tratamiento de sus datos personales de acuerdo con su solicitud.
II. OPORTUNIDAD PARA PRESENTAR RECURSO DE REPOSICIÓN Y APELACIÓN. De conformidad con lo dispuesto por su despacho en la parte resolutiva de la Resolución De igual manera, como quedó establecido en la Resolución No. 41665 de 6 de julio de 2021, la 20167 del 14 de abril de 2021, procede el recurso de reposición y apelación dentro de los investigada activó sus protocolos delaDatos personales no como consecuencia de la 10 días hábiles siguientesde a laprotección notificación de Resolución. solicitud presentada por el quejoso, sino por la denuncia que él presentó ante esta autoridad actose puede administrativo que se que, recurreno fue notificado a mies representada el 16elde abril de 2019 que no se le administrativa.
ElNo olvidar solamente injusto con ciudadano mediante aviso recibido en la Compañía el 22 de abril de 2021, por tanto, nos encontramos garantice el respeto efectivo de sus derechos, sino que, no se deben normalizar las malas prácticas en la oportunidad legal, es decir, dentro de los 10 días hábiles conferidos en la resolución empresariales, deuna sola solicitud por los parte de concedidos, un ciudadano con el de que se suprima su la referencia para presentar recursos considerando quefin el término antes información personal debería ser suficiente parael día que se cumpla laentrega petición losesto es términos previstos indicado se empieza a contar al finalizar siguiente al de la del en aviso, el 23 de abril de 2021 y finaliza el 6 de mayo de 2021. en la ley.
Para una mejor ilustración deIII. lo anterior se relacionarán los argumentos FUNDAMENTOS DE HECHO Y DERECHO. expuestos por la recurrente en el escrito radicado bajo el No. 19-33867-31 de 7 de mayo de 2021 (recurso de reposición y en subsidio apelación en contra de la Resolución No. 20167 de 14 de abril de 2021):
1. INDEBIDA VALORACIÓN PROBATORIA 1. El día 26 de julio de 2018, el señor Restrepo Hugo Armando interpuso una queja servicio, radicado 1-12170184419481, mediante la cual nos manifiesta su inconformidad por los mensajes asociados a los numero de contrato 11484144 y 7854293, que no tiene relación con dichos contratos. Esta solicitud fue resuelta favorable el 02 de agosto de 2018: Página 2 radicado No. 19-33867- -00031 de 7 de mayo de 2021 Hemos recibido su comunicación el día 26 de julio de 2018, identificada en nuestro sistema de información con el número 1-12170184419481, mediante la cual nos manifiesta su inconformidad con la gestión de cobro que se le realiza de los contratos 11484144 y 7854293 ya que no tiene ningún Posteriormente, 10 de septiembre 2018, usuariomensajes radica que queja No a su vínculo con estos yEl pordía ende solicita no se le de continúen enviando noservicio correspondan 1-13915495102164; mediante la cual nos manifiesta su inconformidad con la contrato. gestión de cobro que se le realiza en atención a los contratos 11484144 y 7854293, ya tiene ningún vínculo losbrindar mismos y por al ende solicita noantes se lecitado, continúen Nosque no permitimos informarle que, encon pro de solución inconveniente se procedió con la desactivación de su número telefónico 3117247695 de nuestra base de datos con el fin de evitar que se presenten situaciones similares.
Nuestra empresa actúa con el principio de buena fe y que la información suministrada por cada usuario corresponda sus datos personales. Página 4 radicadoa No. 19-33867-00031 de 7 de mayo de 2021 De igual manera queremos indicarle que en nuestra compañía valoramos cada uno de los contactos que a diario tenemos con los clientes, pues los consideramos una oportunidad para aprender y mejorar la atención y la prestación de nuestro servicio.
HOJA Nº Numero de radicado Destionatario Notificación digital de la respuesta a la queja servicio No 1-15421335215038. enviando mensajes de cobro, dicha PQR fue resuelta de forma favorable el día 11 de septiembre de 2018 informándole que se procedi con la desactivaci n de su número telefónico de nuestra base de datos con el fin de evitar que se presenten Estado de la notificacion situaciones similares.
