Apelación 55739 de 2022 — SIC

(28 DICIEMBRE 2022) “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” Radicación 20-97192 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011 modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que mediante Resolución N° 55739 del 22 de agosto de 2022, la Dirección de Investigación de Protección de Datos Personales resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, CUARENTA Y CINCO MILLONES TREINTA Y CUATRO MIL SETECIENTOS CUARENTA PESOS M/CTE ($45.034.740) equivalentes a MIL CIENTO OCHENTA Y CINCO (1185) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por el incumplimiento a lo dispuesto en: (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibidem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015; (iii) Literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

(…)”

SEGUNDO: Que conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicación 20-97192-37 del 5 de septiembre de 2022, la Resolución N° 55739 del 22 de agosto de 2022 se le notificó a la investigada de manera electrónica el 23 de agosto de 2022.

TERCERO: Que por intermedio de apoderado especial, la investigada dentro del término oportuno concedido para el efecto, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N° 55739 del 22 de agosto de 2022, a través de correo electrónico del 6 de septiembre de 2022 bajo radicado 20-97192-38-1 del 7 de septiembre de 2022, de acuerdo con lo siguiente: 3.1.

En primer lugar, manifestó la necesidad de: “(…) reiterar y aclarar que la presente sanción se fundamentó por el supuesto tratamiento desautorizado de los datos personales del señor XXXX XXXXX XXXXXXXXX, cuando en realidad lo que ocurrió fue un tratamiento (…) que partió del suministro erróneo de datos personales por parte de un tercero, (…) el señor XXXX XXXXX XXXXX XXX, quien (…) manifestó ser el titular de la información objeto de la controversia.

(…) Así pues, no es cierto que COLSUBSIDIO hubiese recolectado de forma irregular el número de celular del señor XXXXX XXXXXXXXX. El número telefónico fue suministrado directamente por el señor XXX XXXXX XXXXX XXX, quien, al momento de diligenciar el indicó a COLSUBSIDIO que el número de celular era una línea que le pertenecía. La imprecisión en cuanto a la titularidad de esa línea fue HOJA Nº 2, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” descubierta por COLSUBSIDIO una vez el señor XXXX XXXXX XXXXX formuló reclamaciones en ese sentido, momento en el cual COLSUBSIDIO pudo percatarse de que ese número no le pertenecía al señor XXXX XXXXX XXXXX XXX.

(…)” 3.2. Posteriormente, la investigada realizó algunas consideraciones frente a los ‘reproches’ a ella endilgados, así: “(…) Colsubsidio explicó de manera detallada y clara a la Dirección que los reproches de los cuales se le acusan en los cargos 1 y 2 de lo Resolución 55739 fueron causados por un hecho externo a Colsubsidio, por un tercero afiliado que, bajo la gravedad del juramento, informó a Colsubsidio que el dato personal correspondiente a su número de línea celular le pertenecía a él. Colsubsidio explicó a la Dirección de la manera más detallada posible cómo era imposible para la Compañía dar cumplimiento a lo indicado por los cargos enunciados, pues no era procedente contar con la autorización del quejoso, en tanto lo que cobijaba el tratamiento del dato era la autorización otorgada por un tercero que indujo a error a Colsubsidio.

No obstante, a pesar de que la Dirección conoció la información presentada por Colsubsidio, no la analizó y adoptó una conclusión que no se adecúa. (…)” Concretamente, respecto de la autorización, señaló el que: “En el presente caso, Colsubsidio mantuvo interacción para la recolección de los datos personales cuyo tratamiento motiva la presente sanción con el señor XXXX XXXXX XXXXX XXX.

El señor XXXXX fue quien indicó ser el titular del dato personal representado en el número de celular XXXXXXXX, lo suministró y previamente consintió su tratamiento, tal como se observa en el formulario allegado al expediente. Como puede observarse, XXXX XXXXX XXXXX XX fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado.

Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada. Este formulario fue radicado ante Colsubsidio bajo el número XXXXXXXXXXXXX.” Por lo tanto, manifiesta el apoderado, que COLSUBSIDIO sí contaba con la autorización previa, expresa e informada para el tratamiento del número celular suministrado por el señor XXXX XXXXX XXXXX XXX.

