(03 de agosto 2023) “Por la cual se resuelve un recurso de apelación” Radicación 20-119341 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, mediante Resolución No. 50206 del 29 de julio de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra de la sociedad TSQ S.A.S., resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad TSQ S.A.S, identificada con Nit. 800.080.730-2, de CUARENTA Y CINCO MILLONES SEISCIENTOS CUATRO MIL OCHOCIENTOS PESOS M/CTE ($45.604.800) correspondiente a MIL DOSCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1200 UVT), por la violación a lo dispuesto en las siguientes normas: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. • El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma norma y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad TSQ S.A.S, identificada con Nit. 800.080.730-2 que en su calidad de Responsable del Tratamiento, cumplan con las siguientes órdenes, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión: • La sociedad TSQ S.A.S deberá documentar un manual interno de políticas y procedimientos de seguridad el cual contenga medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.”
SEGUNDO. Lo anterior, en la medida en que la sociedad TSQ S.A.S, realizó varias conductas violatorias de la Ley 1581 de 2012, entre ellas, realizó tratamiento de los datos personales del titular XXXXXX XXXXXX XXXXX XXX mediante el envío de mensajes a través de la aplicación de mensajería instantánea “Whatsapp”, sin haber solicitado ni conservado copia de la autorización previa, expresa e informada, razón por la cual se impuso una sanción. De igual manera se evidenció que la sociedad realizaba tratamiento de datos personales en calidad de Responsable, sin tener documentado e implementado un manual de políticas y procedimientos de seguridad, razón por la cual se sancionó e impartió una orden para la creación e implementación del documento señalado.
RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación”
TERCERO. Que TSQ S.A.S, a través de su apoderado (en adelante la RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 55 del radicado 20-119341 remitido el 24 de agosto de 2022.
CUARTO. Que, mediante Resolución No. 69519 del 6 de octubre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 50206 del 29 de julio de 2022.
QUINTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia.
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, confirmará el acto administrativo impugnado, conforme a los argumentos que pasan a exponerse: 1. Criterios de graduación del Código de procedimiento administrativo y de lo contencioso administrativo – CPACA y el artículo 19 de la ley 1266 de 2008 Este Despacho encuentra que la sociedad recurrente a lo largo de su escrito señaló en varias ocasiones la aplicación de los criterios de graduación de la sanción establecidos en el artículo 50 del Código de procedimiento administrativo y de lo contencioso administrativo – CPACA y los criterios de graduación establecidos en el artículo 19 de la Ley 1266 de 2008.
Lo primero que debe aclararse a la recurrente, en lo que respecta a la facultad sancionatoria, es que el ejercicio de la misma se lleva a cabo conforme al principio de legalidad, lo que significa que las normas aplicables para tal efecto son aquellas que la ley determina para la materia en concreto. Por lo anterior, en lo que atañe al caso, los criterios para calcular o dosificar el monto de la sanción, cuando quiera que se trasgreden las obligaciones establecidas en el catálogo de la ley 1581 de 2012, son los del artículo 24, donde se establecen los criterios del daño o peligro a los intereses jurídicos tutelados, el beneficio económico, la reincidencia, la resistencia, negativa u obstrucción a la acción investigadora, la renuencia o desacato y, por último, el reconocimiento y aceptación expresos.
Tales criterios, son los únicos aplicables cuando quiera que se presenten las infracciones a la norma en mención, de modo que, contrario a lo que manifiesta la recurrente, los criterios del artículo 50 del CPACA2, no son aplicables, tanto así que el propio precepto respalda esta conclusión al expresar que sus criterios se aplican “salvo lo dispuesto en normas especiales”.
En ese orden de ideas, no es aceptable el argumento de la recurrente, referido a la necesidad de aplicar el artículo 50 del CPACA y el artículo 19 de la Ley 1266 de 2008. En el primer caso, porque como ya se explicó, la norma solo aplica en ausencia de norma especial, lo que no se presenta dado que estamos en presencia de la Ley 1581 de 2012 y, en el segundo, porque la ley 1266 de 2008 no es la norma aplicable para el caso presente, en la medida en que esta última solo se aplica para el manejo de la información contenida en bases de datos personales sobre información financiera, crediticia y comercial, cuestión que no se encuadra en el presente caso; por lo tanto, siendo la norma aplicable la Ley 1581 de 2012, los criterios de ponderación son los del artículo 24, que corresponde al precepto especial aplicable.
