Decisión 15954 de 2022 — SIC

(Marzo 29 de 2022) Radicación 20-210753 VERSIÓN ÚNICA EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 39514 de 28 de junio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con el Nit.892.000.102-1 de OCHENTA Y TRES MILLONES QUINIENTOS OCHO MIL CUATROCIENTOS PESOS MCTE ($83.508.400) equivalentes a 2.300 UVT Unidad de Valor Tributario, por la vulneración de lo dispuesto en las normas que se relacionan a continuación, respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS, así: i. ii.

El literal b) del artículo 17, en concordancia con el literal c) del artículo 4o y artículo 9o de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 El literal c) del artículo 17, en concordancia con el literal b) del artículo 4o, artículo 8o y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015"

SEGUNDO. Que mediante escrito radicado bajo el No. 20-210753-31 de 13 de julio de 2021, la CÁMARA DE COMERCIO DE VILLAVICENCIO presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 39514 de 28 de junio de 2021.

TERCERO. Que mediante la Resolución No. 81372 de 13 de diciembre de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, modificando el ARTÍCULO PRIMERO de la Resolución No. 39514 de 28 de junio de 2021 así: HOJA Nº CUARTO. Que la recurrente solicitó de manera principal revocar la sanción pecuniaria impuesta mediante la Resolución No. 39514 de 28 de junio de 2021 y de manera subsidiaria la disminución de la sanción. Lo anterior lo fundamenta en los siguientes argumentos: “( ) DE LA SOLICITUD DE NULIDAD.

SÍ HUBO VIOLACIÓN AL DEBIDO PROCESO POR AFECTAR EL EJERCICIO AL DERECHO DE CONTRADICCIÓN DE LA CCV AL NO DAR ACCESO A LA ÚNICA PRUEBA QUE SUSTENTÓ LA SANCIÓN ( ) Si bien el Despacho afirmó que “cada uno de los aspectos relevantes y que sustentan la formulación de los ya citados cargos”, a la CCV le asiste el derecho de acceder a la prueba que, como indicó la SIC, son el fundamento esencial de los cargos formulados.

Así, una vez fue conocida la Resolución No. 50087 del 25 de agosto de 2020, se solicitó acceso a las pruebas que fundamentaron la apertura de la investigación, sin que el Despacho revelara su contenido, lo que vulnera el debido proceso y el derecho de contradicción que constitucionalmente le corresponde a la CCV. Una vez notificada la Resolución No. 77232 de 30 de noviembre de 2020, la CCV reiteró la solicitud para acceder a las pruebas que sustentaron la modificación de la formulación de cargos inicial, sin que la SIC haya dado una respuesta concreta ni haya permitido acceso al material probatorio, vulnerando el derecho de defensa y de contradicción, contemplado como derecho fundamental en la Constitución Política.

A la CCV, en el presente proceso NO se le ha respetado ni garantizado el debido proceso. La grave violación del Despacho impidió que la CCV accediera y conociera el material probatorio que sustentó la formulación de los cargos en contra de la CCV y, si bien fueron relacionados en los actos administrativos, la información allí relacionada está sujeta a la arbitrariedad de la SIC y a su juicio enteramente subjetivo.

( ) El Despacho desconoció de manera flagrante el derecho de defensa y de contradicción de la CCV al omitir las etapas procesales establecidas en el CPACA. También omitió correr traslado del Acta de Preservación y dar respuesta a los derechos de petición elevados a través del correo contactenos@sic.gov.co, cuyo término para dar respuesta venció sin que fuera contestado.

A pesar de lo anterior, se dispone, con algo de desvergüenza, en la página 45 de la Resolución que nos ocupa que, en aras de garantizar los derechos de defensa y contradicción, la CCV deberá enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado.

Como si esto no se hubiera solicitado anteriormente [sic]. Haciendo un ejercicio de comprensión del escenario en el que se encontraba la CCV, es válido preguntarle al Despacho ¿para qué se dispone de canales de comunicación y de presentación de solicitudes si va a omitir deliberadamente las peticiones elevadas para acceder a las pruebas que fundamentan la formulación y modificación de los cargos imputados? Es violatorio de los derechos de cualquier sujeto procesal en Colombia la negación flagrante a conocer, de manera completa y suficiente las pruebas que dan objeto a investigaciones en su contra, omitiendo, además, solicitudes expresa dentro del mismo proceso.

