Decisión 61173 de 2020 — SIC

REPÚBLICA DE COLOMBIA (30 de Septiembre) Radicación 18 – 137673 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que esta Superintendencia, tuvo conocimiento de la presunta violación de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS (en adelante EPS SOS S.A.) identificada con el NIT. 805.001.157-2, por lo que decidió iniciar una investigación administrativa teniendo en cuenta los siguientes hechos: 1.1 Señala el señor JOSE EDUAR YAIMA AGUDELO que el día 15 de marzo de 20181 remitió consulta y reclamación ante la sociedad EPS SOS S.A. en la cual le solicitó que le informaran: a. las razones por las cuales la EPS SOS S.A. no solicitó su autorización para tomar foto copia de su cédula de ciudadanía; b. las razones por las cuales la EPS SOS S.A. no le informó las Finalidades del Tratamiento de la recolección de la copia de su cédula de ciudadanía; c. las razones por las cuales la EPS SOS S.A. no informa sobre los fines, derechos y canales de los datos personales recaudados a través de las cámaras de seguridad ubicados en la sede del Edificio España de la ciudad de Cali; y, d. solicita conocer cuales son los datos del señor JOSE EDUAR YAIMA AGUDELO que está tratando la EPS SOS S.A. y bajo qué Finalidades. 1.2 Aclara que su denuncia es presentada ante esta Superintendencia dado que: (i) La consulta y reclamación presentada ante EPS SOS S.A. no fue resuelta en su totalidad, (ii) Al momento de solicitar sus datos personales no le solicitaron la autorización para el Tratamiento de la información de manera previa e informada y, 1 Folio 1 al

3. RESOLUCIÓN NÚMERO 61173 DE 2020 (iii) Las evidencias anexadas por la entidad promotora de salud en relación a los avisos de privacidad en las cámaras de seguridad o CCTV no muestran que el Tratamiento de este tipo de datos se efectúe bajo las disposiciones de la Ley 1581 de 2012.

SEGUNDO. Que mediante Resolución No. 86645 de 27 de noviembre de 20182, la Dirección de Investigación de Protección de Datos Personales, resolvió iniciar una investigación administrativa y formular pliego de cargos contra la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS identificada con el NIT. 805.001.157-2, por la presunta violación de las normas sobre protección de datos personales consagradas en: (i) el artículo 2.2.2.25.3.2 del Decreto Único Reglamentario 1074 de 2015 en concordancia con el artículo 2.2.2.25.3.3, ejúsdem, (ii) el literal c) del artículo 17 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.3 del Decreto Único Reglamentario 1074 de 2015 y, (iii) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley mencionada anteriormente.

TERCERO. Que mediante Resolución No. 4278 de 22 de febrero de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió ampliar la formulación de cargos a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con NIT. 805.001.175-2 por la presunta violación del literal j) del artículo 17 de la Ley 1581 de 2012.

CUARTO. Que una vez agotada la etapa probatoria, y efectuado el análisis de los elementos que reposan en el expediente, así como el escrito de descargos3 y el material probatorio4 allegados por ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 49160 de 25 de septiembre de 20195, resolvió: (…)

QUINTO. Que en el término legal establecido, mediante escrito radicado 18-137673-36 de 21 de octubre de 20196, la apoderada especial de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS (en adelante la recurrente), 2 Folios 122-125. 3 Comunicación 18-137673-13 de 2 de enero de 2019. Folios 53 a 65. 4 Ibídem. 5 Folios 162-172 6 Comunicación 18-137673-36.

Páginas 1 a

25. RESOLUCIÓN NÚMERO 61173 DE 2020 interpuso recurso de reposición y en subsidio de apelación7, contra la Resolución No. 49160 de 25 de septiembre de 2019, con fundamento en los siguientes argumentos: Comienza su escrito mencionando la falsa motivación de los actos administrativos y agrega que la sanción impuesta adolece de vicio de nulidad por falsa motivación por cuanto considera que la decisión se basó en hechos que, a su juicio, no se encontraban debidamente probados.

Dice que este Despacho basa la decisión en argumentos que no son ciertos y carecen de una fundamentación probatoria dentro del expediente correspondiente al presente acto administrativo. Sobre el cargo tercero la recurrente asevera que los argumentos de este Despacho no son ciertos afirmando que dichos argumentos carecen de fundamentación probatoria.

Adicionalmente alega que “(…) se aportó el documento titulado “Políticas de Seguridad de la Información”, no es cierto que el documento aportado fuera su “primera versión” como aduce su dirección a folio 11, en cambio si es cierto que esta es una versión actualizada del documento solicitado (…)”8 y que este Despacho no solicitó una trazabilidad de dicho manual.