Igualmente, indica el recurrente que: “(…) Colsubsidio trató los datos personales de XXXX XXXXX XXXX XXX y no los del señor XXXXX, por lo que, su autorización y el tratamiento realizado sobre sus datos personales fue ejecutado de conformidad con los parámetros legales. En consecuencia, la intención de que Colsubsidio obtuviera la autorización de tratamiento de datos personales del señor XXXXX, hecho reprochado y exigido por la SIC, carece de todo razonamiento, pues no existe necesidad alguna para ello.” Alega el recurrente que en virtud del error cometido por el señor XXXX XXXXX XXXXX XXX, quien indicó ser el titular de la línea celular, se configura un eximente de responsabilidad, al señalar: “(…) Así pues, si el número de celular que fue suministrado por el señor XXXX no correspondía a un dato que le perteneciese o fue mal diligenciado dentro del formulario de afiliación, lo cierto es que dicha conducta no le es imputable a Colsubsidio, quien de buena fe confió en la exactitud de la información inicial que dicho titular le suministró. Por ello, si de dicha confianza y buena fe surge una situación reprochable, como lo sería que en la realidad el dato suministrado y frente al cual manifestó su HOJA Nº 3, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” autorización, no le pertenecía, quien faltó a su deber en la veracidad de la información en inobservancia a una manifestación juramentada frente a su exactitud no es Colsubsidio, sino quien lo diligenció.” Destaca el apoderado que COLSUBSIDIO actuó de forma diligente corrigiendo el dato personal del señor XXXX XXXXX XXXXX XXXal descubrir el error de digitación cometido en el suministro del dato, y agregó que: “Una vez Colsubsidio recibió los reclamos del señor XXXX XXXXX XXX, se pudo percatar del error de digitación en el formulario del señor XXXX, momento desde el cual procedió a corregir la información en sus bases de datos y a bloquear el envío de comunicaciones con destino al número celular del señor XXXXXX.

En el escrito de recurso, frente al cargo tercero, señala: “Frente a ello debe tenerse en cuenta que, a pesar de las dificultades señaladas, Colsubsidio finalmente atendió las pretensiones del señor XXXX XXXXX XXXX procediendo con la modificación de la información personal del sujeto que un principio dijo ser el titular de la información, y consecuentemente con el bloqueo de envío de mensajes publicitarios a dicha línea de celular que finalmente no le pertenecía. En este orden de ideas, la solicitud requerida por el señor XXXXX fue concedida y su número celular ya NO hace parte de las bases de datos de Colsubsidio.” 3.3.

Frente a la sanción impuesta mediante la Resolución N° 55739 del 22 de agosto de 2022, sostiene que la Dirección cometió irregularidades, como son: (i) la no aplicación de todos los criterios de graduación de la multa, establecidos en la Ley 1581 de 2012; y (ii) la aplicación incorrecta de los criterios de graduación de la multa. Respecto a la no aplicación de todos los criterios de graduación de la multa, asevera que la Dirección omitió el criterio de graduación de la multa establecido en el literal c) del artículo 24 de la Ley 1581 de 2012 y que la Dirección debió aplicar todos y cada uno de los criterios o, por lo menos, otorgar una explicación clara y detallada acerca de por qué prefirió aplicar unos criterios frente a otros. 3.3.2.

Respecto a la aplicación incorrecta de los criterios de graduación de la multa, indica el apoderado: “(…) La autoridad debe abstenerse de hacer juicios e interpretaciones que, al carecer de fundamentos jurídicos o jurisprudenciales, resultan arbitrarios. La arbitrariedad, en este caso, implica que Colsubsidio está siendo sancionada sin razón y de forma ilegal.

Por demás, en ninguna parte de la Resolución 55739, ni del expediente, obra prueba alguna que le permita a la Dirección afirmar que las conductas en las que presuntamente incurrió Colsubsidio ocasionaron efectos perjudiciales al señor XXXXX. Ahora, es importante aclarar que el hecho de que dicha resolución exponga en su parte motiva las quejas del señor XXXXX, no implica que algún daño se haya consumado, o la proporcionalidad del mismo.” 3.3.3.

