REPÚBLICA DE COLOMBIA (26 de junio) Radicación 18 – 233804 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 17615 de 29 de mayo de 20191, la Dirección de Investigación de Protección de Datos Personales, resolvió lo siguiente:
SEGUNDO. Que la Resolución No. 17615 de 29 de mayo de 20192, fue notificada mediante conducta concluyente a la sociedad UNE EPM TELECOMUNICACIONES S.A el día 28 junio de 20193.
TERCERO. Que mediante escritos presentados los días 26 de junio de 20194 y 28 de junio de 20195, la sociedad UNE EPM TELECOMUNICACIONES S.A (en adelante la recurrente) mediante Apoderada General interpuso Recurso de Reposición y en subsidio de Apelación contra la Resolución N°17615 de 29 de mayo de 2019 con fundamento en los siguientes argumentos:
1. INDEBIDA IMPUTACIÓN FÁCTICA: Afirma la recurrente que, “es posible concluir que la eliminación de la información personal del reclamante de las bases de datos de UNE no era procedente al existir un deber contractual de que dicha información permaneciera”6. De igual forma, expresa la recurrente como “a pesar de que la solicitud inicial del Titular era la corrección de la información para 1 Expediente, folios 106-111. 2 Expediente, folios 106-111. 3 Expediente, folio 156. 4 Consecutivo número 00022-0000.
Expediente, folios 157 a 189. 5 Consecutivo número 00019-000. Expediente, folios 120 a 153. 6 Expediente, folio124. RESOLUCIÓN NÚMERO 32180 DE 2020 dejar de recibir las facturas y mensajes de cobro por una línea que no le correspondía y no la eliminación de su información personal de las bases de datos de la Compañía”7. Por lo tanto, concluye la recurrente que “la Dirección de Investigación de Protección de Datos Personales erró al imponer una sanción a mi representada por una conducta que no debía cumplirse, de acuerdo a lo dispuesto en el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.
2. INDEBIDA VALORACIÓN PROBATORIA: En palabras de la recurrente, “es claro que la SIC al momento de sus fallos de orden y de sanción no tuvo en cuenta todas las pruebas aportadas por mi representada”8, lo anterior, toda vez que “por lo expuesto (…) en el escrito de descargos se incluyeron las últimas facturas expedidas para el contrato N° 10609769 con fechas límite de pago entre noviembre de 2014 y mayo de 2015, en las que se observa como titular de los servicios a una persona diferente”9.
Agrega como, con lo anterior, “se demuestra que el cobro de los servicios cuya titularidad no le correspondía al señor Sergio Nicolás Álvarez Peláez y que fue la situación que expuso en su PQR inicial, se venía realizando a otra usuaria desde el mes de noviembre de 2014 y así continuó hasta la fecha en que se cerró el servicio por falta de pago”10. 3.
AFECTACIÓN A LA LIBERTAD DE EMPRESA: El cargo en comento se sustenta en cuanto la Superintendencia de Industria y Comercio, ordenó implementar un procedimiento 1) ya existente en la Compañía y, 2) que también influye en las decisiones de negocio11. Así que, según la recurrente, se está atentando contra la libertad de empresa y en sus decisiones de negocio.
4. ANÁLISIS DE LOS FACTORES DE GRADUACIÓN DE LA SANCIÓN: Considera la recurrente que la Entidad ejerció su facultad sancionatoria sin el soporte legal y fáctico respectivo. Entre otras, arguye que 1) la Entidad considera de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la norma estatutaria, 2) se omite considerar cuáles son los daños y perjuicios ocasionados al usuario y, 3) en general existe una omisión respecto de los criterios para graduar la sanción impuesta12.
5. CUANTÍA DE LA SANCIÓN: Dado que no era posible eliminar la información personal del usuario de las bases de datos de la Compañía, toda vez que el usuario tiene un paquete de servicios instalados en su vivienda, la recurrente considera desproporcionada la sanción impuesta. Así, existe una desproporción entre la sanción y el bien jurídico tutelado13.