Asegura que al presentar dicho documento si ha cumplido con la implementación de un manual que detalla los mecanismo, medidas y protocolos de seguridad que garantizan la protección de la información sensible, privada y semiprivada de los titulares. En cuanto a la formulación de cargos y la sanción impuesta, asevera que el Despacho “(…) fundamenta la sanción impuesta en argumentos opuestos a los que fueron el fundamento del cargo tercero, al enunciar que, si hay un manual, sin embargo, este no se adoptó desde la vigencia de la Ley 1581 de 2012(…)”.

Por esto manifiesta que existe una vulnera el principio de congruencia propio de los actos administrativos. Sobre lo anterior, afirma que mediante las herramientas “Metadatos” puede probar que los documentos fueron creados con anterioridad a la actualización realizada el día 24 de septiembre de 2018. Sostiene que los “Metadatos”: “(…) son datos propios de los documentos, no de su contenido; son datos que contiene información sobre el propio documento que requiere analizarse.

( ) Los metadatos permiten que los documentos sean auténticos, íntegros, confiables, usables y tengan valor probatorio ( )”9. A fin de validar la fecha de creación de los documentos, utiliza las herramientas “Isoluciony”, a través de la cual: “(…) realizó la verificación a través de dos herramientas de Metadatos (…)”10. De dichas herramientas aporta las capturas de pantalla, las cuales, según afirma la recurrente, permiten verificar la fecha de creación de los documentos.

Por otro lado, sobre el cargo cuarto considera que “( ) al hacer nuevamente una validación de fondo frente a la respuesta emitida el día 06 de abril de 2018 al señor JOSE EDUAR YAIMA AGUDELO, es posible constar que en la misma SI se le informa sobre qué datos está tratando la EPS y para qué finalidades está haciendo dicho tratamiento, esto se resuelve al remitir al usuario a la Política de Tratamiento de Datos Personales publicada a través de nuestra página web www.sos.com.co ( )”11. 7 Folios 187-199 8 Folio 194 (reverso) 9 Ibídem 10 Comunicación 18-137673-36.

Página 6. 11 Folio 198. RESOLUCIÓN NÚMERO 61173 DE 2020 Señala que “( ) fue necesario enviar un nuevo correo electrónico al señor JOSE EDUAR YAIMA AGUDELO, en el que se da un alcance [a] su reclamación indicándole que en lo que se refiere a su solicitud de ’Informar a mí persona, qué datos míos está tratando la EPS, Servicio Occidental de Salud SOS S.A. y para qué fines”, en el correo remitido se le manifestó́ que esta información se encuentra contenida en nuestra Política de Tratamiento de Datos Personales, publicada a través de nuestra página web www.sos.com.co ( )”12.

Finalmente sostiene que “( ) la respuesta dada por mí representada si cumple con lo determinado por el literal j) del artículo 17 de la Ley 1581 de 2012, en cuanto a tramitar las consultas y reclamos formulados en los términos señalados en dicha ley, pues la respuesta ha sido dada de manera clara y de fondo, dando plena atención frente a cada uno de los puntos elevados por el titular en su reclamación ( )”13.

Por otra parte, alega la recurrente que existe una ausencia de culpabilidad por parte de la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS., dado que esta ha actuado con prudencia y diligencia en el cumplimiento de los deberes sancionados. Así las cosas, sostiene que el Despacho debe atender los criterios del numeral 6 del artículo 50 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA.14 Concluye este argumento afirmando que: “En consecuencia, carece de respaldo constitucional la imposición de sanciones administrativas de plano con fundamento en la comprobación objetiva de una conducta ilegal, en razón del desconocimiento que ello implica de los principios de contradicción y de presunción de inocencia, los cuales hacen parte del núcleo esencial del derecho al debido proceso.

A la EPS SERVICIO OCCIDENTAL DE SALUD - EPS SOS S.A. no se le puede imponer una sanción pecuniaria en relación a (sic) que no se ha probado la culpa o responsabilidad subjetiva y la deficiencia en la prestación de los servicios de salud.”15 Indica que hay una indebida imposición de la sanción y su graduación, ya que, según afirma, existe una contradicción entre los argumentos de la investigación administrativa y la motivación frente a la graduación e imposición de la sanción asegura que: “( ) exige delimitación acorde a lo acontecido y probado y por ende la facultad del investigador no es ilimitada ni arbitraria pues debe ser acorde a los principios constitucionales de los cuales se rescatan, El Debido Proceso (sic) que exige la existencia de una norma y la prueba inminente de haber sido vulnerada por el investigado que le permita adelantar un proceso investigativo y bajo la certeza de la violación alegada podría imponer una sanción ( )”.16 Finalmente asevera que la Dirección al no encontrar fundamento para sancionar, concluye que el documento aportado como “Políticas de Seguridad de la Información” con fecha de actualización del 24 de septiembre de 2018, no fue implementada al entrar en vigor la Ley 1581 de 2012, es decir para el 17 de abril de 2013.

