(Marzo 25 de 2022) Radicación 20-114132 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante Resolución N°.47207 del 28 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA identificada con NIT. 891.180.008-2, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISEIS MIL PESOS M/CTE ($72.616.000) equivalente a DOS MIL Unidades de valor tributario vigentes (2000) UVT por el incumplimiento de los deberes establecidos en el numeral 10 del artículo 8 en concordancia con el artículo 12 de la Ley 1266 de 2008.
SEGUNDO. Que mediante comunicación recibida el 20 de agosto de 2021, con número de radicado 20-114132-00024, la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA, interpuso recurso de reposición y en subsidio de apelación contra la resolución aludida, manifestando lo siguiente: • • • • • La sociedad manifestó́ que, para efectos de la imposición de la sanción recurrida, el ente investigador no tuvo en cuenta el principio de proporcionalidad que orienta el derecho administrativo sancionador, es decir que la sanción impuesta sea razonable y proporcionada, y al mismo tiempo, no fueron considerados los criterios contemplados en el artículo 19 de la ley 1266 de 2008 numeral a).
Insistió que la sanción impuesta resulta desmedida, y lesiva comparada con la situación económica que atraviesa, sin que se advierta una intención reivindicatoria de la misma, en tanto las conductas desplegadas no han generado afectaciones que se busquen o deban reparar, en ese escenario la sanción pierde su esencia y fines, por el contrario, vulnera los principios constitucionales y garantías procesales del administrativo.
Informó que el monto de la sanción impuesta se aleja del criterio de la proporcionalidad toda vez que en materia sancionatoria el mismo exige que el reproche no resulte confiscatorio o excesivo en rigidez frente a la gravedad de la conducta, debiendo tener en consideración para la dosificación de la sanción el tamaño de la empresa, sus ingresos operacionales, patrimonio y en general su información financiera, así como la conducta de la investigada durante el trámite de la investigación. Mencionó que la sociedad CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA es una persona jurídica constituida como corporación de derecho privado y sin fines de lucro, cuya función y objeto principal es promover y desarrollar el bienestar del trabajador y su familia la cual como lo reflejan sus estados financieros se encuentra en la actualidad sorteando distintas batallas de índole financiera para continuar brindando a sus afiliados sus servicios y programas.
Resaltó que la corporación cuenta con los soportes de autorización del titular de la obligación para ser reportado ante las centrales de riesgo, tal como se puede observar en las pruebas obrantes y relacionadas bajo numeral 4.24 condiciones de otorgamiento de crédito, bajo radicado 20114132-0000900006. 1 hoja. Lo anterior, en virtud de la relación contractual existente “crédito otorgado con obligación N°. xxxxx” y no como a bien se manifiesta en la providencia objeto de análisis.
HOJA Nº, 2 • • • Puso de presente que a la fecha no se ha efectuado el pago de la obligación crediticia por parte del señor XXXXXXXXXXX XXXXXXX XXXXXX y la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA colaboró en toda la investigación administrativa sin resistencia alguna y cumplió́ todas las ordenes administrativas emanadas por el ente investigador, a tal punto de eliminar la obligación ante las centrales de riesgo, como bien se puede observar en el correo electrónico enviado a la obligación ante las centrales de manera directa, quedando evidenciado que la intención de la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA nunca fue afectar derecho alguno del titular.
Señaló que frente a los criterios de atenuación relativos a la inexistencia de beneficio económico por parte de la investigada y al haber estado presta al cumplimiento de las órdenes impartidas por la Superintendencia de Industria y Comercio, que la Corporación no ha obtenido ganancia alguna de por las presuntas infracciones acusadas, y que al contrario con el fin de blindar los procesos que hacen parte de la institución, creo en el año 2017 el área especializada de trabajo de habeas data con el fin de reforzar y asegurar el cumplimiento en materia de protección de datos personales, por medio de actividades tales como la inducción y capacitación de la normatividad vigente sobre la materia a los funcionarios de la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA realizadas de manera periódica.
Solicitó que se REVOQUE la Resolución número 47207 del 28 de julio de 2021, o en su defecto se realice la dosificación de la sanción, con fundamento en los argumentos expuestos y los preceptos normativos que los sustentan.