En consecuencia, no se aceptan los argumentos mencionados expuestos por la recurrente. 2. Aplicación de los criterios de dosificación de conformidad con la Ley 1581 de 2012 1 la Resolución No. 50206 del 29 de julio de 2022 fue notificada por aviso el 10 de agosto de 2022. “Artículo 50. Graduación de las sanciones. Salvo lo dispuesto en leyes especiales, la gravedad de las faltas y el rigor de las sanciones por infracciones administrativas se graduarán atendiendo a los siguientes criterios, en cuanto resultaren aplicables: 1.
Daño o peligro generado a los intereses jurídicos tutelados. 2. Beneficio económico obtenido por el infractor para sí o a favor de un tercero. 3. Reincidencia en la comisión de la infracción. 4. Resistencia, negativa u obstrucción a la acción investigadora o de supervisión. 5. Utilización de medios fraudulentos o utilización de persona interpuesta para ocultar la infracción u ocultar sus efectos. 6.
Grado de prudencia y diligencia con que se hayan atendido los deberes o se hayan aplicado las normas legales pertinentes. 7. Renuencia o desacato en el cumplimiento de las órdenes impartidas por la autoridad competente 8. Reconocimiento o aceptación expresa de la infracción antes del decreto de pruebas.” RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación” 2.1 Criterios agravantes Continúa la recurrente con sus argumentos y procede a efectuar, según su visión, un análisis de los criterios para graduar las sanciones, señalando que se debe atenuar el monto de la sanción en razón a que con la comisión de los hechos: (i) no obtuvo un beneficio económico;
(ii) tampoco ha vuelto a infringir las normas de habeas data y ha tomado medidas preventivas al respecto; (iii) en ningún momento obstruyó la acción investigadora, tanto así que se allanó al cargo; (iv) y no utilizó medios fraudulentos. Sea lo primero aclarar, como se explicó en el numeral anterior, que la Ley aplicable es la 1581 de 2012, y en consecuencia, los criterios establecidos en el CPACA no son aplicables, sin embargo, la recurrente también manifestó en su escrito lo siguiente: “Una vez hecho el reconocimiento del anterior listado el cual se reconoce (sic) igual mente en el artículo 24 de la Ley de Habeas Data (1581 del 2012), debe tenerse en cuenta que, en su gran mayoría, todos los requisitos para la tasación de la misma deberían corresponder a atenuantes dentro de la valoración de la misma”.
Por lo anterior, es claro que la sociedad pretende señalar que, al no presentarse algunas conductas agravantes, ello debió generar la disminución del cálculo de la sanción, sin embargo, tal como lo señaló la Dirección en la Resolución recurrida, los criterios previamente señalados solo son aplicables como agravantes de la sanción. Para ampliar lo expuesto, es importante recordar los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012: “Artículo 24.
Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Frente a estos criterios la Corte Constitucional, en la Sentencia C-748 de 2011, precisó que los primeros cinco criterios señalados en la norma en cita, constituyen agravantes en tanto que el sexto es el único criterio de atenuación de la responsabilidad, así: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (resaltado fuera del texto) Por lo anterior, es claro que los criterios señalados por la recurrente corresponden a agravantes establecidos en los numerales a), b), c) d) y e), de los cuales, solo se encontró demostrada la aplicación del criterio establecido en el literal a), es decir, la ocurrencia del daño o puesta en peligro de los intereses jurídicos tutelados, y respecto de los otros criterios, al no encontrarlos aplicables, no se tomaron en cuenta y no agravaron el monto de la sanción. En consecuencia, los argumentos expuestos por la recurrente no estan llamados a prosperar.