Sugiere que dicha fundamentación no es consecuente con los cargos imputados y no es veraz dado que la recurrente ha trabajado desde el año 2009 en la creación de manuales internos que garanticen la protección de datos. Menciona que la misma situación se presenta en el cargo cuarto ya que fue posible 12 Ibídem. 13 Ibídem. 14 Folio 199. 15 Folio 200. 16 Folio 200 (reverso).

RESOLUCIÓN NÚMERO 61173 DE 2020 comprobar que la contestación a la reclamación del señor JOSE EDUAR YAIMA AGUDELO se dio de forma clara y precisa. Concluye que no está probado el daño y que no están puestos en peligro los intereses jurídicos tutelados en la Ley 1581 de 2012, al afirmar que “mi representada ha implementado toda la documentación pertinente en la modalidad de políticas y manuales para garantizar la protección de datos de nuestros usuarios, especialmente aquellos categorizados como sensibles y datos de niños y adolescentes”.17 Sostiene que existe una ausencia de daño o riesgo ya que la entidad ha velado y garantizado la protección de los datos del señor JOSE EDUAR YAIMA AGUDELO.

Considera que no hay prueba dentro de los argumentos utilizados por este Despacho, para afirmar que haya un daño o peligro a los intereses jurídicos tutelados en la Ley 1581 de 2012, dado que, según la recurrente, se han llevado a cabo y cumplido todos los procesos para garantizar la debida protección de los datos de los usuarios de la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS Asegura que hay un desafuero al graduar la sanción y que, por tanto, se da una vulneración a los principios de proporcionalidad y gradualidad.

Comienza realizando un recuento de lo que manifiestan dichos principios y concluye alegando que el Despacho desconoce los matices de dichos principios al no ser consecuentes las normas acusadas con las verdaderas conductas emprendidas por parte de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS las cuales no evidencian culpabilidad alguna ni establecen una trascendencia social de la falta o el perjuicio causado en persona en debilidad manifiesta o con protección constitucional reforzada.

Finalmente, la recurrente solicita a este Despacho tener en cuenta el principio de non reformatio in pejus, con el fin de no hacer más gravosa la sanción impuesta y que se revoque la Resolución 49160 de 25 de septiembre de 2019.

SEXTO. Que mediante la Resolución No. 68620 de 29 de noviembre 201918, esta Superintendencia resolvió decretar de oficio las siguientes pruebas:

SÉPTIMO. Que mediante la Resolución No. 44628 de 04 de agosto de 202019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, 17 Folio 201 18 Folios 205 a 214. 19 Resolución 44628 de 04 de 2020. RESOLUCIÓN NÚMERO 61173 DE 2020 mediante la cual la Dirección de Investigación de Datos Personales decide reducir a la mitad la sanción interpuesta por el cargo tercero, adicionalmente concede el recurso de apelación solicitado por la recurrente.

De tal modo dicha resolución resuelve:

OCTAVO. Que mediante comunicación de radicado 18-137673-51 de 25 de agosto de 202020, la apoderada especial de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS presenta un documento bajo el asunto Ampliación recurso de Apelación concedido mediante Resolución 44628 del 04 de agosto de 2020. En dicho documento comienza planteando un recuento de lo contenido en la resolución mencionada y alega lo siguiente: Expresa su inconformidad con la decisión final de la Resolución No. 44628 de 04 de agosto de 2020, mediante la cual, el Despacho, decide reducir la multa por el cargo tercero a la mitad y mantener la sanción correspondiente al cargo cuarto. Alega la recurrente que hay una clara vulneración del principio de legalidad como elemento fundamental del debido proceso y confirma que existe un vicio de nulidad al imponer la sanción dado que la entidad cumple con lo estipulado en la Ley 1581 de 2012 y ha allegado todo el material probatorio pada demostrar lo anterior.