Respecto al reconocimiento de la comisión de la infracción sostiene el apoderado: “(…) En ningún momento, Colsubsidio ha afirmado que cuenta con la autorización de tratamiento de datos personales del señor XXXXXXXX, pues no los requiere para adelantar ningún tipo de finalidad de tratamiento sobre los datos del mismo. Colsubsidio, confiando en la buena fe y legitimidad del titular para suministrar el número de celular que finalmente entregó, confió en que el dato suministrado le pertenecía, de tal forma que, si existe una imprecisión en la utilización de esa información, ello no puede serle imputable a Colsubsidio al existir un eximente de responsabilidad por el hecho de un tercero. HOJA Nº 4, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” Así mismo, se resalta que desde el escrito de descargos con radicado N°. 20-97192- 24 de 05 de octubre de 2021, Colsubsidio reconoció que existió una demora en los tiempos de respuesta de la solicitud del señor XXXXXX, no por negligencia de parte de Colsubsidio, sino por las dificultades que experimentaron sus sistemas al tener que buscar información sobre un sujeto con el que no se había tenido algún vínculo."

CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por el recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los siguientes aspectos, a saber: i) Frente a los cargos objeto de estudio; y (ii) Frente a los criterios de graduación de una sanción. 5.1.

Frente la autorización previa, expresa a informada y la finalidad del tratamiento de los datos, la recurrente manifestó lo siguiente: “(…) Colsubsidio explicó de manera detallada y clara a la Dirección que los reproches de los cuales se le acusan en los cargos 1 y 2 de lo Resolución 55739 fueron causados por un hecho externo a Colsubsidio, por un tercero afiliado que, bajo la gravedad del juramento, informó a Colsubsidio que el dato personal correspondiente a su número de línea celular le pertenecía a él. Colsubsidio explicó a la Dirección de la manera más detallada posible cómo era imposible para la Compañía dar cumplimiento a lo indicado por los cargos enunciados, pues no era procedente contar con la autorización del quejoso, en tanto lo que cobijaba el tratamiento del dato era la autorización otorgada por un tercero que indujo a error a Colsubsidio.

Igualmente, indica el recurrente que: “(…) Colsubsidio trató los datos personales de XXXX XXXXX XXXXX XXX y no los del señor XXXXXX, por lo que, su autorización y el tratamiento realizado sobre sus datos personales fue ejecutado de conformidad con los parámetros legales. En consecuencia, la intención de que Colsubsidio obtuviera la autorización de tratamiento de datos personales del señor XXXXXXX, hecho reprochado y exigido por la SIC, carece de todo razonamiento, pues no existe necesidad alguna para ello.” HOJA Nº 5, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” Alega el recurrente que en virtud del error cometido por el señor XXXX XXXXX XXXXX XXX, quien indicó ser el titular de la línea celular, se configura un eximente de responsabilidad, al señalar: “(…) Así pues, si el número de celular que fue suministrado por el señor XXXX no correspondía a un dato que le perteneciese o fue mal diligenciado dentro del formulario de afiliación, lo cierto es que dicha conducta no le es imputable a Colsubsidio, quien de buena fe confió en la exactitud de la información inicial que dicho titular le suministró. Por ello, si de dicha confianza y buena fe surge una situación reprochable, como lo sería que en la realidad el dato suministrado y frente al cual manifestó su autorización, no le pertenecía, quien faltó a su deber en la veracidad de la información en inobservancia a una manifestación juramentada frente a su exactitud no es Colsubsidio, sino quien lo diligenció.” Destaca el apoderado que COLSUBSIDIO actuó de forma diligente corrigiendo el dato personal del señor XXXX XXXXX XXXXX XX al descubrir el error de digitación cometido en el suministro del dato, y agregó que: “Una vez Colsubsidio recibió los reclamos del señor XXXX XXXXX XXX, se pudo percatar del error de digitación en el formulario del señor XXXX, momento desde el cual procedió a corregir la información en sus bases de datos y a bloquear el envío de comunicaciones con destino al número celular del señor XXXXXXX.

Así pues, una vez Colsubsidio se percató del error de digitación en el formulario de afiliación, procedió a eliminar la información alusiva al dato personal del señor XXXXXXX, bloqueando igualmente el envío de mensajes a su línea de celular. Lo anterior, no habría podido haber sido realizado con antelación, dado que dada la gravedad de juramento con la que el señor XXXX XXXXX XXX X, Colsubsidio de buena consideraba que este dato personal le pertenecía a este titular y no a otro.” Frente a los argumentos realizados por el recurrente, esta instancia encuentra necesario hacer las siguientes precisiones: Bajo el entendido de que los argumentos expuestos por parte de la recurrente, son los mismos que los expuestos dentro del escrito de descargos, resulta claro que la labor de este Despacho, en esta instancia, debe ir más allá de reiterarle los fundamentos en el régimen legal colombiano de la legitimidad del tratamiento de los datos personales, realizando una recapitulación jurisprudencial de la necesidad de la autorización para el tratamiento de datos y su inevitable vinculación con la finalidad del tratamiento de estos, así: Como ya le fue manifestado a la recurrente “(…) los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular".