TERCERO. Que mediante Resolución N°.80017 del 07 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTICULO PRIMERO: CONFIRMAR todo lo manifestado en la Resolución N°. 47207 del 28 de julio de 2021, por lo expuesto en la parte motiva de la presente resolución”.
CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá́ a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 1 (modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”
2. DEL DEBER ESPECIAL DE COMUNICAR PREVIAMENTE AL TITULAR DEL REPORTE NEGATIVO ANTE LOS OPERADORES DE INFORMACIÓN. La comunicación previa de que trata el artículo 12 de la Ley Estatutaria 1266 de 2008 es un requisito para poder realizar el reporte de información negativa. Si se omite ese requerimiento, automáticamente se vulnera el debido proceso previsto en la ley para tal fin y dicho reporte es ilegal.
Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. HOJA Nº, 3 En efecto, el artículo 12 de la Ley 1266 de 2008, dispone, entre otras, lo siguiente: “Artículo 12. Requisitos especiales para fuentes. Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley.
El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de Bancos de Datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.
Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta”.
(Negrilla fuera de texto). Respecto de ese artículo, la Corte Constitucional precisó lo siguiente mediante la Sentencia C-1011 de 16 de octubre de 2008: “El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.
En este caso, la lógica adoptada por el legislador estatutario fue establecer una instancia a favor del sujeto concernido, con el fin que previamente al envío del reporte pueda, bien pagar la suma adeudada y, en consecuencia, enervar la transferencia de la información sobre incumplimiento, o poner de presente a la fuente los motivos de la inconformidad respecto de la mora, a fin que la incorporación del reporte incluya esos motivos de inconformidad.
La previsión de trámites de esta naturaleza, que facilitan la preservación de la veracidad y actualidad del reporte, no son incompatibles con la Constitución. Empero, debe la Corte acotar que esta instancia de control del dato por parte del titular de la información resulta predicable, no solo de los casos en que pueda acreditarse la ausencia de mora en el pago de la deuda, sino también en aquellos eventos en que lo que se pone en cuestión es la inexistencia de la obligación que da lugar al reporte sobre incumplimiento o la concurrencia de cualquier otro fenómeno extintivo de la misma.
En ese sentido, para la Sala es claro que lo dispuesto en el inciso segundo del artículo 12 del Proyecto de Ley es apenas un listado enunciativo, en ningún caso una fórmula taxativa, de las distintas causas que puede alegar el titular de la información para oponerse la incorporación del dato sobre incumplimiento en el archivo o banco de datos correspondiente.
La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.
Al respecto, debe enfatizarse que, en los términos planteados por la norma estatutaria y determinados en esta decisión, para que dicho reporte resulte procedente, se debió contar con la autorización previa, expresa y suficiente del sujeto concernido, conforme a lo previsto en el numeral 5º del artículo 8º del Proyecto de Ley”. (Negrilla fuera de texto) HOJA Nº, 4 El literal a) del artículo 1.3.6 del Título V de la Circular Única de esta Superintendencia, por su parte, dispuso lo siguiente: “1.3.6.
Deber de comunicar al titular de la información previamente al reporte En caso de que la Superintendencia de Industria y Comercio requiera a la fuente para que allegue la prueba del envío de la comunicación previa a que hace referencia el artículo 12 de la Ley 1266 de 2008, esta debe aportar lo siguiente: a) Copia de la comunicación escrita enviada al titular de la información con la certificación de haber sido remitida a la última dirección registrada ante la fuente y la fecha de envío, o copia del extracto o de la factura enviada al titular de la información, en el cual se incluyó́ la comunicación previa al reporte, con la certificación de haber sido remitido a la última dirección registrada ante la fuente y la fecha de envío. En este último evento, cuando la comunicación previa se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento.
(…)”. (Destacamos). De esta manera, las fuentes de información en caso de incumplimiento de las obligaciones adquiridas por parte del titular podrán reportar la información negativa a los operadores, únicamente cuando se haya enviado una comunicación al titular, con el fin de que este pueda ejercer el derecho de contradicción, realizar el pago de la obligación o refutar el monto de la obligación, cuota o la fecha de exigibilidad, o inclusive la existencia de esta.