Por todo lo anterior, solicita14: 1. Revocar íntegramente la decisión adoptada mediante la Resolución N°17615 del 29 de mayo de 2019 y en su lugar absolver a la Compañía UNE EPM TELECOMUNICACIONES S.A. 2. Disponer el archivo de la actuación administrativa objeto del presente recurso. 3. En casos de persistir la sanción, que se reduzca a la mínima establecida en la norma para este tipo de casos. 7 Expediente, folio124. 8 Expediente, folio125. 9 Expediente, folio125. 10 Expediente, folio125. 11 Expediente, folio127. 12 Expediente, folios 127 y 128. 13 Expediente, folio128. 14 Expediente, folio128.
RESOLUCIÓN NÚMERO 32180 DE 2020 CUARTO. Que mediante la Resolución No. 45241 de 11 de septiembre de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, en donde se modificó el alcance del Numeral Noveno de la Resolución N°17615 de 29 de mayo de 2019 y se confirmó los demás apartes de la misma resolución.
QUINTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución N°17615 de 29 de mayo de 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO DE ACUERDO CON LA LEY 1581 DE 2012. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 19 de la Ley 1581 de 2012 dispone que, la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, será la encargada de ejercer la vigilancia, a fin de garantizar que, en el tratamiento de esa clase de datos, se respeten los principios, derechos, garantías y procedimientos previstos en esa ley.
Por su parte, el artículo 16 del Decreto 4886 de 26 de diciembre de 201115 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”.
2. LA OBLIGACIÓN DE SUPRIMIR LOS DATOS DEL TITULAR EN RELACIÓN CON UNA OBLIGACIÓN EN ESPECÍFICO. 15 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO 32180 DE 2020 Le asiste razón a la recurrente cuando afirma que la eliminación de la información del reclamante de las bases de datos de UNE no es procedente siempre que exista un deber contractual.
De igual forma, le asiste razón a la recurrente cuando arguye que la solicitud del Titular era la corrección de la información para dejar de recibir las facturas y mensajes de cobro y no la eliminación de su información personal de las bases de datos de la Compañía. Considerando lo anterior, procede esta Delegatura a revisar la actuación administrativa con el fin de determinar si existe o no una indebida imputación fáctica.
I. II. III. IV. Mediante Resolución N°68809 del 30 de octubre de 201716, se imparte la orden administrativa de: a. “Artículo Primero: Ordenar a la sociedad Une EPM Telecomunicaciones S.A. E.S.P. con Nit. No. 900.092.385-9 que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, adelante el procedimiento pertinente para que se si aún no lo ha hecho suprima la información del señor SERGIO NICOLAS ALVAREZ PELAEZ identificado con cedula de ciudadanía 70.120.730 de sus bases de datos.” b. “Artículo Tercero: Trasladar la presente actuación al grupo de Trabajo de Investigaciones Administrativas para que proceda de acuerdo a su competencia”.
Mediante Resolución N°12881 del 23 de febrero de 201817, se resuelve un recurso de reposición en donde: a. Se ordena modificar el artículo primero de la parte resolutiva de la resolución N° 68809 del 30 de octubre de 2017, el cual quedará así: “ARTÍCULO PRIMERO: Ordenar a la sociedad UNE EPM Telecomunicaciones S.A., identificada con Nit. No. 900.092.385-9 que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, proceda a eliminar la información del señor SERGIO NICOLAS ALVAREZ PELAEZ respecto la línea telefónica correspondiente al contrato N°10609769 de sus bases de datos.” Mediante Resolución N° 78634 del 22 de octubre de 201818 se inicia una investigación administrativa y se formulan cargos. a. En esta, entre otras, la Dirección expone la solicitud del señor SERGIO NICOLÁS ÁLVAREZ PELÁEZ para que se corrigiera la información que recaía en las bases de datos de la Compañía respecto de la línea con número de contrato 10609769, facturada a nombre de este usuario.
La recurrente presenta descargos mediante documentación con número de radicado 1-15440001348320 y fecha del 23 de noviembre del 201819. En dicha documentación, la recurrente sostiene como cierto que: a. El 10 de agosto del 2016 se registró una PQR con número 3612160002269463 a través de la cual el señor SERGIO NICOLAS ALVAREZ PELAEZ, manifestó su inconformidad con el cobro que registraba a su nombre relacionado con el contrato 10609769, afirmando que la línea telefónica (4)4113182 no era de su titularidad. b. El día 01 de septiembre de 2016 se emitió respuesta, notificando al usuario que el contrato número 10609769 no le pertenecía, por lo que el cobro que registraba a su nombre no era correcto.