( ) A manera de ejercicio, también nos preguntamos, ¿cuáles son las razones que llevan a que se publique en medios oficiales de la SIC la sanción impuesta, sin que se agote la vía HOJA Nº gubernativa? ¿No denota eso que ya hay una decisión tomada y que este recurso simplemente se utilizará como mero trámite legal? ¿No es ya suficiente sanción la afectación reputacional que comunicaciones de esta naturaleza tienen sobre los investigados? SOBRE LA DEFINICIÓN Y NATURALEZA JURÍDICA DE LAS CÁMARAS DE COMERCIO.

EL EJERCICIO DE FUNCIONES PÚBLICAS POR PARTE DE LA CCV COMO PARTICULAR QUE EJERCE FUNCIONES PÚBLICAS POR DESCENTRALIZACIÓN POR COLABORACIÓN Y DESARROLLA FUNCIONES DE POLÍTICA PÚBLICA ( ) Así las cosas, la ausencia de solicitud de autorización [sic] en los formularios que dieron lugar a la sanción, y la presunta (porque en los formularios y en la página web sí se informaba la finalidad) ausencia de información sobre la finalidad de la recolección y los derechos que le asisten al titular [sic] por virtud de la autorización [sic] otorgada, se desprenden, en el caso concreto, de la interpretación de una norma en el sentido amplio, que abarca más allá de lo analizado por el Despacho.

Si bien la CCV reconoció expresamente que no (i) no solicitó autorización [sic] del titular [sic] para el tratamiento [sic] de los datos [sic] personales y que (ii) no informó la finalidad de la recolección y los derechos que le asisten al titular [sic] por virtud de la autorización otorgada, tal acción se debió a la interpretación lógica de las políticas públicas y las normas que disponen las funciones y limitaciones de las cámaras de comercio y las excepciones dispuestas en el artículo 10 de la Ley 1581 de 2012.

De lo anterior concluimos que la omisión de los deberes presuntamente incumplidos se debió a una interpretación jurídica lógica y de buena fe de la norma constitucional y legal y un entendimiento amplio del espectro regulatorio de las cámaras de comercio, por lo tanto, de considerar el Despacho que la CCV transgredió sus deberes como responsable [sic] del tratamiento [sic], y como consecuencia amenazó o dañó un interés jurídicamente tutelado por la Ley 1581 de 2012, deberá ponderar, al momento de interponer la sanción, que la actuación de la CCV no se derivó de una actuación negligente o de mala fe, y en sentido amplio no se trata de una violación a las disposiciones de la Ley 1581 de 2012.

Se resalta además que, aun si el Despacho considera que hubo una vulneración de los deberes como responsable [sic] del tratamiento [sic] por parte de la CCV, deberá considerar que no hubo daño o amenaza al derecho fundamental a la protección de datos [sic] personales, toda vez que de todos los formularios que se estudiaron se puede concluir, sin lugar a inequívocos, que se trataba de actividades encaminadas a cumplir con la política pública que el mismo Estado definió para las cámaras de comercio.

En consecuencia, el Despacho deberá revocar la sanción pecuniaria e indicar las medidas tendientes a equilibrar la función cameral, con el alcance de la Ley 1581 de 2012, frente al ejercicio de sus funciones. SOBRE LA CONSIDERACIÓN DEL DEBER DE SOLICITAR Y CONSERVAR LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR E INFORMAR AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA.

HAY UNA AUSENCIA DE DAÑO O PELIGRO AL INTERÉS JURÍDICAMENTE TUTELADO EN LOS FORMULARIOS OBJETO DE LA INVESTIGACIÓN Si bien el Despacho consideró que las cámaras de comercio son entidades que no hacen parte de la organización del Estado en ninguno de sus niveles, y que como consecuencia de esa interpretación, no todas las funciones que realizan las cámaras de comercio son de origen legal o corresponden a una función pública, (pues según interpretó el Despacho, la función pública se reduce a la registral), sí desconoció otros elementos esenciales que le hubieran permitido definir si en efecto hubo una vulneración de la CCV a los deberes que le corresponden en calidad de responsable del tratamiento.