Resulta relevante mencionar que, el criterio del daño o peligro que se causó al bien jurídico, fue tomado en cuenta en virtud de la negligencia de la sociedad al haber realizado tratamiento de los datos personales del señor XXXXXX XXXXXX XXXXX XXX, mediante el envío de mensajes a su celular a través de la aplicación de mensajería instantánea “whatsapp”, sin haber solicitado, previamente al tratamiento, el consentimiento del titular, ni haber conservado copia de la respectiva autorización, circunstancia que atentó contra uno de los pilares fundamentales de la administración de datos personales, el principio de libertad3 y vulneró el derecho fundamental de habeas data del titular. 3 “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.” Literal c) artículo 4 Ley 1581. RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación” Así mismo, se demostró la falta de diligencia de la sociedad recurrente en la medida en que realizaba tratamiento de datos personales en calidad de Responsable sin haber adoptado un manual interno de políticas y procedimientos de seguridad, manual que resulta de suma utilidad e importancia pues debe contener las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 2.2 Criterios atenuantes Expone la recurrente que “Como punto principal para proceder a cuantificar la sanción es importante tener en cuenta que la investigada procedió a aceptar la sanción en el término legal, aportando no solamente el allanamiento correspondiente sino las acciones que se están tomando por parte de la misma para evitar futuras infracciones.” Como parte de las acciones tomadas la sociedad señaló las siguientes: “• Solicitud de reiteración de tratamiento de datos a los almacenados previo al 2012. • Implementación de mecanismos en las tiendas físicas para casos en los cuales los clientes solicitan envío de información de manera verbal, con el ánimo de conservar la prueba de las autorizaciones. • Elaboración de Due Diligence para asegurar el cumplimiento de lo previsto en la Ley 1480 y la 1581.” Así mismo afirmó que “Al desglosar la sanción podemos ver que, si bien si hubo una infracción a la Ley 1581 del 2012, la sociedad T.S.Q. S.A. ha tomado acción para evitar la configuración de nuevos hechos, motivo por el cual, es dable afirmar que existe un plan de acción en lo referente a la protección de datos personales, obligación consignada en el literal k del artículo 17 de la ley 1581 del 2012.” Frente a lo manifestado se encuentra que, la Dirección al momento de graduar la sanción, tuvo en cuenta la aceptación efectuada por la sociedad, previamente a la decisión y en consecuencia, aplicó el criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012, tal como se evidencia acontinuación: “En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el cargo 1 y 2 por la vulneración al deber establecido en el literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015 en DOSCIENTAS (200) unidades de valor tributario vigentes cada cargo.” En consecuencia, es claro que se tomó en cuenta la aceptación y que ésta insidió de manera favorable a la recurrente al momento de graduar la sanción, disminuyendo la sanción por cada cargo en doscientas UVT, es decir, se redujo la sanción veinticinco porciento por cada cargo.
Ahora bien, respecto de las acciones tomadas por la sociedad, vale la pena señalar que no fueron tenidas en cuenta al momento de calcular la sanción, en primer lugar, en la medida en que el grado de prudencia y diligencia con el que haya actuado el investigado, es un criterio de graduación establecido por el artículo 50 del CPACA, norma que no es aplicable, en tanto exista una norma especial como el artículo 24 de la Ley 1581 de 2012, y en segundo lugar, en la medida en que estas acciones tomadas no son suficientes para acreditar el cumplimiento del principio de responsabilidad demostrada en el caso en concreto.
Lo anterior, en la medida en que son acciones que (i) no van encaminadas a cumplir los deberes objeto de sanción; (ii) tampoco a prevenir la ocurrencia del hecho denunciado; y (iii) no fueron implementadas de manera previa a la ocurrencia de los hechos. Por lo tanto, no es aplicable lo establecido en el artículo 2.2.2.25.6.2. del Decreto Único Reglamentario 1074 de 2015 “La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.”.
En virtud de lo expuesto, respecto a las medidas señaladas por la sociedad, contrario a lo que solicita, no pueden ser tomadas en cuenta para la atenuación de la sanción. RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación” Por último, considera la recurrente que, en otras actuaciones administrativas, el criterio del “allanamiento” a los cargos, ha disminuido el monto de la sanción a imponer a la mitad, por lo que solicita que, en virtud de la igualdad, se aplique el mismo parámetro, por lo que señaló: “Para la investigada no es claro el criterio de dosificación de la sanción frente al atenuante del literal f del artículo 24 de la Ley 1581 del 2012, puesto a que el precedente de esta corporación en varias ocasiones ha atenuado la sanción a imponer a la mitad.
Lo anterior se evidencia en la Resolución 36843 de 2021 y en la Resolución 49717 de 2017, en donde en ambos casos a las sociedades investigadas por el hecho de allanarse se les redujo la pena hasta en la mitad de lo planteado dentro del pliego de cargos pasando de 690 UVT a 345 UVT y de 180 smlmv a 90 smlmv, respectivamente.” Al respecto, el planteamiento hecho por la recurrente es errado por varias razones: • Revisadas las resoluciones en comento, correspondientes a los radicados No 20-135209 y 15280548 referentes a investigaciones adelantadas contra CASA EDITORIAL EL TIEMPO S.A y MARKETING PERSONAL S.A, se concluye que, (i) la decisión de radicado 20-135209 corresponde a una sanción por el incumplimiento de la Ley 1266 de 2008; y (ii) la decisión de radicado 15- 280548 corresponde a una sanción por no atender una solicitud de revocatoria de la autorización y/o supresión de los datos.