Afirma que, existe una incongruencia entre la motivación del cargo tercero y la imposición de la sanción sobre dicho cargo, dado que el cargo tercero“(…)presuntamente mí representada no habría adoptado un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de las normas que corresponden a la protección de datos personales, la Dirección termina sancionando a mí representada bajo un argumento TOTALMENTE DISTINTO al inicialmente establecido, puesto que el concepto de la sanción es inexplicablemente cambiado y establece que el motivo por el cual impone la misma se debe a que presuntamente mí representada no estaría implementando dicho manual a la entrada en vigencia de la Ley 1581 de 2012, esto es, al 17 de abril de 2013(…)”.21 (Negrilla y subrayado del texto original) Señala la recurrente que aportó la documentación necesaria para probar que el manual de seguridad existe y se ha dado cumplimiento a lo que se estipula en el literal k) del artículo 17 de la Ley 1581 de 2012.

Sostiene que, dado que se sustento con evidencia la existencia del manual, este Despacho estría violando el derecho al debido proceso de la recurrente al imponerle una sanción que no es la motivación del cargo tercero. Dice que el Despacho estaría vulnerando el principio de legalidad y defensa, propios del debido proceso por la falta de congruencia mencionada anteriormente entre la imposición de la sanción y los motivos del cargo tercero. 20 Comunicación 18-137673-51.

Páginas 1 a 9. 21 Ibídem. Página

3. RESOLUCIÓN NÚMERO 61173 DE 2020 Manifiesta que en mediante la Resolución No. 44628 de 04 de agosto de 2020, el Despacho reconoce que si existe el manual y que la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS ha implementado ciertas medidas de seguridad cuestiona “(…)¿Por qué, si la dirección reconoce que este manual SI se adoptó, sanciona por una razón TOTALMENTE DISTINTA consistente en que la Política de Seguridad de la Información no se había adoptado en la vigencia de la Ley 1581 de 2012? (…)”22 Sobre el cargo cuarto, indica que la entidad si cumplió con su deber de responder a todas las peticiones del señor JOSE EDUAR YAIMA AGUDELO.

La recurrente afirma que “(…)es posible constar que en la misma SI se le informa sobre qué datos está tratando la EPS y para qué finalidades está haciendo dicho tratamiento, esto se resuelve al remitir al usuario a la Política de Tratamiento de Datos Personales publicada a través de nuestra página web www.sos.com.co donde se le indica además que la misma contiene unos lineamientos internos encaminados a velar por la protección de datos personales de nuestros grupos afiliados (…)”.23 Finalmente solicita al Despacho tener en cuenta el principio de non reformatio in pejus para no hacer más gravosa la sanción impuesta y pide que se revoque la Resolución No. 44628 de 04 de agosto de 2020.

NOVENO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”

DÉCIMO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 49160 de 25 de septiembre de 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, 22 Ibídem.

Página 6. 23 Ibídem. Página

7. RESOLUCIÓN NÚMERO 61173 DE 2020 CONSIDERACIONES DEL DESPACHO

1. COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO DE ACUERDO CON LA LEY 1581 DE 2012. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 19 de la Ley 1581 de 2012 dispone que “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley” A su vez, el artículo 21 de la misma ley, dispone que esta entidad (en adelante SIC), debe cumplir las siguientes funciones: “(…) a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

(…) k) Las demás que le sean asignadas por ley”. Por su parte, el artículo 16 del Decreto 4886 de 26 de diciembre de 201124 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 2. Velar por el cumplimiento de las normas y leyes vigentes y proponer nuevas (…) 7.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. Teniendo en cuenta lo anterior, a continuación, nos pronunciaremos sobre los argumentos del recurso de reposición y en subsidio apelación. 24 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 61173 DE 2020

2. DE LA SANCIÓN IMPUESTA Este Despacho observa que mediante el recurso de reposición se redujo la multa inicial en un 51,21%. En efecto de $169,763,780 impuesta mediante la Resolución 49160 del 25 de septiembre de 2019 se redujo a $86,952,180 en la Resolución 44628 del 4 de agosto de 2020. Resolución 49160 del 25 de septiembre de 2019 Monto de la $169,763,780 multa Normas Literales k) y j) del artículo 17 infringidas de la Ley 1581 de 2012 en concordancia con el literal g) de artículo 4 y el artículo 14 de dicha Ley.

Resolución 44628 del 4 de agosto de 2020 $86,952,180 Literales k) y j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) de artículo 4 y el artículo 14 de dicha Ley. Igualmente, se puede constatar que son idénticas las normas infringidas que señalan en la parte resolutiva de las dos resoluciones. Allí se manifiesta que la recurrente infringió los Literales k) y j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) de artículo 4 y el artículo 14 de dicha Ley.