Fecha de Radicado notificacion recibido su comunicación el día 05 de septiembre de 2018, identificada en nuestro sistema DestinatarioHemosPágina 5 radicado No. 19-33867- -00031 de 7 de mayo de 2021 1. de información con el número 1-13915495102164, mediante la cual nos manifiesta su inconformidad con la gestión de cobro que se le realiza en atención a los contratos 11484144 y 7854293, ya que no El 8 de noviembre delos2018, usuario interponte queja enviando serviciomensajes bajo de cobro radicado 1tiene ningún vínculo con mismos y por ende solicita no se le continúen ya que anteriormente se le ha indicado que su línea perosulos mensajes continúan, 15421335215038, Ley Habeas Data, mediante la quedaría cual nos retirada manifiesta inconformidad debido a que en casode de no atender se dirigiría a lale corresponden, superintendencia.motivo por el cual, ha le estánargumenta llegando que mensajes cobro de su unospetición contratos que no colocado las reclamaciones con radicado 1-12170184419481 del 26 de julio del 2018, con respuesta del 02 Nosdel permitimos informarle que, los mensajes y virtuales que enviamos tienen como con propósito mantener de agosto 2018, donde le dan favorabilidad, radicado 1-14323172627576, respuesta del 19 de a nuestros clientes sobre el estado deporque sus pagos. octubreinformados del 2018, en el cual, no le dan favorabilidad supuestamente todo está corregido, nuevamente expresa su molestia porque le siguen llegando mensajes texto a su celular personal, por lo tanto, no Estado deldemensaje Fecha de notificación teniendo en cuenta que usted nos informa que no le pertenece, procedimos a validar en nuestros desea lePero sigan llegando. sistemas y corroboramos que el cobro de los contratos que nos menciona no están a su nombre, por Página 8suradicado 19-33867-00031 de 7 dedemayo deen2021 lo tanto, eliminamos número No. telefónico de nuestra base de datos clientes cartera, con el fin de evitar que se presente de nuevo tal situación. Radicado El día 5 de eneropunto de es 2019, bajo solicitud 1-17165443921328, seactúa interpone servicio, mediante En este pertinente mencionar que, nuestra empresa con el queja principio de buena fe y que Inconformidad del usuario la manifiesta información su suministrada por cada usuario corresponda datos personales, igualmente, la cual nos inconformidad debido a que le están a sus llegando mensajes de cobro de unse resguardan e información personal de y no manera confidencial, como lo estipula la ley. contrato que no le sus datos corresponde, requiere se valide le vuelvan a llegar.
De igual manera queremos indicarle que en nuestra compañía valoramos cada uno de los contactos Página 12 radicado No. 19-33867- -00031 de 7 de mayo de 2021 Radicado que a diario tenemosFecha con los clientes, pues los consideramos una oportunidad para aprender y mejorar la atención y la prestación de nuestro servicio. Luego de esto, la recurrente reitera que dio respuesta favorable a todas las peticiones presentadas Por esto, es muy importante para nosotros conocer los comentarios y sugerencias que vayan encaminados por el Titular de la información dentro de la oportunidad legal.
Sin embargo, en este punto vale la a mejorar la calidad de nuestra labor. pena poner de presente la queja que envió el Titular de los Datos el día 4 de enero de 2019 a la Le agradecemos de su comunicado, comentarios, permiten implementar investigada, la cual incluye las el envío imágenes de losya que sus mensajes denostexto de fecha 5 de septiembre de acciones de mejora para prestar cada día un mejor servicio y establecer procesos que nos ayuden a 2018; 3 de octubre de 2018; noviembre de y2018; 4 de diciembre dede2018; perseverar6ende la búsqueda de soluciones consecuentemente, mejorar los índices calidad yy 4 de enero de 2019, enviados por parte de laatención. recurrente al quejoso: 2.
El dia 23 de noviembre de 2018, se emite respuesta a la queja servicio No 1-15421335215038. Anexo: Imagen de los mensajes de texto que me llegaron el 5 de septiembre, los 03 de octubre, los del 06 de noviembre y los del 4 de diciembre de 2018 y los de hoy 4 de enero de 2019: 04 de enero de 2019 04 de diciembre de 2018 06 de noviembre de 2018 05 de septiembre de 2018 03 de octubre de 2018 HOJA Nº HOJA Nº Como se vio, no es cierto lo que afirma la investigada en el escrito del recurso.
Esta Superintendencia sí realizó una adecuada valoración de las pruebas aportadas por la recurrente, así como de los demás elementos probatorios que reposan en el expediente. A juicio de la investigada ella demostró que la línea xxxxxxxxxx fue desactivada de su sistema de acuerdo con las solicitudes presentadas por el señor Xxxxxxxx, sin embargo como se puede ver en las pruebas aportadas por el ciudadano eso no fue así, pues desde el 26 de julio de 2018 que presentó la primera queja de manera directa ante el operador de telecomunicaciones hasta el 4 de enero de 2019, el ciudadano seguía recibiendo los mensajes de texto que en múltiples oportunidades había pedido dejar de recibir en virtud de la solicitud de supresión de Datos que había presentado ante la recurrente.