En adición, se le informa que se han 16 Expediente, folios 2-4. 17 Expediente, folios 5-10. 18 Expediente, folios 40-42. 19 Expediente, folios 52-100. RESOLUCIÓN NÚMERO 32180 DE 2020 efectuado las modificaciones correspondientes para que no se emitan facturas a su nombre. c. Se ha surtido de forma favorable el requerimiento por cuanto todas las facturas que están pendientes (del 2014 y 2015) por pagar se registran a nombre del Titular correcto.
V. Mediante queja presentada por el señor SERGIO NICOLAS ALVAREZ PELAEZ con número de radicado 170248160000000020 se adjunta copia de factura para el mes de enero del 2017, de la línea con número de contrato21. VI. Mediante Resolución N°17615 del 29 de mayo de 201922 se impone una sanción. En dicha resolución, entre otras, se destaca lo siguiente: Del recuento realizado, es pertinente plasmar las siguientes consideraciones: En primer lugar, queda demostrado por parte del quejoso que la recurrente no cumplió con la orden impartida por la Entidad en Resolución N°12881 del 23 de febrero de 2018.
Es decir, no eliminó la información del usuario respecto la línea telefónica correspondiente al contrato N°10609769 de sus bases de datos. Esto, a pesar de que la misma recurrente afirmara en comunicado del 10 de agosto del 2016 que había efectuado las modificaciones correspondientes para que no se emitieran facturas a su nombre. En segundo lugar, la recurrente reconoce que el día 01 de septiembre de 2016 se emitió respuesta a SERGIO NICOLAS ALVAREZ PELAEZ, notificandole que el contrato número 10609769 no le pertenecía, por lo que el cobro que registraba a su nombre no era correcto.
En otras palabras, el señor ALVAREZ PELAEZ no era cliente de la recurrente razón por la cual no existía relación contractual para efectuar la supresión del dato. En tercer lugar, no se ajusta a derecho que la recurrente le informe en septiembre de 2016 al Titular del dato que no le remitirá mas facturas porque él no es cliente ni parte del contrato 10609769, pero que en enero de 2017 le envíe otra factura por el mismo contrato, tal y como puede evidenciarse en siguiente imagen de la factura23 del citado mes y año con referencia de pago número 911186839-59: 20 Expediente, folios 17-26. 21 Expediente, folio 26. 22 Expediente, folios 106-111. 23 Expediente, folio
26. RESOLUCIÓN NÚMERO 32180 DE 2020 Como se observa, la fecha de emisión de la factura con número de contrato 10609769, es posterior a la comunicación de la recurrente donde daba por cumplida su obligación de rectificar la información. Más aún, la decisión de la recurrente de eliminar todos los datos del señor SERGIO NICOLAS ALVAREZ PELAEZ de su sistema de información, el día 24 de agosto de 201824 no sólo demuestra una desatención a las órdenes de esta Entidad, pero, además, es una decisión tardía de garantizar el derecho de supresión del dato.
Mediante Resolución N°12881 del 23 de febrero de 2018 se resuelve un recurso de reposición que la misma recurrente interpuso en la que se modulaban los alcances de la Resolución N°08809 del 30 de octubre de 2017. En pocas palabras, se circunscribió el retiro/supresión de la información del usuario respecto a la línea telefónica correspondiente al contrato N°10609769.
Es decir, no se ordenó la supresión de toda la información que la Compañía tuviese del usuario. Entonces, no se encuentra argumento para que la recurrente el 24 de agosto de 2018 elimine toda la información del usuario cuando el 23 de febrero de 2018 se le había delimitado el alcance de la orden. A su vez, eliminar todos los datos del señor SERGIO NICOLAS ALVAREZ PELAEZ de su sistema de información genera una afectación al derecho del usuario de acceder a los servicios de la compañía, máxime cuando una eliminación total de su información le genera el desgaste al Titular de volver a dar sus datos en un nuevo proceso de adquisición. Así mismo, genera una pérdida de oportunidad económica para la compañía que no puede endilgarse a esta Entidad, toda vez que no fue esta la orden que se impartió. En todo caso, el indebido tratamiento de datos por parte de la recurrente no puede alegarse como afectación a la libertad de empresa.