En consecuencia, los casos citados por la recurrente de modo alguno son similares al caso bajo estudio, puesto que no corresponden a la normatividad ni los deberes objeto de sanción. Con el propósito de clarificar lo expuesto, en gracia de discución, suponiendo que la sociedad indicara un fallo efectuado por esta autoridad a través del cual se sancionaran los mismos deberes que en el presente caso, no se podría tomar como una referencia, en la medida en que la sanción es valorada de forma concreta y particular en cada investigación administrativa, teniendo en cuenta los criterios legales, así como el tamaño de la empresa, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, así como la magnitud de la vulneración, la duración en el tiempo y la cantidad de titulares afectados, entre otros factores. • Si bien es cierto que la aceptación de la conducta efectivamente conlleva el beneficio de reducir la sanción, el monto de dicha reducción no está preestablecido por ninguna norma, lo que convierte esta determinación en una decisión discrecional por parte de la entidad, la cual se ajusta a las particularidades de cada caso específico. • El hecho de que en dos decisiones previas emitidas por esta autoridad se haya reducido el monto de la sanción en cierta cuantía, no implica que dicho criterio se aplique automáticamente a todos los casos que sean abordados y decididos por la entidad.
Cada situación es evaluada de forma individual y se toman en cuenta las circunstancias específicas para determinar la sanción adecuada en cada caso. Finalmente, para concluir el analisis de este argumento, se adhiere este Despacho a lo señalado por la Dirección en la Resolución que resolvió el recurso de reposición, al señalar: “(…) el objeto principal del Régimen de Protección de Hábeas Data es salvaguardar el derecho de los Titulares de la información respecto de sus datos personales, por lo cual el allanamiento a los cargos, si bien implica una disminución del monto de la sanción, no conlleva per se a una reducción sustancial de la sanción porque se debe valorar la incidencia e impacto de la vulneración del derecho de hábeas data frente a sus Titulares, así como los criterios señalados en el párrafo anterior.
Adicionalmente, quienes vulneran el Régimen de Protección de Datos Personales no pueden escudarse en el allanamiento a los cargos para obtener una reducción significativa de la sanción, que sí podría resultar desproporcionada frente a los daños y peligros causados a los Titulares por la vulneración de su derecho de hábeas data.” 3. Respecto de la proporcionalidad de la sanción De otro lado, la recurrente se manifestó inconforme con la proporcionalidad de la sanción señalando que “Como bien se menciona en la Resolución, la sanción NO debe ser confiscatoria, sino disuasoria, lo cual no se cumple en el presente caso, puesto a que la sanción que oscila entre los de CUARENTA Y CINCO MILLONES SEISCIENTOS CUATRO MIL OCHOCIENTOS PESOS M/CTE ($45.604.800), es decir 1200 UVT no obedece al principio de proporcionalidad.” Sobre este punto, la Corte Constitucional, en sentencia C-125 de 2003 ha señalado: RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” En este sentido, es importante precisar que la potestad sancionatoria debe ser ejercida de manera razonable y equilibrada, garantizando la adecuada correspondencia entre la sanción y la finalidad establecida por la normativa infringida, así como la proporcionalidad entre la gravedad de la infracción y la sanción impuesta.
Al respecto, como ya fue mencionado, la sanción impuesta por la Dirección de Investigaciones, además de aplicar los parámetros del artículo 24 de la ley 1581 de 2012, acatando el principio de legalidad, también tuvo en cuenta la situación económica de la empresa, ya que observó el tamaño de la misma, sus ingresos operacionales, patrimonio y, en general su situación económica, precisamente con el fin de que la sanción fuese disuasoria y no confiscatoria.4 Es relevante destacar que la sanción impuesta no excedió el límite establecido en el artículo 23 de la Ley 1581 de 2012, en tanto se encuentra en el rango de 1 a 2000 salarios mínimos y además, para calcular la misma se tuvo en cuenta la aceptación de la infracción por parte de la recurrente, lo que resultó en una reducción del monto de la sanción para cada cargo.
Así mismo, se encuentra confirmada la negligencia por parte de la recurrente, al tratar los datos del denunciante sin tener la autorización, previa, expresa e informada y realizar tratamiento de datos en calidad de Responsable sin tener una política de seguridad, y en consecuencia es evidente la clara violación a los principios de libertad y de seguridad, así como una vulneración directa al derecho fundamental de habeas data del señor XXXXXX XXXXXX XXXXX XXX y una puesta en peligro del derecho de todos los titulares cuyos datos obran en custodia de la recurrente.