A continuación, analizaremos cada uno de los formularios estudiados por la Dirección y evidenciaremos ciertos elementos que nos permiten concluir que no hubo un daño o amenaza al interés jurídicamente tutelado por la Ley 1581 de 2012. HOJA Nº

3.1. SOBRE EL DAÑO AL INTERÉS JURÍDICAMENTE TUTELADO DERIVADO DEL DEBER DE SOLICITAR AUTORIZACIÓN

1. SOBRE EL FORMULARIO DE PQRS Partimos de la base que el formulario de PQRS no debe siquiera ser objeto de análisis en la investigación que nos ocupa. En efecto, no solo es un deber legal atender las peticiones de los ciudadanos y poner a disposición de estos mecanismos para el ejercicio de sus derechos al habeas data, también lo ordena la Circular Única de la SIC en el Título VIII, Capítulo Primero ( ) Así las cosas, no es clara la razón por la cual el Despacho, al momento de evaluar la imposición de las sanciones, tuvo en cuenta un formulario que, desde el inicio de la investigación administrativa, no fue imputado como infractor de los deberes de la Ley 1581 de 2012 y su decreto reglamentario, pero sí fue ponderado para imponer la sanción pecuniaria.

Se resalta, además, que el formulario del Módulo PQRS NO corresponde a una actividad propia de la entidad. Por el contrario, es el medio dispuesto para que el público ejerza su derecho fundamental de petición, así como, para el ejercicio de sus derechos como titulares [sic] de datos [sic] personales. En efecto, no había obligación de solicitar de los titulares [sic] de la información autorización [sic] para el tratamiento [sic] de datos [sic] personales.

A manera de ejemplo, el módulo de PQRS de la SIC no solicita autorización para el tratamiento de datos personales ( )

2. SOBRE EL FORMULARIO DE ASESORÍAS JURÍDICAS Si bien se encontraba dispuesto en la página web, en este formulario no se adelantó el tratamiento [sic] de datos [sic] personales de personas naturales según se define en la Ley 1581 de 2012. No hay registro alguno en las bases de datos de la CCV que evidencien que se trataron datos [sic] personales de personas naturales mediante el formulario de Asesorías Jurídicas Especializadas.

Por lo tanto, no hubo daño al interés jurídicamente tutelado. El análisis del formulario debe adelantarse teniendo en cuenta que la información que se solicitaba se enfocaba en obtener información de personas jurídicas (no cobijada por la Ley 1581 de 2012) y/o comerciantes registrados en el registro mercantil (información de carácter público).

Este elemento es esencial a la luz de analizar el daño del interés jurídicamente tutelado por la Ley 1581 de 2012 toda vez que: 1. Se solicitaba información de personas jurídicas; y 2. Se solicitaba información de comerciantes registrados, información que es pública y queda dispuesta al público en el RUES y en el registro mercantil.

Vale la pena resaltar que en el encabezado del formulario se informó la FINALIDAD y naturaleza de la información que se solicitaba ( ).

3. SOBRE EL FORMULARIO DE ACOMPAÑAMIENTO DE CULTURA DIGITAL ( ) Es importante señalar que el régimen de protección de datos [sic] personales (dispuesto en la Ley 1581 de 2012) se predica de las personas naturales y no es aplicable a las personas jurídicas, y que los datos [sic] de carácter público, como lo son los del comerciante, pueden ser tratados sin autorización [sic] del titular [sic] (sin desconocer que se deben cumplir las demás disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios).

Lo anterior es esencial, a la luz de determinar si a través del formulario en estudio se amenazó o dañó el interés jurídico tutelado por la Ley 1581 de 2012, y permite concluir que no hubo una amenaza o vulneración alguna a la disposición legal, por lo tanto, se debe revocar la sanción.

4. SOBRE EL FORMULARIO DE DISEÑO DE PAQUETES Y DISEÑO DE EXPERIENCIAS No consideramos que el uso del formulario objeto de estudio haya configurado una amenaza o violación al interés jurídicamente tutelado por la Ley 1581 de 2012 porque: HOJA Nº 1. NO se utilizó como mecanismo para el tratamiento [sic] de datos [sic] personales en el espectro de protección de la Ley 1581 de 2012, toda vez que solicitaba información referente a personas jurídicas y/o comerciantes cuya información, de carácter público, ya se encuentra en el registro mercantil y en RUES; y 2.

En el caso de comerciantes informales, se reconoce que, debido a la interpretación lógica y de buena fe de las funciones que desarrollan las cámaras de comercio, no se solicitó autorización, sin embargo, no configura esto, un daño al bien jurídicamente tutelado.