Por lo anterior, el argumento presentado por la recurrente no es acogido por este Despacho.
3. DE LAS “LISTAS NEGRAS” En la página 16 del recurso presentado por la investigada se hace la diferenciación entre lista blanca y negra. En la siguiente gráfica suministrada por UNE EPM TELECOMUNICACIONES S.A. se incluye el número de identificación del quejoso (Titular del Dato): La expresión “listas negras” 2 utilizadas por UNE EPM TELECOMUNICACIONES S.A. se ha vinculado a la recopilación de Datos exclusivamente desfavorables sobre las personas.
De entrada, se asocian esas listas para usos meramente negativos, discriminatorios o ilegales. En este sentido, la Corte Constitucional señaló, en la Sentencia T-987 de 2012, lo siguiente, “como se explicó en precedencia, la jurisprudencia constitucional ha fijado una prohibición general para la conformación de listas de información personal con consecuencias exclusivamente desfavorables para el titular del Esta Delegatura se suma a lo expresado en la nota de pie de página número 35 de la sentencia T-978 de 2012 respecto de la expresión “listas negras”: “Podría considerarse válidamente que esta expresión pudiese ser vinculada con algún factor de índole racial, lo que de suyo generaría una evidente discriminación, en tanto referiría el concepto “negro” con información desfavorable.
No obstante lo anterior, también debe resaltarse que la doctrina comparada ha utilizado uniformemente el concepto “listas negras” o su par en idioma inglés blacklisting, para denominar la recopilación de información sobre datos exclusivamente desfavorables para el titular. Ante esta denominación y los problemas constitucionales que podría plantear desde determinada perspectiva, la Sala prescindirá de hacer uso de la expresión listas negras, salvo que se trate de citaciones de documentos que hagan uso de esa expresión. Por supuesto, esas citaciones no podrán en modo alguno comprenderse como el desconocimiento, por parte de la Corte, de las válidas preocupaciones que genera esa denominación” HOJA Nº dato, en tanto esa práctica configura un ejercicio abusivo y desproporcionado de la facultad legal de administración de datos personales”.
Y, en ese caso, la Corte concluyó es ese tipo de listas: “ (ii) es abiertamente contraria al derecho al hábeas data, en la medida en que fueron omitidos los deberes que se derivan de los principios de libertad, incorporación y finalidad, así como se desconoció la prohibición de confección de registros de datos personales destinados exclusivamente a imponer consecuencias desfavorables al titular del dato.” En virtud de lo anterior, en esa sentencia la Corte Constitucional puso de presente que la creación de ese tipo de listas es una práctica abusiva en materia de Tratamiento de Datos.
En esa sentencia se analizaron, entre otros, los siguientes temas: (1) registros de información exclusivamente desfavorables; (2) los principios del derecho de habeas data como límite al Tratamiento de Datos personales, y (3) prácticas abusivas en la administración de Datos personales. Los registros de información exclusivamente desfavorable3 no fueron aceptados por la Corte Constitucional por ser utilizados para fines ilegales, discriminatorios y oscuros.
Obsérvese que desde la década de los noventa la misma corporación ha rechazado este tipo de listas o registros por, entre otras, las siguientes razones: En primer lugar, violan “las garantías constitucionales establecidas por el Estado Social de Derecho”4 pues, en ciertas ocasiones, están destinadas a “intimidar a las personas, o a amenazarles, o a hacerlas víctimas de referencias, o de las llamadas “listas negras”5.
En segunda medida, son un instrumento de indebida represión, persecución o coerción contra las personas 6. Finalmente, la creación de dichas listas o registros son una práctica abusiva en la administración de datos personales porque “desvirtúan la finalidad constitucionalmente legítima de los procesos de administración de datos personales”7 Para la Corte Constitucional, esta práctica vulnera los derechos del debido proceso y el habeas data, razón por la cual la eliminación de esta base de datos debe hacerse de tal forma que no sea posible su consulta “física o electrónica en el futuro”.