En consecuencia, el monto de la sanción se ajusta proporcionalmente a la magnitud de la vulneración y el incumplimiento de los deberes mencionados. La evidencia respalda la justificación de la sanción impuesta, debido a la grave negligencia y falta de diligencia evidenciada por parte de la recurrente en el cumplimiento de sus responsabilidades en materia de protección de datos personales.
Es importante destacar que la imposición de estas sanciones busca garantizar el adecuado manejo y protección de los datos personales, fomentando el cumplimiento de las disposiciones legales en esta materia. Asimismo, se pretende disuadir cualquier acción que pueda comprometer la privacidad y seguridad de los datos de los titulares. Por último, resulta pertinente resaltar lo siguiente: I. La multa impuesta a TSQ S.A.S ($45.604.800), corresponde al 2.28 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
II. El monto de dicha sanción es el resultado del análisis y del daño y/o puesta en peligro de los intereses jurídicos tutelados y la reincidencia en la conducta por la violación a las disposiciones de la Ley 1581 de 2012 a los responsables del Tratamiento. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados. IV. Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales. 4 Página 12 resolución 50206 del 29 de julio de 2022 RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación” V. Según la Declaración Universal de los Derechos Humanos5, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto a éstos es un elemento esencial de la democracia6. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por consiguiente, este Despacho considera que la sanción impuesta es proporcional, en consideración a los hechos que le sirvieron de causa y a la motivación del acto administrativo recurrido encontrando su justificación en la naturaleza de las normas violadas y en el límite dado por el legislador en la Ley 1581 de 2012. 4.
Conclusiones • Se confirmó la negligencia de la sociedad recurrente al haber tratado los datos personales del denunciante, mediante el envío de mensajes a su celular a través de la aplicación de mensajería instantánea “whatsapp”, sin haber solicitado, previamente, el consentimiento del titular, ni haber conservado copia de la respectiva autorización; y al realizar tratamiento en calidad de Responsale sin haber adoptado un manual interno de políticas y procedimientos de seguridad. • Los criterios de dosificación de sanciones establecidos en el artículo 50 del CPACA son de carácter general, aplicables únicamente en ausencia de una norma especial que regule la materia, por ello, al existir el artículo 24 de la Ley 1581 de 2012, no tiene cabida la aplicación de los criterios de los criterios del CPACA. • El monto de la sanción se ajusta proporcionalmente a la magnitud de la vulneración, la duración en el tiempo, la cantidad de titulares afectados, el incumplimiento de los deberes, los criterios legales aplicables, así como el tamaño de la empresa, sus ingresos operacionales, el patrimonio, y, en general, su información financiera. • La aceptación expresa sobre la comisión de la infracción antes de decisión, conllevó a la reducción de la sanción total en un veinticinco (25%) por ciento. • Si bien las acciones y actividades que se lleven a cabo para superar los eventos de infracciones, son aspectos plausibles de cara a evitar que se repitan violaciones a las normas, ello no implica que las conductas cometidas se subsanen o desaparezcan y en consecuencia, no se pueden tomar en cuenta para atenuar o evitar la sanción. • La aplicación de los criterios de dosificación obedece a aspectos concretos y específicos de cada caso, que provienen de los parámetros establecidos en la ley, por lo tanto, la incidencia de los mismos no es aplicable de la misma manera y en la misma proporción a todos los casos que se analizan. • La aceptación de la comisión de la infracción conlleva el beneficio de reducir la sanción, sin embargo, el monto de dicha reducción no está preestablecido por ninguna norma, lo que convierte esta determinación en una decisión discrecional, la cual se ajusta a las particularidades de cada caso específico. • La multa impuesta a TSQ S.A.S ($45.604.800), corresponde al 2.28 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO 1: CONFIRMAR la Resolución No. 50206 del 29 de julio de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución. 5 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 6 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm RESOLUCIÓN NÚMERO 44945 DE 2023 “Por la cual se resuelve un recurso de apelación”
ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a TSQ S.A.S, identificada con Nit. 800.080.730-2, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión al señor XXXXXX XXXXXX XXXXX XXX, identificado con la cédula de ciudadanía No. XX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,03 de agosto 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.08.03 14:04:40 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ Proyectó: HFTM Revisó: AVJ Aprobó: CAPR NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: T.S.Q. S.A.S Nit.: 800.080.730- 2 ANDRÉS GLAUSER TOVAR C.C. No. 79.324.680 calle 114 No. 6 A - 92 LC 235 Bogotá D.C. notificacionestsq@tsqsa.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXX XXXXXX XXXXX XXX C.C. No. XX.XXX.XXX.
XX XX X X-XX XXXXXXXXX X XXXXXXXXX XXXXXXXXXXXXXXXXXXXX