Dichas normas ordenan lo que sigue a continuación: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

CONSULTAS. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán RESOLUCIÓN NÚMERO 61173 DE 2020 suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. (…)” Dado lo anterior, a continuación se establecerá si efectivamente se incumplieron dichas normas a la fecha en que se formularon los cargos.

En efecto mediante la Resolución 86645 del 27 de noviembre de 2018, cuya parte resolutiva dice lo siguiente: Dichos cargos fueron ampliados mediante la Resolución 4278 del 22 de febrero de 2019 en donde se incluyeron como normas presuntamente vulneradas el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 14 de la misma norma.

3. DE LA COHERENCIA ENTRE LOS CARGOS FORMULADOS Y LA SANCIÓN IMPUESTA. Del artículo 47 de la Ley 1437 de 201125 se concluye que el pliego de cargos es la imputación que hace una entidad pública a un persona natural o jurídica cuando como resultado de averiguaciones preliminares establece que existen méritos para adelantar un procedimiento sancionatorio.

La finalidad de dicho pliego es informar al investigado de los hechos y normas presuntamente infringidas para que presente los descargos y solicite o aporte las pruebas que pretendan hacer valer. Con miras a garantizar el derecho de defensa, la formulación de cargos debe ser precisa de manera que el investigado conozca claramente de qué se le acusa y pueda presentar sus argumentos.

En ese sentido, el citado artículo 47 ordena lo siguiente:

ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…) 25 Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. RESOLUCIÓN NÚMERO 61173 DE 2020 Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes. (…)” (Destacamos) Sobre este punto, el Consejo de Estado ha recalcado que “se precisa que la pieza procesal esencial sobre la que se edifica un proceso sancionatorio es el pliego de cargos el que debe tener absoluta coherencia con la decisión que pone fin a la actuación, debiendo cumplir estrictos requisitos formales y sustanciales, dentro de los cuales tiene especial trascendencia la precisión y claridad de los hechos que son motivo de investigación y por los cuales se formula la imputación, de la misma manera que la modalidad en que ocurrieron, y las circunstancias de agravación de la sanción que hayan sido deducidas, así como la calificación jurídica de tales situaciones”26 (Destacamos) La formulación de cargos debe ser clara y precisa para que el investigado se defienda sobre lo que concretamente se le acusa.

En caso que se adopte una sanción, la misma debe ser respecto de lo que se acusó al investigado. En otras palabras, debe existir coherencia entre los cargos y la sanción. No se puede sancionar por un hecho o conducta sobre la cual no se le imputó cargos al investigado. Lo anterior tiene que ser así para garantizar el debido proceso que comprende, entre otras, el derecho de contradicción y defensa.

En suma, debe existir congruencia entre el cargo formulado y la sanción impuesta de manera que no se sancione por una conducta no señalada en el pliego de cargos. En línea con lo anterior, el Consejo de Estado han señalado que “es importante resaltar que para adoptar la decisión definitiva la administración deberá mantener las mismas garantías formales establecidas para el pliego de cargos acto con el cual deberá guardar coherencia como una manifestación del acatamiento de la administración al principio de congruencia y del respeto del debido proceso”27 (Destacamos).

Puntualmente, dicha Corporación ha precisado que “la Sala ha sostenido que las sanciones deben imponerse por los mismos hechos planteados en el pliego de cargos, puesto que si se sanciona por hechos distintos se desconoce el debido proceso, dado que el administrado no tiene la oportunidad de ejercer su derecho de defensa”.28 (Destacamos) Dado lo anterior, se procederá a verificar si las normas por las cuales se impuso la sanción fueron incluidas en la formulación de cargos. 26 Cfr. Consejo de Estado, Sección Quinta.

Consejera ponente: Rocío Araújo Oñate Bogotá D.C., veintidós (22) de febrero de dos mil dieciocho (2018). Radicación Número: 25000232400020100034801 27 Cfr. Consejo de Estado. Sala de Consulta y Servicio Civil. Consejero Ponente: Álvaro Namén Vargas. Bogotá D.C., treinta (30) de octubre de dos mil trece (2013).-Rad. No. 11001-03-06-000-2013-00392-00 28 Cfr. Consejo de Estado Sala de lo Contencioso Administrativo Sección Cuarta:Consejero Ponente: Martha Teresa Briceño De Valencia. Bogotá D.C., Treinta (30) de agosto de dos mil dieciséis (2016).