Esa comunicación previa hace parte del debido proceso para poder reportar información negativa sobre incumplimiento de obligaciones de cualquier naturaleza a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países. Caso concreto Antes de comenzar el análisis, este Despacho reitera que el asunto bajo estudio no es la falta de autorización para efectuar el reporte, puesto que, desde la formulación de cargos 2, se especificó claramente la conducta presuntamente reprochada.
Lo anterior, en los siguientes términos: Habiendo dejado claro lo anterior, en el expediente quedó demostrado que sí existe reporte negativo gracias a las respuestas de los operados de información CIFIN y EXPERIAN3. Por aquel motivo, la FAMILIAR DEL HUILA efectivamente cumplió con su deber de informar al titular con anterioridad sobre el reporte que se realizó. Respuesta por parte de Cifin S.A.S, radicada el día 06 de mayo de 2019, con número de radicado 20114132—0000100016, página 1.
Y la Respuesta de Datacredito Experian, radicada el día 11 de junio de 2019, con número de radicado 20114132—0000100019, página 2. HOJA Nº, 5 Los hallazgos fueron los siguientes: • • La Caja de Compensación Reportó negativamente la obligación N° XXXXX, en la historia de crédito del denunciante, el día 30 de maro de 2017 ante el operador Cifin S.A. y en el mes de junio de 2017 ante el operador Experian Colombia S.A. por el cual se le solicitó que allegara la comunicación previa a dichos reportes.
De los soportes allegados, se comprobó junto con las respectivas guías de envió, que las comunicaciones fueron realizadas en los meses de junio, agosto y octubre de 2017, situación que demuestra que no se cumplió con el deber de comunicar previamente al deudor antes de efectuar el reporte de información negativa ante las centrales de riesgos.
Primera comunicación es de fecha 2 de junio de 2017 y la constancia de envío es de fecha 8 de junio de 20174: “He recibido instrucciones de la CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA - COMFAMILIAR DEL HUILA – para proceder al cobro judicial de las obligaciones por ustedes contraídas y constituidas en mora. Con el propósito de evitarle la molestia y consecuencias propias de un juicio de esta naturaleza, le agradezco presentarse en un término no mayor a 3 días en las oficinas de Cartera de Comfamiliar Huila para acordar su forma pago.
Si al recibo de la presente comunicación, ya han(sic) sido cancelado el crédito, rogamos acercarse para hacer las aclaraciones pertinentes, con el objeto de evitar cobros improcedentes y reportes negativos no acordes ” El segundo texto que allega la sociedad investigada es del 15 de junio de 2017 y la constancia de envío es de fecha 21 de junio de 20175.
Anexos de descritos de descargos, radicado con número 20114132—0000900006, páginas 12 y 13. Anexos de descritos de descargos, radicado con número 20114132—0000900006, páginas 10 y 11 HOJA Nº, 6 La tercera comunicación que aporta la sociedad investigada es del 04 de agosto de 2017 y la constancia de envío es de fecha 9 de agosto de 20176.
La cuarta carta que presenta la sociedad investigada es del 03 de octubre de 2017, y la constancia de envío es de fecha 7 de octubre de 20177. De todo lo anterior, se tiene que la fecha de la primera comunicación remitida al Titular, es del 8 de junio de 2017, es decir con una fecha posterior a la generación de los reportes negativos por parte de la fuente, tal y como lo certifican los operadores de información, ya que el primer reporte negativo en CIFIN S.A.S se generó el 30 de marzo de 2017 y en EXPERIAN COLOMBIA S.A. el primer reporte negativo se generó en el mes de Abril de 2017.
Por lo que se concluye que al existir ausencia del documento que acredita la comunicación, con fecha anterior a la que la fuente efectuó el reporte negativo ante los operadores de información, se constata que, existe incumplimiento del deber especial establecido en el artículo 12 de la Ley 1266 de 2008. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente.
Anexos de descritos de descargos, radicado con número 20114132—0000900006, páginas 8 y 9. Anexos de descritos de descargos, radicado con número 20114132—0000900006, páginas 6 y 7. HOJA Nº, 7
3. POTESTAD SANCIONATORIA Y PROPORCIONALIDAD Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”8. La recurrente manifestó que, para efectos de la imposición de la sanción recurrida, el ente investigador no tuvo en cuenta el principio de proporcionalidad que orienta el derecho administrativo sancionador, es decir que la sanción impuesta sea razonable y proporcionada, y al mismo tiempo, no fueron considerados los criterios contemplados en el artículo 19 de la ley 1266 de 2008 numeral a).