5. SOBRE EL FORMULARIO DE COMPETITIVIDAD Y PROYECTOS - COORDINACIÓN DE GESTIÓN INTERNACIONAL Como parte del análisis de este formulario el Despacho debe considerar lo siguiente: 1. Si bien estaba dispuesto en la página web al momento de la preservación, no hay registro alguno sobre operaciones de tratamiento [sic] de datos [sic] personales que se hayan llevado a cabo con el formulario.

Es decir, no se vulneró el interés jurídicamente tutelado. 2. PROCOLOMBIA es una entidad asociada al Ministerio de Comercio, Industria y Turismo y orienta su gestión a las políticas lideradas por el mismo Ministerio y a las responsabilidades que les asigna la Presidencia de la República. 3. Las actividades desarrolladas por PROCOLOMBIA son de carácter público y sus funciones con legalmente asignadas.

Es decir, la información solicitada mediante el formulario se requirió por una entidad pública en ejercicio de sus funciones. El formulario tenía como finalidad concretar las labores de fortalecimiento de la estrategia de competitividad y productividad del país desarrollado por PROCOLOMBIA. 4. No es clara la razón por la cual el Despacho desconoce que en el formulario sí se dispuso un aviso mediante el cual se solicitaba la autorización de los titulares e informaban las finalidades del tratamiento ( ) En conclusión, en relación con el formulario estudiado: (a) no hubo, ni recolección, ni operación alguna de tratamiento [sic] de datos [sic] personales mediante el formulario (NO SE AMENAZÓ NI HUBO DAÑO AL INTERÉS JURÍDICO TUTELADO);

(b) fue dispuesto por PROCOLOMBIA en ejercicio de sus funciones legalmente asignadas; y (c) sí contenía la solicitud de autorización [sic] y se informaban las finalidades del tratamiento [sic], por lo tanto, no hubo amenaza ni daño al interés jurídico tutelado por la Ley 1581 de 2021 y no hay lugar a sanción alguna que se desprenda sobre este formulario.

3.2. SOBRE EL DEBER DE INFORMAR AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA De conformidad con lo que se manifestó, tanto en el escrito de descargos, como en el escrito de alegatos de conclusión presentados en el marco del presente proceso administrativo, reiteramos que el estudio del Acta de Preservación (a la que no tuvimos acceso y de la cual que conocemos únicamente la información que sobre esta se incluyó en las resoluciones de apertura de cargos) NO evidencia el análisis de la página web como una unidad de información o un solo cuerpo informativo.

El análisis de la SIC debe considerar que la página web es un cuerpo único de información que cumple, entre otras, las funciones de: 1. Informar las finalidades del tratamiento de los datos personales que trata la CCV y los derechos que les asisten a los titulares; y 2. Disponer de medios para que los titulares ejerzan sus derechos. ( ) No obstante lo anterior, el Despacho debió tener en cuenta que razonablemente el formulario dispone de manera muy clara la finalidad para la cual se solicita la información. Cada formulario se encontraba articulado en la página web de tal manera que quien ingresara contara con conocimiento claro sobre la finalidad para la cual se solicitaba información. Es decir, quien ingresara al formulario HOJA Nº previamente debió pasar por un filtro que requería de una acción positiva de ingreso, conociendo la razón de ser del formulario y de la información que en estos se solicitaba.

( )

1. SOBRE EL FORMULARIO DEL MÓDULO DE PQRS Reiterando lo indicado en el numeral uno del acápite anterior, es de señalar que el formulario de PQRS no debe siquiera ser objeto de análisis en la investigación que nos ocupa. Lo anterior teniendo en cuenta que este formulario no corresponde a una actividad propia de la entidad. Por el contrario, es el medio dispuesto para que el público ejerza su derecho fundamental de petición, así como, para el ejercicio de sus derechos como titulares [sic] de datos [sic] personales.

No obstante lo anterior, una vez los usuarios ingresan al módulo de PQRS, se informa que los trámites que se hacen a través de las plataformas dispuestas allí tienen como fin permitir que los usuarios de la página web puedan interponer sus consultas, quejas, reclamos y solicitudes PQRS.

2. SOBRE EL FORMULARIO DE ASESORÍAS JURÍDICAS De igual manera, al poner a disposición de los usuarios el formulario de asesorías jurídicas, se informa que la finalidad del mismo es brindar orientación en diferentes temas, tales como, protección frente a la propiedad intelectual, clasificación de la propiedad intelectual, registro de la propiedad intelectual, entre otros.

( ) Así, no es admisible la posición del Despacho, toda vez que en el formulario que nos ocupa, si se le informa al titular [sic] de los datos [sic] recolectados la finalidad del tratamiento [sic] y la recolección.