Radicación número: 20001-23-33-000-2012-00204-01(20771). En la sentencia citan estas decisiones del Consejo de Estado: Sentencias de 6 de agosto de 1998, C.P. doctor Delio Gómez Leyva, Exp. 9886; de 14 de abril de 2000, C.P. doctor Germán Ayala Mantilla, 2 de noviembre de 2001, C.P. doctora Ligia López, Exp. 12283 y de 10 de julio de 2014, C.P. Martha Teresa Briceño de Valencia, exp. 19212.

RESOLUCIÓN NÚMERO 61173 DE 2020 Normas por las cuales se sancionó mediante las Resoluciones 49160 del 25 de septiembre de 2019 y 44628 del 4 de agosto de 2020 • • • • Literal k) del artículo 17 de la Ley 1581 de 2012 Literal j) del artículo 17 de la Ley 1581 de 2012 Literal g) del artículo 4 de la Ley 1581 de 2012 Artículo 14 de la Ley 1581 de 2012 ¿La norma fue incluida en la parte resolutiva de la formulación de cargos de las Resolución 86645 del 27 de noviembre de 2018 y 4278 del 22 de febrero de 2019 ? Si Si Si Si En conclusión, si existió congruencia entre los cargos29 formulados y la sanción impuesta.

4. DEL DEBER DE RESPONDER CONSULTAS Y RECLAMOS DE LOS TITULARES DE LOS DATOS La Ley 1581 de 2012 diferencia las consultas de los reclamos y establece los términos y procedimientos en cada caso, lo cual ilustramos a continuación: CONSULTAS RECLAMOS Norma que lo regula Artículo 14 de la Ley 1581 de 2012 Artículo 15 de la Ley 1581 de 2012 Objetivo Consultar la información personal del Titular que repose en cualquier base de datos Término de respuesta 10 días hábiles contados a partir de la fecha de recibo de la misma. • Corregir, actualizar o suprimir información • Exigir el cumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012 15 días hábiles contados a partir del día siguiente a la fecha de su recibo.

En el presente caso, en la resolución recurrida se asumió que se trataba de un reclamo porque se concluyó lo siguiente en la página 14 de la Resolución 49160: 29 En la formulación de cargos se citan como normas presuntamente infringidas los artículos 2.2.2.25.3.2. (Aviso de privacidad) y 2.2.2.25.3.3. (Contenido mínimo del Aviso de Privacidad) del Decreto 1074 de 2015.

Respecto de estas disposiciones no se impuso ninguna sanción. RESOLUCIÓN NÚMERO 61173 DE 2020 Y en las conclusiones, se establece lo que sigue a continuación en la página 16 de la precitada resolución: Pese a que se afirma que se trata de un reclamo regulado por el artículo 15 de la Ley 1581 de 2012, en la parte resolutiva de la resolución recurrida se sanciona por infringir el artículo 14.

Dado lo anterior, se revocará parcialmente la resolución respecto de la infracción del artículo 14 y se mantendrá lo referente al literal j) del artículo 17. Sobre la infracción de las dos normas se impuso una multa de $4,140,580 tal y como se puede constatar en la parte final del numeral 11.1.1. de la resolución 49160 del 25 de septiembre de 2019.

Así las cosas, se reducirá en un 50% dicha multa de manera que será de $2,070,290 por infringir el literal j) del artículo 17 de la Ley 1581 de 2012.

5. DEL DEBER DE CONTAR CON UN MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA GARANTIZAR EL ADECUADO CUMPLIMIENTO DE LA LEY ESTATUTARIA 1581 DE 2012. La recurrente fue sancionada por infringir el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) de artículo 4 de dicha Ley. Dichas normas ordenan lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)” ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar RESOLUCIÓN NÚMERO 61173 DE 2020 con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” Este Despacho ha señalado que transcribir o parafrasear lo que dice la Ley no cumple lo ordenado por el literal k) del artículo 17 de la Ley 1581 de 2012, ya que el mismo exige que en el manual interno se definan las “políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley”.

Como es sabido, la regulación colombiana establece el contenido mínimo de las Políticas de Tratamiento de Información30 (PTI) que son diferentes al manual a que se refiere el literal k) del artículo 17. Aunque la Ley no dice -como sucede con las PTI- qué debe contener en detalle el manual, el mismo, por lo menos, debe señalar las “políticas y procedimientos para garantizar el adecuado cumplimiento” de la Ley 1581 de 2012.