La libertad de empresa no significa que la recurrente puede obrar como quiera sino dentro del marco de la ley y cumpliendo la regulación de tratamiento de datos personales. Dicho lo anterior, es claro que existe una adecuada imputación fáctica. Primero, no se le ordenó a la recurrente eliminar toda la información del usuario de su sistema de información y, sin embargo, lo realizó. Segundo, la solicitud del Titular era la corrección de la información para dejar de recibir las facturas y mensajes de cobro y, no la eliminación. Pese a esto, 24 Expediente, folio 125.
RESOLUCIÓN NÚMERO 32180 DE 2020 quedó demostrado que 1) el Titular siguió recibiendo las facturas y mensajes de cobro, así como 2) el hecho de que la orden de supresión se circunscribió a un contrato en específico.
3. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS. Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la trasgresión de: el deber establecidos en la Ley 1581 de 2012 artículo 17 literal a), en concordancia con lo establecido en el artículo 8 literal e) de la misma norma, y en el Decreto 1074 de 2015 artículo 2.2.2.25.2.2.6.
Con el objetivo de sustentar la adecuada valoración probatoria realizada por la Dirección, esta Delegatura procederá a esbozar las normas transgredidas para luego, con base en el material probatorio que recae en el expediente, demostrar dicha transgresión. El artículo 17 literal a) de la Ley 1581 del 2012 ordena que: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;” Por su parte, el artículo 8 literal e) de la misma norma establece que: “El Titular de los datos personales tendrá los siguientes derechos: e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
Así mismo, el Decreto 1074 de 2015 en su artículo 2.2.2.25.2.2.6 reza que: “Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.” De modo que, procede esta Delegatura a preguntarse si, ¿UNE EPM TELECOMUNICACIONES S.A. (como Responsable) le garantizó al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data? Entiéndase el ejercicio de habeas data, como, la solicitud de: corrección, actualización o supresión de los datos personales.
El señor SERGIO NICOLAS ALVAREZ PELAEZ en ejercicio de su derecho constitucional de habeas data, eleva una solicitud ante la recurrente mediante la cual pretende la supresión de sus datos sobre la línea telefónica correspondiente al contrato N°10609769. Lo anterior, por cuanto no es él el titular de la misma ni parte de ese contrato. Siendo corroborada dicha situación, la recurrente solicitó que internamente se efectuara una actualización de los datos para que se asociara el saldo pendiente a la real suscriptora y no al señor SERGIO NICOLAS ALVAREZ PELAEZ.
No obstante, resultó que el ejercicio del RESOLUCIÓN NÚMERO 32180 DE 2020 derecho no fue pleno y efectivo. Todo lo contrario, resultó ser un ejercicio incompleto e inocuo porque los datos personales del señor SERGIO NICOLAS ALVAREZ PELAEZ siguieron estando asociados al contrato N°10609769. Es decir, UNE EPM TELECOMUNICACIONES S.A. (como Responsable) no le garantizó al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
Demostrada la trasgresión al artículo 7 de la Ley 1581 de 2012, procede esta Delegatura a comprobar la infracción del artículo 8 literal e) de la misma norma. No existe duda que el usuario, Titular de los datos, estaba frente a la necesidad de suprimir sus datos personales frente al Responsables toda vez que estos eran inexactos y no existía autorización para su Tratamiento.
El literal d) del artículo 4 de la Ley 1581 de 2012 establece como uno de los principios para el debido tratamiento de datos personales el de veracidad y calidad. Según la disposición legal, “La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error”.
La recurrente admitió su error respecto de la calidad de la información de SERGIO NICOLÁS ÁLVAREZ PELÁEZ asociada al contrato N°10609769. Más aún, el literal c) de la norma en comento establece el principio de libertad. Según este, “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular”. Sobre este punto, la recurrente, como Responsable del Tratamiento, no demostró la existencia de una autorización para el Tratamiento de los datos personales del usuario respecto de la línea asociada al contrato N°10609769.
En suma, toda vez que no se respetó este principio y no se procedió a suprimir la información, existe una trasgresión del artículo 8 literal e) de la Ley 1581 de 2012. Si bien existen suficientes argumentos para demostrar la acertada valoración probatoria que realizó la Dirección, esta Delegatura, en gracia de discusión, continuará analizando la infracción del Decreto 1074 de 2015 en su artículo 2.2.2.25.2.2.6.