De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular. De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de HOJA Nº 6, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 20111 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )” Cfr. Corte Constitucional;

C-748-11, M.P. Jorge Ignacio Pretelt Chaljub, 6 de octubre de 2011. 2.6.5.2.3. Principio de libertad. HOJA Nº 7, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal.” Igualmente, frente a la finalidad del tratamiento, es necesario reiterarle a la recurrente que: “El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 20112, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”3.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 20114, expuso lo siguiente: 2 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb.2.17.3. Constitucionalidad de los artículos 17 y 18. 3 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb 4 Ibidem HOJA Nº 8, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)” En otras palabras, la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” Como recuento constitucional de la aplicación de los principios como herramienta para ‘nutrir’ de contenidos los deberes objeto de estudio, este Despacho debe recordarle a la recurrente que las sanciones que impone esta autoridad se realizan con base en la vulneración de los deberes probados como violentados por medio de las acciones desplegadas u omitidas por la sociedad investigada.

En este caso, para efectos de hacer claridad sobre la infracción de los deberes objeto de estudio del artículo 17 de la Ley 1581 de 2012, este Despacho analizó el mencionado deber junto con los principios pertinentes para efectos de definir el contexto axiológico dentro del cual debe desarrollarse el deber objeto de estudio. Así las cosas, los principios actúan como complemento del deber materia de investigación para encuadrar la conducta de la recurrente con los hechos manifestados en la queja, para efectos de llegar a la verdad de los hechos.

Tan es así, que la Corte Constitucional en la sentencia C 748 del 20115 estableció, en torno a los principios para la administración de datos personales, que: 5 Cfr. Corte Constitucional, sentencia C 748 del 2011 de fecha seis (6) de octubre de dos mil once (2011), M.P.: Jorge Ignacio Pretelt Chaljub HOJA Nº 9, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” “2.6.3.

Consideraciones generales sobre el artículo 4 El desarrollo tecnológico ha redimensionado la relación del hombre con su entorno. Ahora “la recolección, el almacenamiento de información que antes sólo podía formar parte de la vida íntima de cada ser humano- o bien, era conocido por un mínimo sector-, ha ido variando paulatinamente su entorno y estructura.

Esto es, los datos personales de toda persona se han convertido en una práctica habitual de control y almacenamiento por parte de los sectores tanto públicos como privados”6. Esto ha implicado el reconocimiento de nuevos derechos con particularidades propias que “intentan dar respuesta a las nuevas necesidades históricas, mientras que en otras supone la redefinición de viejos derechos”7 Como se explicó en precedencia, en principio, el derecho al habeas data fue considerado como una manifestación del derecho a la intimidad.

Sin embargo, esta garantía estaba marcada por un matiz individualista destinada a proteger un espacio privado sin posibilidades de injerencias ajenas o del Estado, y por tanto, las limitaciones propias del derecho a la intimidad no son suficientes para responder a las necesidades del flujo de la información moderna. Por el contrario, se está ante el nacimiento de un nuevo derecho, el de habeas data, en el que la privacidad “no implica sencillamente la falta de información sobre nosotros por parte de los demás, sino más bien el control que tenemos sobre las informaciones que nos conciernen”8 Esta reciente garantía requiere entonces del reentendimiento de instrumentos de tutela jurídica y de ciertos principios que respondan a las necesidades del control del manejo de datos.

En efecto, se enfrentan dos intereses, por un lado, la especial necesidad de disponibilidad de información mediante la conformación de bases de datos personales, por otro, el requerimiento de proteger los derechos fundamentales de los posibles riesgos del proceso de administración de datos. En consecuencia, se torna indispensable someter este proceso a ciertos principios jurídicos, con el fin de garantizar la armonía entre las relaciones jurídicas.