En el expediente obran las siguientes pruebas: (…).31 Tabla de “Metadatos” sobre documentos y políticas de seguridad creados desde 200932: 30 Cfr. Artículo 13 del Decreto 1377 de 2013, incorporado en el artículo 2.2.2.25.3.1. del Decreto 1074 de 2015. 31 Comunicación 18-137673- 51. Página 5. 32 Comunicación 18-137673- 36. Página

5. RESOLUCIÓN NÚMERO 61173 DE 2020 (…). 33 Documento titulado Sistemas de Gestión de Seguridad de la Información y Políticas de Seguridad de la Información de 2010.: (…).34 33 Folio 193. 34 Comunicación 18-137673-36. Anexo

2. RESOLUCIÓN NÚMERO 61173 DE 2020 Políticas de Seguridad de la Información actualizada el 24 de septiembre de 2018: (…).35 Captura de pantalla del “Acuerdo de Seguridad de la Información” creado por la Entidad Promotora de Salud EPS SOS S.A. el 11 de diciembre de 2009: (…). 36 Captura de pantalla “Políticas de Seguridad de la Información SOS”, documento creado por la Entidad Promotora de Salud EPS SOS S.A. el día 6 de diciembre de 2011. 35 Folios 72 al 96. 36 Comunicación 18-137673-36.

Página

7. RESOLUCIÓN NÚMERO 61173 DE 2020 Corresponde al documento inicial de referencia para la definición de la Política de seguridad de la información (Versiones 0 y 1): (…). 37 Captura de pantalla “Política de Tratamiento de la Información”, documento creado por la Entidad Promotora de Salud EPS SOS S.A. el día 8 de agosto de 2013: (…). 38 37 Ibídem. 38 Ibídem.

RESOLUCIÓN NÚMERO 61173 DE 2020 Certificación de la empresa PASSWORD CONSULTING SERVICE SAS: (…). 39 Certificación del Gerente General de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS: (…).40 39 Comunicación 18-137673-36. Documento anexo. 40 Ibídem. RESOLUCIÓN NÚMERO 61173 DE 2020 Del análisis las anteriores pruebas se puede establecer que desde el año 2009 la recurrente ha expedido diversos documentos sobre seguridad de la información razón por la cual no encuentra este Despacho que la sociedad haya incumplido el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) de artículo 4 de dicha Ley.

Debe advertirse que el contenido de los mismos depende del análisis de riesgos de seguridad de cada organización, razón por la cual esta entidad no puede exigir unos mínimos que no son requeridos por la Ley 1581 de 2012 y sus decretos reglamentarios. No obstante lo anterior, debe resaltarse que sin seguridad no hay debido tratamiento de datos personales.

Por eso, la Ley 1581 de 2012 establece lo siguiente: “La información sujeta a tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;(…)”41 En desarrollo de lo anterior, la Ley impone a los Responsables y Encargados del Tratamiento los siguientes deberes: • “Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”42 El principio y el deber de seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables o Encargados del Tratamiento a adoptar las medidas necesarias para evitar posibles afectaciones a la seguridad de los datos. Pero, si las medidas de seguridad fallan, las organizaciones deben estar preparadas para mitigar los riesgos y daños que se pueden causar a los derechos y las libertades fundamentales de los Titulares y a las organizaciones, los cuales pueden ser de gravedad y probabilidad variables, materiales o inmateriales.

La seguridad es un tema complejo que dicta buena parte de lo que debe ser un tratamiento debido de datos personales -desde la recolección, su uso, almacenamiento, análisis, circulación y cualquier otra actividad-. La seguridad requiere un enfoque multidisciplinar -incluye a ingenieros, físicos, matemáticos, administradores, abogados, entre otras especialidades- y abarca muchos enfoques desde el tecnológico, pasando por lo jurídico, físico, administrativo administrativo hasta lo humano. La seguridad impacta en muchas áreas y sectores de relevancia social y económica.

Al tratarse de un asunto estratégico para el tratamiento de datos personales, resulta necesario que las empresas no ahorren esfuerzos en garantizarla en todo momento y en actuar de oficio para generar confianza en sus clientes y en la sociedad. Es necesario que los procesos de seguridad no se queden pactados en los documentos sino que sea implementados en la práctica.

No basta la “seguridad en el papel” sino en la realidad de las operaciones y en las prácticas de una organización. 41 Cfr. Literal g) del artículo 4 de la Ley 1581 de 2012 42 Cfr. Literales d) y b) de los artículos 17 y 18 de la Ley 1581 de 2012 RESOLUCIÓN NÚMERO 61173 DE 2020 No se trata únicamente de redactar textos o políticas sino de aplicar en la práctica todo lo que se dice o promete en las políticas, publicidad y demás comunicaciones de los Responsables o Encargados.