Varias razones motivaron la decisión de la Corte: (i) (ii) (iii) Está prohibido la conformación de listas “de información personal con consecuencias exclusivamente desfavorables para el titular del dato, en tanto esa práctica configura un ejercicio abusivo y desproporcionado de la facultad legal de administración de datos personales“8;
La inclusión de los datos personales en ese tipo de listas es contraria al principio de libertad porque no se tenía autorización del titular del dato para incluirlo en ese tipo de listas Desconoce el principio de finalidad y legalidad ya que su usaron datos de un ciudadano para propósitos no autorizados por el titular del dato y proscritos por la regulación. Nótese que en la “lista negra” se incluye al Titular del Dato como una persona que ha acudido a UNE EPM TELECOMUNICACIONES S.A. para exigirle el respeto de sus derechos en cuanto al Tratamiento de Datos personales.
Esta conducta no es consistente con la Constitución Política Nacional y la ley por las siguientes razones: Primero: a las personas no se les puede estigmatizar o discriminar por ejercer sus derechos. Al contrario, lo que se debe hacer es garantizar efectivamente los mismos y no proceder a incluirlas en “listas negras”. Segundo: no debe perderse de vista que según el literal a) del artículo 4 de la Ley Estatutaria 1581 de 2102, “el tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen”.
El mensaje del “principio de legalidad en materia de Tratamiento de datos” es sencillo y contundente: el tratamiento de datos no puede hacerse de cualquier forma sino únicamente de la manera que lo indica la ley. “(i) la confección de “listas negras”, que se restringen a incluir datos comerciales y financieros negativos; (ii) el uso coercitivo de los reportes de riesgo para obtener el pago de las obligaciones dinerarias, pretermitiéndose los procedimientos de los instrumentos de ejecución previstos en la ley; y (iii) de manera general, el uso indiscriminado de los reportes de riesgo como instrumento para la exclusión in limine del acceso a los productos financieros y de crédito”.
(Corte Constitucional, sentencia C-1011 de 2008) 4 Cfr. Corte Constitucional, sentencia T-987 de 2012. MP: Dr. Luis Ernesto Vargas Silva 5 Cfr. Corte Constitucional, T-34 de 1995 6 Cfr. Corte Constitucional, T–761 de 2004 7 Cfr. Corte Constitucional, C-1011 de 2008 8 Cfr. Corte Constitucional, sentencia T-987 de 2012. MP: Dr. Luis Ernesto Vargas Silva 3 La Corte también ha proscrito por considerarlas prácticas abusivas HOJA Nº 10 El Tratamiento de Datos es una actividad reglada y debe efectuarse conforme con la normatividad vigente.
En línea con lo anterior, en el artículo 4 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) expresamente se prohíbe “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. Estos medios claramente son contrarios al principio en estudio. Tercero: los Datos personales deben ser tratados de manera lícita, leal, transparente y ética en relación con el titular del dato.
Dado todo lo anterior, se EXHORTA a UNE EPM TELECOMUNICACIONES S.A. elimine la Base de Datos “lista negra”, cese el uso de ese tipo de listas o cree otras de esa naturaleza. 4. AFECTACIÓN A LA LIBERTAD DE EMPRESA La sociedad recurrente alega que, cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, orden que está relacionada con la documentación e implementación de un procedimiento efectivo y verificable para atender de manera inmediata los requerimientos de rectificaciones y/o supresión de Datos, está tomando decisiones que no resultan proporcionales ni mucho menos ajustadas al caso que pretende resolver.
Asimismo, afirma que esta autoridad optó por ordenar a UNE implementar procedimientos que no solo ya existen al interior de esa compañía, sino que, también influyen en las decisiones de negocio, lo que considera un atentado en contra de la libertad de empresa y de sus decisiones de negocio, pues, a su juicio, pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.
Sobre este particular, el artículo 21 de la Ley 1581 de 2012 determina: “( ) La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; ( ) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
Así pues, se reitera que las órdenes impartidas por esta autoridad admnistrativa como consecuencia de las investigaciones adelantadas al interior de esta delegatura obedecen a lo preceptuado por las normas legales en esta materia, y no a otros intereses como equivocadamente lo entiende la recurrente. Estas decisiones no son fruto del ejercicio discrecional o arbitrario por parte de esta administración. En este caso, como quedó demostrado, la recurrente luego de múltiples solicitudes y sin cumplir los términos legales decidió luego de varios meses acceder a la petición de supresión de información presentada por el ciudadano, el cual vio flagrantemente vulnerado su derecho a la protección de Datos personales.
5. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
HOJA Nº 11 El artículo 23 9, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal” 10 En el mismo sentido, y en relación con los principios 11 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina12 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta13), de proporcionalidad o el denominado non bis in ídem [sic]”. 23.
Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 10 Corte Constitucional.
Sentencia C-748 de 2011. 11 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 12 Juan Alfonso Santamaría Pastor.
Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 13 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.
Arandazi. Madrid. 1996. 9 Artículo HOJA Nº 12 Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”14. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”15. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.
Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente vulneró el derecho del Titular a solicitar la supresión de sus Datos; el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su Derecho Constitucional de Habeas Data; y el deber de tramitar las consultas y reclamos formulados en los términos señalados en la ley.
Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.
En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.
Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad, corresponde a un total de dos mil trescientas cuarenta y dos (2342) UVT (Unidades de Valor Tributario), equivalentes a ochenta y cinco millones treinta y tres mil trescientos treinta y seis pesos m/cte.
($85’033.336). La cual, representa aproximadamente el cuatro punto setenta y nueve (4.79%) por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 14 Corte Constitucional. Sentencia C-406 de 2004. 15 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº 13
6. DECISIONES DE LA ADMINISTRACIÓN. PRINCIPIO PROPORCIONALIDAD Y GRADUACIÓN DE LA SANCIÓN DE PROPORCIONALIDAD. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”16. La recurrente en el documento bajo estudio adujo que esta autoridad administrativa no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios analizados al imponer la sanción, lo cual produjo que no pudiera controvertir de manera adecuada las razones que esta entidad tuvo en cuenta para imponer el monto de la sanción. A juicio de la investigada, esta autoridad adoptó una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual se ejerció la facultad sancionatoria sin soporte legal ni fáctico, pues, se consideraron de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al usuario ni tener en cuenta que, como se indicó en varias ocasiones, se accedió favorablemente a su solicitud realizando el cobro a la persona que adquirió los servicios, ya que el caso analizado parte de un hecho privado y concreto relacionado con la reclamación de un usuario.
Sobre este particular, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley. De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto.
Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados. En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.
Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP.
Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº 14 controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”. Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal.
Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios. De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse.
Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada. Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales.
Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.
Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido beneficio económico alguno por la comisión de la infracción;
Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.
Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas Se reitera que la implementación de medidas con posterioridad a la vulneración del derecho de habeas data no exoneran de la responsabilidad de cumplir todos y cada uno de los deberes establecidos en la Ley 1581 de 2012, y la multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz.
En segundo lugar, es claro que la Resolución No. 20167 de 14 de abril de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su HOJA Nº 15 información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.
Adicionalmente, una vez revisada la información relacionada con la compañía UNE EPM TELECOMUNICACIONES S.A. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data: Resolución 7471 68093 45813 24139 18952 17615 Valor de la Sanción $ 165.623.200 $ 110.657.550 $ 73.771.700 $ 34.472.750 $ 165.623.200 $ 248.434.800 Motivo Articulo 8 numeral 1 de la Ley 1266 de 2008 Articulo 8 numeral 1 de la Ley 1266 de 2008 Articulo 8 numeral 1 de la Ley 1266 de 2008 Artículo 8 numeral 7 Ley 1266 de 2008 Articulo 17 literal a) de la Ley 1581 de 2012 Articulo 17 literal a) de la Ley 1581 de 2012 Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental17 a la protección de Datos18.
De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia20.
Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. No obstante lo anterior, una vez revisado el expediente y el contenido de la resolución recurrida se encuentra que la investigada no garantizó el pleno y efectivo ejercicio del derecho de habeas data del Titular de la información, toda vez que desde el 26 de julio de 2018 solicitó la supresión de sus Datos, en más de cinco (5) oportunidades sin que la investigada de manera eficiente accediera a su petición en los términos legales.
Así pues, se encuentra plenamente demostrado la vulneración del deber establecido en el el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley. 17 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº 16
7. DEL DERECHO DE SUPRIMIR DATOS PERSONALES Y DEL DEBER DE TRAMITAR LOS RECLAMOS Y CONSULTAS ELEVADAS POR LOS TITULARES DE LA INFORMACIÓN EN EL TÉRMINO LEGAL Los derechos humanos son para respetarlos y garantizarlos. No pueden ser mera retórica sin aplicabilidad práctica. La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos [sic] personales.
(…) 21. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.
Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.
Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.” 22 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.
El Responsable y/o el Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley. La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales.
Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada. En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.
Este control, no sólo se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].
Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. 21 Sentencia C-748 de 2011.
Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012). 22 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. HOJA Nº 17 (…)23.
(Énfasis añadido) Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”24. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “ (…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.
En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización y/o supresión del dato [sic]”.
“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].
El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.
Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201225 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.
Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato 23 Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 24 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012. 25 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” HOJA Nº 18 tenga que insistir en varias oportunidades para que su derecho sea garantizado.
Esto, se reitera, es censurable e inadmisible. En este caso en particular, la recurrente no solo desatendió las disposiciones legales que imponen la obligación de resolver la solicitud en el término legal establecido, sino que también vulneró indiscriminadamente el derecho del Titular. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.
CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. Los derechos humanos son para respetarlos y garantizarlos en la práctica. Las personas no deben rogar para que se les respeten sus derechos humanos. No es facultativo sino obligatorio respetar los derechos de las personas. 2.
El ciudadano tuvo que presentar en más de cinco (5) oportunidades la solicitud de supresión de su información personal desde el desde el 26 de julio de 2018 hasta el 4 de enero de 2019, es decir durante casi seis (6) meses estuvo esperanto la protección efectiva de su derecho de habeas data por parte de la investigada. Lo anterior de conformidad con las pruebas allegadas por la recurrente y el quejoso durante el curso de este trámite administrativo. 3.
En la “lista negra” se incluye al Titular del Dato como una persona que ha acudido a UNE EPM TELECOMUNICACIONES S.A. para exigirle el respeto de sus derechos en cuanto al Tratamiento de Datos personales. Esta conducta no es consistente con la Constitución Política Nacional y la ley por las siguientes razones: (i) a las personas no se les puede estigmatizar o discriminar por ejercer sus derechos.
Al contrario, lo que se debe hacer es garantizar efectivamente los mismos y no proceder a incluirlas en “listas negras”; (ii) no debe perderse de vista que según el literal a) del artículo 4 de la Ley Estatutaria 1581 de 2102, “el tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen”.
El mensaje del “principio de legalidad en materia de Tratamiento de datos” es sencillo y contundente: el tratamiento de datos no puede hacerse de cualquier forma sino únicamente de la manera que lo indica la ley; (iii) El Tratamiento de Datos es una actividad reglada y debe efectuarse conforme con la normatividad vigente. En línea con lo anterior, en el artículo 4 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) expresamente se prohíbe “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”.
Estos medios claramente son contrarios al principio en estudio; (iv) los Datos personales deben ser tratados de manera lícita, leal, transparente y ética en relación con el titular del dato. 4. La recurrente infringió abiertamente el deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley. 5.
La sanción impuesta obedece a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data. 6. La multa impuesta equivale al 4.79% del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 7. Es muy grave que una empresa desconozca los derechos humanos de sus clientes y que ellos tengan que rogarle varias veces para que sean respetados sus derechos. 8.
Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15.
HOJA Nº 19 De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 20167 de 14 de abril de 2021. En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 20167 de 14 de abril de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a UNE EPM TELECOMUNICACIONES S.A., identificada con el Nit 900.092.385-9, a través de su representante legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. COMUNICAR la presente decisión al señor XXXX XXXXXXX XXXXXXXX identificado con cédula de ciudadanía No. x.xxx.xxx entregándole copia de esta resolución.
ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 14 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2022.03.14 15:57:54 -05'00' NELSON REMOLINA ANGARITA CGC HOJA Nº 20 Notificación Sociedad: Identificación: Representante Legal: Identificación: Apoderada: Identificación: Tarjeta Profesional: Correo electrónico: Dirección: Ciudad: País: UNE EPM TELECOMUNICACIONES S.A. Nit. 900.092.385-9 Marcelo Cataldo Franco Cédula de Extranjería No. 426.572 Andrea María Orrego Ramírez C.C. 43.581.512 87.822 del Consejo Superior de la Judicatura notificacionesjudiciales@tigo.com.co Carrera 65 No. 30 A 58 Carrera 48 No. 20-45 Medellín (Antioquia) Colombia Comunicación Señor: Identificación: Correo electrónico: Dirección: Ciudad: País: XXXX XXXXXXX XXXXXXXX C.C. x.xxx.xxx xxxxxxxxxxxxxxxxxxxxxxxx Xxxxx x Xxx No. xxX - xxx Xx. xxxx Xxxxxxxxxxxx Xxxxx xxx Xxxxx Xxxxxxxx (Xxxxxxxxx) Xxxxxxxx