3. SOBRE EL FORMULARIO DE ACOMPAÑAMIENTO DE CULTURA DIGITAL Como ya se mencionó, al poner a disposición de los usuarios de la página web los diferentes formularios, los mismos tienen la finalidad de permitir la inscripción de los interesados en participar en los eventos ofrecidos y programados por la CCV. En el presente caso, el formulario tenía como finalidad permitir la inscripción al proceso de formación de cultura digital y de esa manera se informó ( ) Así, el Despacho omitió realizar un análisis integral de la página web y de los filtros y secciones que llevaban a los formularios, así como la información que se disponía en estos.

4. SOBRE EL FORMULARIO DE DISEÑO DE PAQUETES Y DISEÑO DE EXPERIENCIAS Como ya se mencionó, al poner a disposición de los usuarios de la página web los diferentes formularios, los mismos tienen la finalidad de permitir la inscripción de los interesados en participar en los eventos ofrecidos y programados por la CCV. En el presente caso, el formulario tenía como finalidad permitir la inscripción al proceso de diseño de paquetes y diseño de experiencias de esa manera se informó ( ) Así las cosas, como puede evidenciarse, dentro de cada uno de los formularios dispuestos en la página web se informa a los usuarios de la finalidad de la recolección y del uso de la información se encuentra dirigida única y exclusivamente a realizar la inscripción de los interesados a los eventos y capacitaciones ofrecidos por la CCV. 6. [sic] SOBRE LA POTESTAD SANCIONATORIA DE LA SIC Y LA PROPORCIONALIDAD DE LA SANCIÓN. PRINCIPIO DE PROPORCIONALIDAD EN EL PROCESO ADMINISTRATIVO SANCIONATORIO Y ESTUDIO DE CULPABILIDAD – CASO CONCRETO ( ) el Despacho debió: (i) analizar la dimensión del daño o peligro a los intereses jurídicos tutelados y (ii) el posible beneficio económico, para, de esa manera, considerar otras circunstancias HOJA Nº concurrentes de graduación, como: (a) la capacidad económica del investigado;

(b) la reiteración de la infracción; (c) la colaboración para esclarecer los hechos investigados; y (d) la información financiera como los ingresos operacionales y el patrimonio para determinar la gravedad de la sanción que se impondrá por las presuntas infracciones cometidas por la CCV. Aun cuando el Despacho relacionó lo solicitado por el suscrito tanto en el escrito de descargos como en el de alegatos de conclusión, en relación con la capacidad económica y los estados financieros de la CCV, al momento de imponer la sanción no tuvo en cuenta estos criterios.

En virtud de lo anterior, le solicitamos al Despacho reconsiderar su decisión de imponer una sanción que puede generar daños irreversibles en las finanzas actuales de la CCV porque desconoce su estado financiero actual reiterando que, de los recursos de las cámaras de comercio, son aquellos ingresos privados, lo que pueden ser utilizados para el pago de multas.

Así las cosas, el análisis del Despacho se debió adelanta sobre aquellos ingresos denominados “ingresos privados”. ( ) De esta forma, para la correcta adecuación de los hechos y la sanción aplicable el Despacho no solo debe analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, sino que también debe tener en cuenta otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.

( ) Así pues, en relación con el monto de la sanción impuesta, considera el suscrito que el Despacho no sólo NO realizó un análisis teniendo en cuenta los subprincipios componentes del principio de proporcionalidad, expuestos anteriormente, sino que tampoco tuvo en cuenta la unidad del programa de protección de datos personales que tiene dispuesto la CCV para los titulares [sic] ni la difícil situación presentada en virtud de las medidas adoptadas por el Gobierno Nacional para afrontar la crisis derivada de la pandemia por el Covid-19, que han afectado fuertemente la situación económica del país y, especialmente a la CCV.

Si bien es cierto la sanción tiene como finalidad reprimir una conducta contraria a derecho y restablecer el orden jurídico previamente quebrantado, también es cierto que la CCV nunca ha actuado de mala fe, ha actuado proactivamente para cumplir con sus deberes como responsable [sic] del tratamiento [sic] de los datos [sic] personales y que la imposición de una sanción pecuniaria tiene implicaciones nefastas en la recuperación económica después de las crisis ocasionadas por el Covid-19, que impactará no solo a la CCV si no al desarrollo empresarial de la región. En ese orden de ideas, asumir una sanción en este momento de crisis y más aún cuando el actuar de la CCV no obedeció a conductas deliberadas, ni se realizaron desconociendo sus obligaciones como responsable del tratamiento causaría para la CCV un perjuicio irremediable, como quiera que dicha sanción generaría un gran impacto negativo en las finanzas de la entidad.