Como se observa, la inconformidad de la recurrente radica en el monto de la sanción impuesta y no en desconocer las infracciones a la ley que originaron la multa impuesta mediante el acto administrativo recurrido. En el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente vulneró las disposiciones legales mencionadas en la parte resolutiva de la resolución recurrida.
Respecto de la sanción se destaca lo siguiente: I. La multa de SETENTA Y DOS MILLONES SEISCIENTOS DIECISEIS MIL PESOS M/CTE ($72.616.000) representa aproximadamente el 5,3% del máximo legal permitido 1500 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008. II. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1266 de 2008. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Aquellos principios están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209)..Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados.
IV. Las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos.
V. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº, 8 teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”9. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia10.
Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta se ajusta a derecho y obedece a las particularidades propias de esta actuación administrativa.
Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente.
4. APLICACIÓN DE LOS CRITERIOS DE ATENUACIÓN PARA LA GRADUACIÓN DE LA SANCIÓN IMPUESTA Esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos [sic] personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.
Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.
Al respecto, es importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios. 9 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº, 9 Ahora bien, al revisar en esta instancia el expediente y el contenido de la resolución recurrida se determina lo siguientes respecto de los de criterios de graduación contenido en el artículo 19 de la Ley 1266 de 2008.
Primero, no fueron aplicados los criterios AGRAVANTES contenidos en los literales b); c); d); ni, e) del mencionado artículo 19, pues dentro de la actuación no se encontró prueba de lo siguiente: a. Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción; b. Resistencia u obstrucción a la acción investigativa de esta superintendencia; c. Renuencia o desacato a cumplir las órdenes e instrucciones de la misma.
Segundo, no se tuvo en cuenta el único criterio ATENUANTE consagrado en el literal f) del mismo artículo, porque la recurrente en ningún momento hizo el reconocimiento expreso de la infracción cometida. Dado lo anterior, la decisión recurrida se adoptó conforme a derecho, razón por la cual no será revocada o modificada.
5. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que, la “libre competencia económica es un derecho de todos que supone responsabilidades” y que, la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que, demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.
6. RESPONSABILIDAD DE LOS ADMINISTRADORES POR EL INCUMPLIMIENTO DE LA LEY ESTATUTARIA 1266 DE 2008 Según el artículo 22 de la Ley 222 de 1995 11 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1266 de 2008 y cualquier otra norma. Es por eso que el artículo 23 de la mencionada Ley 222 establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, sino que en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”12.
(Destacamos). Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Cfr. Numeral 2 del artículo 23 de la ley 222 de 1995 HOJA Nº,10 Obsérvese que la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado, es decir, correcto, riguroso o ajustado con exactitud a lo establecido en la norma.
Velar por el estricto cumplimiento de la ley requiere que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real (no formal), efectiva y minuciosa. Por eso, los administradores deben cuidar con esmero este aspecto y no solo ser guardianes sino promotores de la correcta y precisa aplicación de la ley.
Esto, desde luego, los obliga a verificar permanentemente si la ley se está cumpliendo en todas las actividades que realiza su empresa u organización. Nótese que el artículo 24 13 de la ley citada presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad demanda que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”14 Todo lo anterior pone de presente no solo el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, sino el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales.
7. RESPONSABILIDAD DEMOSTRADA -ACCOUNTABILITY- Y “COMPLIANCE” EN EL CUMPLIMIENTO DE LA LEY ESTATUTARIA 1266 DE 2008 Según La Corte Constitucional “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”15. Adicionalmente, quienes recolectan, tratan o usan Datos personales no son dueños de esa información sino meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos.
En línea con lo anterior, la Ley 2157 del 29 de octubre de 2021 modificó la Ley Estatutaria 1266 de 2008 para, entre otras, exigir a los operadores, las fuentes y los usuarios que implementen medidas útiles, pertinentes y demostrables para cumplir lo que ordena la citada norma de 2008. En ese sentido, ordenan lo siguiente los artículos 12 y 13 de la Ley 2157 de 2021: “Artículo 12.