Nótese que la orden proferida por esta Entidad fue: Ordenar a la sociedad UNE EPM Telecomunicaciones S.A., identificada con Nit. No. 900.092.385-9 que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, proceda a eliminar la información del señor SERGIO NICOLAS ALVAREZ PELAEZ respecto la línea telefónica correspondiente al contrato N°10609769 de sus bases de datos.
Sobre este aspecto, la recurrente, en su recurso de reposición y en subsidio apelación, afirma que la orden emitida por esta Entidad es “contraria a lo dispuesto por el artículo 2.2.2.25.2.2.6. del Decreto 1074 de 2015 que impide la eliminación de información personal cuando existe el deber legal o contractual de que la información permanezca en las bases de datos”25.
Empero, desconoce la recurrente que la orden emitida por la Entidad estaba circunscrita a la información personal del contrato N°10609769. Contrato que, como ella claramente afirma: “(…) se informó al usuario que el contrato número 10609769 no le pertenecía (…)”26. En otras palabras, no existe una obligación contractual o legal para su permanencia. En virtud de lo anterior, no existe duda que la recurrente incumplió el deber establecidos en la Ley 1581 de 2012 artículo 17 literal a), en concordancia con lo establecido en el artículo 8 literal e) de la misma norma, y en el Decreto 1074 de 2015 artículo 2.2.2.25.2.2.6. 25 Expediente, folio 125. 26 Expediente, folio 125.
RESOLUCIÓN NÚMERO 32180 DE 2020
4. LA LIBERTAD DE EMPRESA Y EL DEBIDO TRATAMIENTO DE DATOS PERSONALES. El debido Tratamiento de datos personales no es incompatible con la libertad de empresa, al contrario es un elemento fundamental no solo para realizar la actividad empresarial dentro de un marco respetuoso de los derechos de las personas sino para genera confianza entre los clientes, la sociedad y el mercado.
El artículo 333 de la Constitución establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, el respeto de la ley y la protección de los Derechos Humanos, los cuales, son imprescindibles para que cualquier individuo sea tratado como una persona y no como un objeto.
En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en ese mundo no tiene cabida jurídica la afirmación según la cual el fin justifica los medios.
En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Cuando la Dirección de Investigación de Protección de Datos Personales por medio de la Resolución N°17615 del 2019, instruye que “La sociedad UNE EPM TELECOMUNICACIONES S.A. deberá documentar e implementar un procedimiento efectivo y verificable, para atender de manera inmediata los requerimientos de rectificaciones y o supresión de datos”, no está haciendo cosa distinta que velar por el cumplimiento de la norma estatutaria.
Frente a dicha instrucción, la recurrente afirma que: “(…) la SIC optó por ordenar a UNE implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio (…)”27. Si dichos procedimientos ya existen, entonces la recurrente debe cumplirlos para no violar los derechos de las personas.
Acá no sólo se trata de redactar textos sino de cumplirlos en la práctica. El deber legal de las organizaciones va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. Es decir, no basta con que UNE EPM TELECOMUNICACIONES S.A produzca documentos que esbozan procedimientos, si estos no se cumplen frente al tratamiento de datos personales.
Así las cosas, la instrucción impartida por la Dirección de Investigación de Protección de Datos Personales no es cosa distinta que la de velar por el adecuado cumplimiento de la legislación en la materia. La misma en ningún caso afecta las decisiones de negocio de la compañía y, mucho menos las contraría. Al contrario, se trata de órdenes para asegurar que las empresas respeten y garantice los derechos de las personas. 27 Expediente, folio 127.
RESOLUCIÓN NÚMERO 32180 DE 2020
5. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
El artículo 2328, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”29 En el mismo sentido, y en relación con los principios30 señalados, dicha corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: 28 Artículo 23.
Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 29 Corte Constitucional.
Sentencia C-748 de 2011. 30 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación RESOLUCIÓN NÚMERO 32180 DE 2020 “En la doctrina31 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explícita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta32), de proporcionalidad o el denominado non bis in ídem”.
Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”33. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”34. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, administrativa previstos en la ley especial y los señalados en el CPACA”.
Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 31 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 32 Ramón Parada Vásquez. Derecho Administrativo.
Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 33 Corte Constitucional. Sentencia C-406 de 2004. 34 Corte Constitucional. Sentencias C-1161 de 2000. RESOLUCIÓN NÚMERO 32180 DE 2020 en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Lo primero que se concluye de estas referencias es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por UNE EPM TELECOMUNICACIONES S.A vulneró: el deber establecidos en la Ley 1581 de 2012 artículo 17 literal a), en concordancia con lo establecido en el artículo 8 literal e) de la misma norma, y en el Decreto 1074 de 2015 artículo 2.2.2.25.2.2.6.
Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.
En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.
Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa equivalente a trecientos (300) Salarios Mínimos Legales Mensuales vigentes, representa el quince por ciento (15%) del límite legal de dos mil (2.000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.
6. DECISIONES DE LA ADMINISTRACIÓN. PROPORCIONALIDAD DE LA SANCIÓN. PRINCIPIO DE PROPORCIONALIDAD. La recurrente continúa el recurso argumentando que la multa impuesta por esta autoridad es claramente desproporcionada y arbitraria. Asimismo, afirma que resulta lesiva y excesiva, si se compara con la conducta desplegada por la investigada, lo que la hace vulnerar los principios constitucionales de legalidad y tipicidad administrativos, así como las garantías procesales del administrado.
Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. De tal suerte que, UNE EPM TELECOMUNICACIONES S.A al desatender la solicitud presentada por el señor SERGIO NICOLAS ALVAREZ PELAEZ, a fin de obtener la eliminación de su información respecto del contrato N° 10609769, lo único que consiguió además de que la investigada mantuviera y tratara sus datos en contra de su voluntad, fue que la recurrente siguiera contactándolo.
Además, no se ajusta a derecho que la recurrente le informe en septiembre de 2016 al Titular del dato que no le remitirá mas facturas porque RESOLUCIÓN NÚMERO 32180 DE 2020 él no es cliente ni parte del contrato 10609769, pero que en enero de 2017 le envíe otra factura por el mismo contrato, tal y como probó con la imagen de la factura35 del citado mes y año con referencia de pago número 911186839-59.
De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador, además se tendrán en cuenta los supuestos fácticos y jurídicos planteados en la queja o denuncia del titular.
En segundo lugar, y sin perjuicio de lo anterior, es claro que la Resolución N° 17615 de 29 de mayo de 2019 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a Derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de datos.
Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental36 a la protección de datos37. Finalmente, la vulneración del derecho de protección de datos no solo afecta al titular, también pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”38. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un 35 Expediente, folio 26. 36 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 37 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 38 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. RESOLUCIÓN NÚMERO 32180 DE 2020 elemento esencial de la democracia39. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa. Aunque las razones anteriores son suficientes para confirmar la Resolución N° 17615 de 29 de mayo de 2019, esta Delegatura considera oportuno destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.
Responsabilidad Personal de los Administradores.
7. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES. Y “COMPLIANCE” EN EL La regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.
Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”40. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2641 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 40 Cfr. Corte Constitucional, sentencia T-227 de 2003. 41 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
RESOLUCIÓN NÚMERO 32180 DE 2020 y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”42 Ahora, respecto de la supresión del dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de tratamiento de información y ser comunicados a los titulares de los datos43.
El artículo 22, por su parte, establece que el responsable o encargado del tratamiento debe adoptar “las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean (…) actualizados, rectificados o suprimidos (…)”44. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al titular la posibilidad de supresión de sus datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato personal cuando sea procedente y permitida por el ordenamiento jurídico.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada45(accountability)46”. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 42 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 43 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento de los datos personales.
Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información.” 44 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento”. 45 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 46 “El término inglés accountability puede ser traducido por rendición de cuentas.
Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de RESOLUCIÓN NÚMERO 32180 DE 2020 El término “accountability”47, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza48 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 49.
(Énfasis añadido) https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 47 Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 48 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. 49 Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida RESOLUCIÓN NÚMERO 32180 DE 2020 El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 50, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”51.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 52. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”53. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”54 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”55. 8.
RESPONSABILIDAD PERSONALES. DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 50 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 51 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 52 Cfr. Bonatti, Francisco.
Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ 53 Idem. 54 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 55 Ibidem.
RESOLUCIÓN NÚMERO 32180 DE 2020 Según el artículo 22 de la Ley 222 de 199556 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.
Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y, además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).
En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2457 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”58.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo expuesto, se considera ajustado a derecho el exhorto que se hizo, mediante la Resolución No. 17615 de 29 de mayo de 2019, al representante legal de UNE EPM TELECOMUNICACIONES S.A para que adopte medidas pertinentes, útiles, efectivas y 56 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 57 Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores.