Aunado al ya impacto reputacional negativo derivado de la apresurada publicación en medios de la sanción, sin que se agotara siquiera la vía gubernativa. ( ) 6. [sic] SOBRE EL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) ( ) El Despacho sí debe valorar la implementación del programa integral de protección de datos personales que progresivamente ha implementado la CCV como elemento de atenuación de la sanción pecuniaria impuesta.

( ) HOJA Nº En otras palabras, es necesario el Despacho hubiera hecho análisis de las pruebas allegadas al expediente, de manera concienzuda y completa, determinando que, en efecto, la CCV tenía medidas para la protección de datos personales ANTERIORES al inicio de la investigación administrativa que tuvo como resultado la imposición de la sanción ( ) Sin embargo, como bien lo reconoció el Despacho en la consideración octava de la Resolución No. 39514 de 28 de junio de 2021, no tuvo en cuenta este criterio para la graduación de la sanción, imponiendo así una multa excesiva para la CCV, desconociendo que desde al año 2013 la CCV se encuentra en un proceso de implementación y seguimiento de las medidas adecuadas y pertinentes para dar cumplimiento al régimen de protección de datos [sic] personales y en la aplicación e interiorización del del principio de responsabilidad demostrada en la cultura de la organización. ( ) CONCLUSIÓN SOBRE LAS CONSIDERACIONES DEL DESPACHO 1.

Se vulneró el debido proceso y se impidió el ejercicio pleno del derecho de contradicción de la CCV al no entregar el Acta de Preservación La actuación de la Dirección sí violentó los principios de buena fe, transparencia y publicidad, así como los derechos de contradicción y de defensa, mismos que se encuentran contemplados como principios y derechos fundamentales en la Constitución Política.

Si la SIC encontró elementos suficientes para adelantar la investigación que nos ocupa debió trasladar a la CCV el Acta de Preservación como la prueba principal que sustentó la apertura del pliego de cargos en su contra. Traslado que NO fue llevado a cabo por la SIC, ni aun, existiendo solicitud expresa presentada por esta defensa desde el día diez (10) de septiembre de 2020. 2.

La CCV si cumplió con el principio de responsabilidad demostrada desde antes del inicio de la investigación que nos ocupa ( ) 3. Hay una ausencia de daño al interés jurídicamente tutelado por la Ley 1581 de 2012. La sanción es desproporcionada por error en el análisis de la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012 5. [sic] NO HAY PROPORCIONALIDAD EN LA SANCIÓN - Se viola el principio de proporcionalidad en la imposición de la sanción pecuniaria ( )

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

HOJA Nº “(…) 8. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. DEL EXAMEN PROCESAL REALIZADO POR LA DIRECCIÓN DE INVESTIGACIÓN DE DATOS PERSONALES A LOS RECURSOS INTERPUESTOS Luego de realizar el análisis pertinente sobre los argumentos presentados por la recurrente, y los documentos que reposan en el expediente, esta Delegatura se sujeta a lo allí decidido en lo relacionado con la presunta violación al debido proceso y la definición y naturaleza jurídica de las Cámaras de Comercio.

3. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 23. Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.

Sentencia C-748 de 2011. 2 Artículo HOJA Nº 10 En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº 11 habeas data. Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la impuesta por parte de esta entidad, de acuerdo con la reducción realizada en sede de reposición, corresponde a un total de mil ochocientas cuarenta (1840) UVT (Unidades de Valor Tributario), equivalentes a sesenta y seis millones ochocientos seis mil setecientos veinte pesos mcte ($66’806.720).

La cual, representa aproximadamente el 3,68% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

4. DEL DEBER DE SOLICITAR Y CONSERVAR LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LOS DATOS Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En línea con lo anterior, el artículo 8 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) dispone lo siguiente: Prueba de la autorización [sic]. Los Responsables deberán conservar prueba de la autorización [sic] otorgada por los Titulares de datos personales para el Tratamiento de los mismos. No debe olvidarse que al “Responsable del Tratamiento” le corresponde probar que ha cumplido la ley tal y como lo dispone el capítulo VI del citado Decreto 1377 titulado “Responsabilidad demostrada frente al tratamiento [sic] de datos [sic] personales”.