Adiciónese a la Ley 1266 de 2008 el articulo 19 A. El cual quedará así: Artículo 19A. Responsabilidad demostrada. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3.El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 Cfr. Corte Constitucional, sentencia T-227 de 2003 HOJA Nº,11 Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley.
Artículo 13. Adiciónese a la Ley 1266 de 2008 el artículo 19 B. El cual quedará así: Artículo 19 B. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo anterior, las medidas efectivas y apropiadas implementadas por los operadores, fuentes y usuarios de información deberán garantizar: 1.La existencia de una organización administrativa proporcional a la estructura y tamaño empresarial del operador, fuente y usuario de información para la adopción e implementación de políticas consistentes con la Ley 1266 de 2008. 2.La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.
La existencia de medidas y políticas específicas para el tratamiento adecuado de los datos personales por parte de los operadores, fuentes y usuarios de información será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley. Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los titulares de los datos.” (Énfasis añadido).
El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. La responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza 16 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los operadores, las fuentes y los usuarios pongan en marcha medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia 17. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
La responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 18.
(Destacamos). Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos. Cfr. Remolina Angarita, Nelson (2013) Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012. Primera edición. Editorial Legis.
Pág. 287 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con HOJA Nº,12 El Principio de Responsabilidad Demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información de manera que, por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los titulares de los datos personales y su gestión siempre sea respetuosa de los Derechos Humanos. La responsabilidad demostrada se articula con el concepto de “compliance” en la medida que éste hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos” 19.
También se ha afirmado que “compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”20. Adicionalmente se precisa que “ya no vale solo intentar cumplir” la ley sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”21. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 22 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”23.
CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: • • • • La comunicación previa de que trata el artículo 12 de la Ley Estatutaria 1266 de 2008 es un requisito imprescindible para poder realizar el reporte de información negativa. Si se omite dicho requerimiento, automáticamente se vulnera el debido proceso previsto en la ley para tal fin y el reporte es ilegal.
La CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA no cumplió el deber de comunicar previamente a efectuar el reporte negativo ante los Operadores de Información, impidiéndole a la Titular de los Datos controvertir su obligación crediticia o efectuar el respectivo pago, entre otros. La multa de SETENTA Y DOS MILLONES SEISCIENTOS DIECISEIS MIL PESOS M/CTE ($72.616.000) representa aproximadamente el 5,3% del máximo legal permitido 1500 salarios mínimos legales mensuales vigentes establecido en el artículo 18 de la Ley 1266 de 2008.
No fueron aplicados los criterios AGRAVANTES contenidos en los literales b); c); d); ni, e) del mencionado artículo 19 de la Ley 1266 de 2008. “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) Cfr. Bonatti, Francisco.
Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-de-compliance-iii/ Idem Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.
Págs 16-18 Ibid. P 16 HOJA Nº,13 • • No se tuvo en cuenta el único criterio ATENUANTE consagrado en el literal f) del mismo artículo, porque la recurrente en ningún momento hizo el reconocimiento expreso de la infracción cometida. Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución N°. 47207 del 28 de julio de 2021. En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR la Resolución N°.47207 del 28 de julio de 2021 de conformidad con lo expuesto en la parte motiva de la presente resolución ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA identificada con el NIT. 891.180.008-2 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C, marzo 25 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.25 ANGARITA Fecha: 11:48:44 -05'00' NELSON REMOLINA ANGARITA ALC Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: CAJA DE COMPENSACIÓN FAMILIAR DEL HUILA N.I.T. 891.180.008-2 XXXX XXXXXX XXXXXX XXXXXXX C.C. No. XX.XXX.XXX habeasdata@comfamiliarhuila.com CL 11 # 5- 63 Neiva - Huila República de Colombia Apoderado (a): Identificación: Correo electrónico: Dirección: Ciudad: País: XXXXX XXXXX XXXXXX XXXXXXX C.C.No. XX.XXX.XXX habeasdata@comfamiliarhuila.com CL 11 # 5- 63 Neiva - Huila República de Colombia HOJA Nº,14