No se ajusta a derecho ni es ético prometer seguridad en el papel y no cumplirla o garantizarla en el día a día de las operaciones o actividades de una empresa. El desafío de la seguridad es inmenso. Es imprescindible asegurar permanentemente los datos personales -No ocasionalmente-. Desde hace algunas décadas se ha afirmado que la confianza es factor crucial para el crecimiento y consolidación de cualquier actividad que involucre el tratamiento de datos personales.

Por eso, se ha sostenido que “las actividades continuas de creación de confianza deben ser una de las prioridades estratégicas más importantes para cada organización”43. La confianza se entiende como la expectativa de que “se puede contar con la palabra del otro”, y de que se emprenderán acciones positivas y beneficiosas entre las partes de manera recíproca.

Cuando existe confianza, la persona cree que una entidad es fiable; cumple su palabra; es sincera; íntegra y lleva a cabo con las acciones prometidas44.

6. SOBRE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO

49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 43 Cfr. Edelman Trust Barometrer de 2019.https://www.edelman.com/trust-barometer Cfr. Barrera Duque, Ernesto (2018) Diseño organizacional centrado en el cliente. Teoría y práctica en empresas sociales.

Universidad de la Sabana y Ecoe ediciones. RESOLUCIÓN NÚMERO 61173 DE 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Con fundamento en lo anterior, este Despacho procederá́ a modificar la resolución recurrida con el fin de expresar la multa impuesta en unidades de valor tributario (UVT) 45 tal como lo indica la Ley 1955 de 2019. 7.

CONCLUSIONES Si perjuicio de lo establecido, se modificará la resolución recurrida porque la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS: 1. Cuenta con un manual interno de políticas y procedimientos sobre seguridad de la información 2. No infringió el artículo 14 de la Ley 1581 de 2012 3. No respondió de manera completa la solicitud del Titular del dato, vulnerando lo que ordena el artículo literal j) del artículo 17 de la Ley 1581 de 2012.

De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se modificará el artículo primero de la Resolución 49160 del 25 de septiembre de 2019, modificada mediante la Resolución 44628 del 4 de agosto de 2020. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. MODIFICAR el ARTÍCULO PRIMERO de la Resolución 49160 del 25 de septiembre de 2019, modificada mediante la Resolución 44628 del 4 de agosto de 2020 de conformidad con lo expuesto en la parte motiva del presente acto administrativo:

ARTÍCULO PRIMERO. IMPONER una sanción pecuniaria a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS, identificada con el Nit. 805.001.157-2 de DOS MILLONES SETENTA MIL DOSCIENTOS NOVENTA PESOS M/CTE ($2.070.290), equivalente a 58,14278091386525 Unidades de Valor Tributario (UVT), por la violación a lo dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012.

ARTÍCULO SEGUNDO. Confirmar en todas las demás partes la Resolución 49160 del 25 de septiembre de 2019, modificada mediante la Resolución 44628 del 4 de agosto de 2020. 45 De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 RESOLUCIÓN NÚMERO 61173 DE 2020 ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente Resolución a ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A SOS, identificada con el NIT. 805.001.157-2, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión al señor JOSE EDUAR YAIMA AGUDELO identificado con la Cédula de Ciudadanía No. 94. 405. 416 entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO QUINTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 de septiembre de 2020 El Superintendente Delegado para la Protección de Datos Personales NELSON Firmado digitalmente por REMOLIN NELSON REMOLINA ANGARITA A Fecha: 2020.09.30 ANGARITA 14:12:51 -05'00' NELSON REMOLINA ANGARITA MCNB RESOLUCIÓN NÚMERO 61173 DE 2020 NOTIFICACIÓN Investigada: Identificación: Representante legal: Identificación: Apoderada especial: Identificación: Dirección: Dirección: Ciudad: Correo electrónico: ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS Nit. 805.001.157-2 Herney Borrero Hincapié C.C. 14.799.968 María del Mar Orejuela Vernaza C.C. 1.144.041.232 Avenida las Américas No.23-55 Carrera 56 No. 11ª – 88 Barrio Santa Anita Cali – Valle del Cauca. notificacionesjudiciales@sos.com.co COMUNICACIÓN Señor: Identificación: Dirección: Ciudad: Correo electrónico: JOSE EDUAR YAIMA AGUDELO C.C. 94. 405. 416 Carrera 1B No. 51 – 36.

Conjunto Residencial Robles del Norte, Apto 510. Torre 3. Barrio la Alianza Cali – Valle del Cauca. jeyaima@yahoo.com

Resolución sancionatoria N° 61173 de 2020

CONSIDERANDO

ARTÍCULO

RESUELVE