El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 58 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.
RESOLUCIÓN NÚMERO 32180 DE 2020 verificables para que esa sociedad cumpla la regulación sobre tratamiento de datos personales.
9. DE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO
49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) Por su parte el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, dispone lo siguiente:
ARTÍCULO
87. FIRMEZA DE LOS ACTOS ADMINISTRATIVOS. Los actos administrativos quedarán en firme: 1. Cuando contra ellos no proceda ningún recurso, desde el día siguiente al de su notificación, comunicación o publicación según el caso. 2. Desde el día siguiente a la publicación, comunicación o notificación de la decisión sobre los recursos interpuestos. 3.
Desde el día siguiente al del vencimiento del término para interponer los recursos, si estos no fueron interpuestos, o se hubiere renunciado expresamente a ellos. 4. Desde el día siguiente al de la notificación de la aceptación del desistimiento de los recursos. 5. Desde el día siguiente al de la protocolización a que alude el artículo 85 para el silencio administrativo positivo.
(destacamos) De conformidad con las normas anteriormente citadas, este Despacho modificará el artículo primero de la Resolución No. 17615 de 29 de mayo de 2019 para indicar en Unidades de Valor Tributario (UVT)59 el valor de la multa impuesta en pesos colombianos, de conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, se concluye que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 17615 de 29 de mayo de 2019.
Para efectos de la notificación se procederá conforme lo ordena el artículo 460 del Decreto Legislativo 491 del 28 de marzo de 2020. 59 De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 60 El artículo 4 del Decreto Legislativo 491 de 2020 ordena lo siguiente: "Notificación o comunicación de actos administrativos.
Hasta tanto permanezca vigente la Emergencia Sanitaria declarada por el Ministerio de Salud y Protección Social, la notificación o comunicación de los actos administrativos se hará por medios electrónicos. Para el efecto en todo trámite, proceso o procedimiento que se inicie será obligatorio indicar la RESOLUCIÓN NÚMERO 32180 DE 2020 En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO. MODIFICAR el ARTÍCULO PRIMERO de la Resolución No. 17615 de 29 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad UNE EPM TELECOMUNICACIONES S.A., con Nit. 900.902.385-9 de DOSCIENTOS CUARENTA Y OCHO MILLONES CUATROSCIENTOS TREINTA Y CUATRO MIL OCHOCIENTOS PESOS M/cte.
($248.434.800) correspondiente a 6977,13371 Unidades de Valor Tributario (UVT), por el incumplimiento del deber establecido en la Ley 1581 de 2012, artículo 17, literal a, en concordancia con lo establecido en el artículo 8, literal e) de la misma norma, y en el Decreto 1074 de 2015, artículo 2.2.2.25.2.2.6”
ARTÍCULO SEGUNDO. CONFIRMAR en todas sus partes la Resolución No. 17615 de 29 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo y las modificaciones realizadas en la presente Resolución.
ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a UNE EPM TELECOMUNICACIONES S.A, identificada con el Nit. 900092385 - 9 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión al señor SERGIO NICOLAS ALVAREZ PELAEZ identificado con la Cédula de Ciudadanía No. 70.120.730 o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO QUINTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 de junio de 2020 El Superintendente Delegado para la Protección de Datos Personales dirección electrónica para recibir notificaciones, y con la sola radicación se entenderá que se ha dado la autorización. En relación con las actuaciones administrativas que se encuentren en curso a la expedición del presente Decreto, los administrados deberán indicar a la autoridad competente la dirección electrónica en la cual recibirán notificaciones o comunicaciones." RESOLUCIÓN NÚMERO 32180 DE 2020 ALC Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: UNE EPM TELECOMUNICACIONES S.A Nit. 900092385 - 9 MARCELO CATALDO FRANCO C.E. 426.572 Carrera 16 11 A SUR 100 Medellín, Antioquia. notificacionesjudiciales@tigo.com.co Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: ANDREA MARÍA ORREGO RAMIREZ 43.581.512 Carrera 16 11 A SUR 100 Medellín, Antioquia. notificacionesjudiciales@tigo.com.co Comunicación Reclamante Señor: Identificación: Correo electrónico: SERGIO NICOLAS ALVAREZ PELAEZ C.C. 70.120.730 SERGIO.ALVAREZ@MEDELLIN.GOV.CO