Para la Corte, el tratamiento de datos, si bien es imprescindible para el normal desarrollo de múltiples ámbitos de la vida social, puede lesionar derechos fundamentales. En consecuencia, tanto en la jurisprudencia como en el ámbito internacional se han fijado una serie de principios para la administración de datos personales, que como mandatos de optimización, tiendan a facilitar la labor de ponderación entre las prerrogativas constitucionales en tensión. Sobre la naturaleza de los principios en la Sentencia C-228 de 20119 se dijo que los principios “en la terminología de Robert Alexy se trata de un mandato de optimización que ordena que se realice algo en la mayor medida de lo posible de acuerdo con las posibilidades jurídicas y fácticas, pero cuando colisiona con otros principios como el de salvaguarda de los sistemas de protección social o la sostenibilidad financiera, dicho conflicto tiene que ser ponderado en el caso concreto para determinar si se justifica o no de manera razonable la limitación” Estos principios, buscan impedir el uso abusivo y arbitrario de la facultad informática.

Así mismo, deben ser interpretados en concordancia con el segundo inciso del artículo 15 de la Carta, que establece que “(e)n la recolección, tratamiento y circulación de los datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Es decir, el artículo 4 de la Ley Estatutaria define el contexto axiológico dentro del cual debe moverse, el proceso informático.

Según este marco general, existen unos parámetros generales que deben ser respetados para poder afirmar que el proceso de acopio, uso y difusión de datos personales sea constitucionalmente legítimo”10 (Negrilla y subrayado fuera del texto original). Así, en la medida en que se hace un análisis del deber en concordancia con los principios mencionados, no se configura una violación al principio de legalidad y de tipicidad, en la medida en que, en la misma sentencia, la Corte Constitucional estableció que la Ley de habeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador, así: 6 García González, Aristeo.

La protección de datos personales: derecho fundamental del siglo XXI. Un estudio comparado Boletín Mexicano de Derecho Comparado [en línea] 2007, XL (Septiembre-Diciembre): Disponible en: <http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp?iCve=42712003> ISSN 00418633 7 Ob cit 8 Lusky, L., “Invasion of Privacy: a Clarification of Concepts.

Citado por García González Aristeo. Ob cit 9 Cfr. Corte Constitucional, sentencia C-228 de 2011 de fecha treinta (30) de marzo de dos mil once (2011).M.P. Juan Carlos Henao Pérez 10 Ibid. 24 HOJA Nº 10, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” “2.21.3. Constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato 2.21.3.1.

(…) Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii)El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. 2.21.3.2. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos.

En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.

Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;

(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.

(…) En este sentido, se estima que existen los suficientes criterios para determinar la sanción específicamente imponible, los cuales han sido señalados por el propio proyecto de ley estatutaria. Por último, cabe destacar que la norma respeta claramente el debido proceso al remitirse al Código Contencioso Administrativo en relación con los procedimientos aplicables.

En consecuencia, se declarará la exequibilidad del artículo 23, (…).” (Subrayado fuera del texto original). De igual manera, la sentencia C-1011 de 2008, la cual fue tomada por la Corte constitucional como referencia para varias consideraciones en el análisis de constitucionalidad de la Ley 1581 de 2012, respecto del principio de legalidad en el derecho administrativo sancionador indico que “(…) en materia de derecho administrativo sancionador, el legislador puede establecer normas con un HOJA Nº 11, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” mayor grado de generalidad, que no implican per se la vulneración del principio de legalidad, siempre y cuando se establezca un marco de referencia cierto para la determinación de la infracción y de la sanción en un caso concreto”.

(…).” (Subrayado fuera del texto original). Así las cosas, para este Despacho en la medida en que la investigada no pudo probar que recaudó el consentimiento del quejoso, y en consecuencia, no le informó sobre las finalidades del tratamiento, los argumentos expuestos no son acogidos como materia que implique un mayor análisis. 5.2. Frente al cargo tercero relativo a la respuesta del derecho de petición, la recurrente expone que: “(…) Colsubsidio finalmente atendió las pretensiones del señor XXXX XXXXX XXXX procediendo con la modificación de la información personal del sujeto que un principio dijo ser el titular de la información, y consecuentemente con el bloqueo de envío de mensajes publicitarios a dicha línea de celular que finalmente no le pertenecía. En este orden de ideas, la solicitud requerida por el señor XXXXX fue concedida y su número celular ya NO hace parte de las bases de datos de Colsubsidio.” Al igual que se procedió con los ‘reproches’ anteriores este Despacho se permitirá precisar que como ya le fue manifestado en la Resolución impugnada: “El artículo 14 de Ley 1581 de 2012, establece el término máximo con el que cuentan los Responsables y Encargados del tratamiento para atender las consultas que ante éstos se presentan y la forma como deben hacerlo.