El artículo 26 establece lo que sigue a continuación: Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). En suma, el Responsable del Tratamiento tiene la carga probatoria de, entre otras, acreditar la prueba obtenida para tratar los Datos del Titular de la información. HOJA Nº 12 El Decreto Único Reglamentario 1074 de 2015 estableció en relación con la Autorización del Titular para el Tratamiento de sus Datos: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

( ) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(Decreto 1377 de 2013, art. 7). Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (Decreto 1377 de 2013, art. 8)” (Énfasis añadido). Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Con base en lo anterior, este Despacho procederá a analizar los formularios mencionados (con excepción del llamado “Asesorías Jurídicas Especializadas”) por la recurrente, con el propósito de establecer si estos se ajustan o no a lo establecido por la Ley 1581 de 2012. a. Formulario de Registro en la Opción Competitividad y Proyectos – Coordinación Gestión Internacional Como se puede evidenciar en la imagen a continuación, este formulario de acuerdo con la definición que trae el artículo 5 de la Ley 1581 de 2012, recoge Datos sensibles de los Titulares de la información al cuestionar si la persona que lo está diligenciando pertenece o no a una población vulnerable o una la población raizal, palenquero, afrocolombiano o indígena.

Así, y a pesar de que la recurrente haya dejado una Autorización para el Tratamiento de Datos personales, en ningún momento hizo referencia a los Datos sensibles, omitiendo lo establecido en el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015 y en el artículo 6 de la Ley 1581 de 2012. HOJA Nº 13 Frente al rol que cumple la recurrente frente al Tratamiento de los Datos, se reitera lo que manifestó la Dirección de Investigación de Datos Personales en sede de reposición: Página 28 de la Resolución No. 81372 de 13 de diciembre de 2021 HOJA Nº 14 b. Formulario de Inscripción Acompañamiento Cultura Digital y Formulario de Inscripción de Paquetes y Diseño de Experiencias.

Acá se pudo verificar que los mismos no cumplen con el deber de solicitar y conservar la Autorización para el Tratamiento de los Datos personales suministrados al diligenciarlos, pues en ninguna parte se incluye la misma. Se reitera que estos formularios permitían que personas naturales se inscribieran dentro de la página web como informales o emprendedores.

Lo cual excluye que se tratara se personas jurídicas o comerciantes profesionales inscritos dentro de la entidad.

5. DEL DEBER DE INFORMAR AL TITULAR LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN COMO CONSECUENCIA DE LA AUTORIZACIÓN OTORGADA El literal c) del artículo 17 de la Ley 1581 de 2012 establece dentro de los deberes de los Responsables del Tratamiento el de “Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada ( )” Por su parte el artículo 12 de la misma norma, determina: “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. El artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, establece: “Artículo 2.2.22.25.2.1. Recolección de los datos Personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la Ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimiento usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. (Énfasis añadido). De otro, la Corte Constitucional mediante Sentencia C-748 de 2011, se refirió en los siguiente términos en relación con el Principio de Finalidad: “( ) En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.

HOJA Nº 15 La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo [sic], los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas.

En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado.

( ) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos. En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario.

Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos”. Frente al Módulo PQRSy demás formularios Se reitera, tal como se hizo en la Resolución No. 81372 de 13 de diciembre de 2021 que una vez evaluado su contenido, en el mismo no se informó a los Titulares de los Datos, la finalidad de la recolección de los mismos, refiriéndose únicamente a la infracción del literal c) del artículo 17 de la Ley 1581 de 2012.

Lo anterior, tampoco se hizo en los formularios: a. Competitividad y Proyectos – Coordinación de Gestión Internacional; ( b. Acompañamiento Cultura Digital; y, c. Diseño de Paquetes y Diseño de Experiencias. Sobre este punto en particular este Despacho recuerda lo manifestado en ese acto administrativo: HOJA Nº 16

6. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las HOJA Nº 17 autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”9. A juicio de la investigada, esta autoridad adoptó una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual se ejerció la facultad sancionatoria sin soporte legal ni fáctico, pues, se consideraron de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al Titular de la información. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados. En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cual parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº 18 normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales.

Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, es importante tener en cuenta que el criterio consagrado en el literal f) del mismo artículo es el único atenuante, el cual se aplica cuando la investigada reconoce expresamente haber incurrido en la infracción. De acuerdo con lo anterior, la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

No obstante lo anterior, la Dirección de Investigación de Protección de Datos personales mediante la Resolución No. 81372 de 2021 redujo la sanción impuesta a un total de SESENTA Y SEIS MILLONES OCHOCIENTOS SEIS MIL SETECIENTOS VEINTE PESOS MCTE ($66’806.720) al evidenciar que la información que solicita el Formulario Asesorías Jurídicas Especializadas está relacionada con personas jurídicas o comerciantes inscritos.

En segundo lugar, es claro que la Resolución No. 39514 de 28 de junio de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental10 a la protección de Datos11. Las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. 10 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 11 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 19 Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”12. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia13. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

7. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos [sic] que contengan información personal o socialmente relevante”14. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2615 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic] ”16. 12 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 14 Cfr. Corte Constitucional, Sentencia T-227 de 2003. El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 16 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, HOJA Nº 20 Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos 17.

El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”18. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del Dato personal cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada19(accountability)20”. El término “accountability”21, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de Datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza 22 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Tatos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y con respecto a cualquier aspecto del tratamiento [sic].

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 17 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” 18 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”. 19 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 21 Cfr. Grupo de trabajo de protección de datos [sic] del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 22 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. HOJA Nº 21 decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 23.

(Énfasis añadido) El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 24, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”25.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 26. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”27. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”28 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos [sic] personales”29. 23 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 25 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 26 Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).

Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 27 Idem. 28 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 29 Ibidem.

HOJA Nº 22 Con base en lo anterior, y como se evidenció a lo largo de la actuación administrativa en curso, las medidas y políticas para el manejo de los Datos personales que administra el Responsable de la información se tienen en cuenta al momento de determinar la sanción por violación a las normas de protección de Datos personales. Sin embargo, la Dirección de Investigación de Protección de Datos Personales no las tuvo en cuenta, pues, como se vio, los formularios evaluados no cumplían a cabalidad con TODOS los requisitos exigidos por la Ley 1581 de 2012.

8. DE LA RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política de Colombia señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la Ley 222 de 1995 30 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, 30 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” HOJA Nº 23 desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 24 31 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”32.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.

La Dirección de Investigación de Protección de Datos personales mediante la Resolución No. 81372 de 2021 redujo la sanción impuesta a un un total de SESENTA Y SEIS MILLONES OCHOCIENTOS SEIS MIL SETECIENTOS VEINTE PESOS MCTE ($66’806.720) al evidenciar que la información que solicita el Formulario Asesorías Jurídicas Especializadas está relacionada con personas jurídicas o comerciantes inscritos; 2.

La multa impuesta por parte de esta entidad, de acuerdo con la reducción realizada en sede de reposición, representa aproximadamente el 3,68% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 3. Las medidas y políticas para el manejo de los Datos personales que administra la investigada no se tuvieron en cuenta al momento de determinar la sanción por violación a las normas de protección de Datos personales, pues, como se vio, los formularios evaluados no cumplían a cabalidad con TODOS los requisitos exigidos por la Ley 1581 de 2012; 4.

Ni la responsabilidad, ni la sanción frente a quien incumple el régimen jurídico de protección de Datos personales se desvanece con la adopción de medidas y políticas que resultan ineficaces para lograr el cumplimiento de las normas de protección de Datos personales; De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 39514 de 28 de junio de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 39514 de 28 de junio de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo y de conformidad con la modificación realizada mediante el ARTÍCULO PRIMERO de la Resolución No. 81372 de 13 de diciembre de 2021. 31 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 32 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

HOJA Nº 24 ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con Nit. 892.000.102-1, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 29 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.29 ANGARITA Fecha: 18:01:53 -05'00' NELSON REMOLINA ANGARITA CGC Notificación Investigada: Identificación: Representante Legal: Identificación: Apoderado: Identificación Tarjeta profesional: Dirección 1: Ciudad: Dirección 2: Ciudad: Correo electrónico: Cámara de Comercio de Villavicencio Nit. 892.000.102-1 Marly Paola Trujillo Riveros 1.121.841.542 Juan Luis Pérez Escobar C.C. No. 1.067.858.166 222772 del Consejo Superior de la Judicatura Avenida 40 No. 24A-71 Villavicencio (Meta) Carrera 16 No. 85-66 Ap. 203 Bogotá presidencia@ccv.org.co juan.perez@lois.com.co juanluisperez.e@gmail.com HOJA Nº 25

Resolución sancionatoria N° 15954 de 2022

CONSIDERANDO

RESUELVE