Tal precepto señala que los titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

Para el efecto, la consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término”11.

Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de 201112 cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargado del tratamiento, señalando lo siguiente: “Este artículo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimiento hechos son los mismo que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular el dato ejercer las facultades que se derivan del habeas data”.

Al respecto es importante precisar que los mecanismos de consulta y reclamos frente a los Responsables y Encargados de tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda de derecho de hábeas data.

Por tanto, es deber de los Responsables y Encargados del tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las preguntas y solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo. 11 Artículo 14.

Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta 12 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. 2.16.4.El reclamo: otro mecanismo para hacer efectivos, entre otros, la rectificación, actualización, corrección, oposición y supresión. HOJA Nº 12, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” En este punto, vale la pena recordar, recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al interesado (…)”.

Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante. (…)”. De igual manera, en la sentencia T-490 del 2018 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015.

A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”. En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. 42.

Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”. Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43.

Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente. La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.

La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.

(…)”. (Subrayado fuera del texto original). Nuevamente, en esta instancia, vale la pena reiterar que como fue evidenciado en la sanción impuesta: El denunciante radicó 2 (dos) quejas ante la investigada fechadas y posteriormente elevó queja ante la Superintendencia de Industria y Comercio, así Número de queja Fechada Fecha estimada de respuesta Observación 1ra queja a la sociedad 21 de octubre de 2019 1 de noviembre de 2019 No se contestó en los investigada términos de ley Reiteración del derecho de 18 de diciembre de 2019 2 de enero de 2020 No se contestó en los petición términos de ley 2da queja a la sociedad 21 de diciembre de 2019 8 de enero de 2020 No se contestó en los investigada términos de ley Respuesta parcial por parte de la sociedad investigada Respuesta definitiva de por parte de la sociedad investigada - 23 de diciembre de 2019 - 9 de marzo de 2020 HOJA Nº 13, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” Queja interpuesta a la Superintendencia de Industria y Comercio por parte del quejoso. 16 de abril de 2020 - Ahora bien, se evidencia que la investigada no dio respuesta de fondo y en términos legales de acuerdo con lo señalado en la Ley 1581 de 2012, ya que la respuesta a todas luces fue dada mas allá de los quinces días hábiles legales establecido en la norma.

Así las, aun mas allá del argumento ya discutido, el argumento de la recurrente de que supuestamente procedió a modificar la información en sistema y posteriormente bloquear el envío de información a dicha línea celular, resulta abiertamente inconstitucional puesto que lo procedente era eliminar el número del sistema para efectos de asegurar que no se enviara información a dicho número, no el bloqueo puesto que dicho proceso no resulta ser siempre el más efectivo 5.3 Frente a los criterios de graduación de la sanción Al respecto, señala el recurrente que la Dirección no aplicó todos los criterios de graduación de la multa, al considerar: “La Resolución 55739 enuncia que el literal c) del artículo 24 de la Ley 1581 de 2012, el cual se refiere a la reincidencia del sancionado en la comisión de la infracción, no es considerado en la graduación de la multa, no obstante, no explica la razón por la cual no es analizado.

En este sentido, la Dirección omite, deliberadamente y sin explicación alguna, el criterio de graduación de la multa establecido en el literal c) del artículo 24 de la Ley 1581 de 2012. En ninguna parte de la norma mencionada se establece que los criterios de graduación de la multa son opcionales o que la autoridad tiene discrecionalidad para omitir los que considere.

Por ende, la Dirección debió aplicar todos y cada uno de los criterios o, por lo menos, otorgar una explicación clara y detallada acerca de por qué prefirió aplicar unos criterios frente a otros.” Añade, además, que no se aplicó de forma correcta los criterios de graduación de la multa al considerar que la dimensión del daño o peligro a los intereses jurídicos tutelados no puede ser un criterio que aumente el valor de la sanción impuesta, concluyendo: “(…) La indebida aplicación de los criterios de graduación de la multa que dicta la Ley 1581 de 2012, por parte de la Dirección, hacen que el valor de la sanción impuesta carezca de sustento y sea arbitrario.

Al analizar los criterios de graduación de la multa, la Dirección no definió cómo afectaban el valor de la sanción y tampoco determinó si alguno de ellos, por ejemplo, tenía más peso que los otros.” Respecto al monto de la sanción es importante que la sociedad investigada entienda que el mismo no obedece a criterios particulares de cada caso sino que la graduación de la sanción responde a los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, artículo que indica: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” HOJA Nº 14, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” Frente a esto, la Corte Constitucional en la sentencia C-748 del 2011 en el análisis de constitucionalidad de la norma estableció: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Así, este Despacho considera oportuno resaltar que de acuerdo con lo mencionado por la Corte el artículo 24 de la Ley 1581 de 2012 establece 6 criterios, los primeros 5 criterios corresponden a agravantes y el último corresponde a un atenuante.

Con relación a esto, en la Resolución N°. 55739 del 22 de agosto de 2022, este Despacho: (i) Informó de forma clara y precisa que era aplicable solamente un agravante toda vez que se evidenció que hubo un daño y/o puesta en peligro de los intereses jurídicos tutelados, por cuanto no demostró el cumplimiento del deber de solicitar y conservar copia de la autorización previa, expresa e informada del titular, el deber de informar debidamente al titular sobre la finalidad de la recolección de los datos y los derechos que le asisten y el deber de tramitar las consultas y reclamos formulados por el titular en los términos señalados en la Ley.

(ii) Indicó a la sociedad que: los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio, y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección; siendo esta la justificación de porque los otros agravantes no fueron tenidos en cuenta para graduar la sanción. (iii) Finalmente, estableció que el único criterio atenuante indicado en la Ley corresponde al literal f) del artículo 24 no era aplicable por cuanto la sociedad no hizo un reconocimiento expreso de la comisión de la infracción antes de la imposición de la sanción. Igualmente, la Ley 1581 de 2012 en su artículo 23 determinó que el rango para imponer la multa de carácter pecuniario es de un mínimo de 1 salario mínimo legal mensual vigente y un máximo de dos mil (2.000) salarios mínimos mensuales legales vigentes, y la multa impuesta corresponde al 2,25% por ciento del monto máximo sancionable que habilita la Ley 1581 de 2012.

En conclusión, se tiene que este Despacho tuvo en cuenta para la graduación de la sanción los criterios aplicables según la norma y la jurisprudencia. Por lo tanto, el monto de la multa impuesta a la investigada es el resultado del análisis anterior. Así, es claro que la Resolución N°. 55739 del 22 de agosto de 2022 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo13.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria que llevó a concluir y comprobar la vulneración al derecho de habeas data del titular. Además, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos se tratan de multas y/o sanciones que buscan amparar el derecho fundamental14 a la protección de 13 “Artículo 3.

Principios. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad.

(…)” 14 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

HOJA Nº 15, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” datos15 y promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales. Finalmente, es importante tener presente que la vulneración del derecho de habeas data no solo afecta al titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia17.

Así las cosas, recalcamos, que la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente. 5.4. Frente a las pretensiones Frente a las pretensiones o solicitudes alegadas por el recurrente este Despacho encuentra lo siguiente: De acuerdo con todo lo mencionado y explicado en el presente acto administrativo esta Dirección no revocará la resolución 55739 del 22 de agosto de 2022 y, en consecuencia, NO ordenará el archivo de la actuación; en su lugar, confirmará la decisión adoptada mediante la resolución aquí recurrida.

Frente a la pretensión segunda, en la cual la investigada solicita que se le disminuya el valor de la sanción en virtud de los criterios establecidos en el artículo 24 de la ley 1581 de 2012, este Despacho no puede acceder a dicha pretensión toda vez que una vez analizados los criterios de graduación se encuentra que dichos criterios ya fueron analizados previamente en la Resolución 55739 de 2022.

Finalmente, frente a la última pretensión en la cual el recurrente solicita que se conceda el recurso de apelación, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales de esta Superintendencia.

SEXTO: CONCLUSIONES 1. Con fundamento en lo expuesto, se encuentra que las exigencias de la Dirección frente a la autorización y las finalidades de esta obedecen a lo ya señalado en la Resolución N°. 55739 del 22 de agosto de 2022, por lo que no se vislumbran argumentos expuestos por la recurrente que puedan ser contrarios a ella. 2. La graduación de la sanción no obedeció a una decisión caprichosa de esta Dirección, sino que se realizó con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución N°. 55739 del 22 de agosto de 2022. 15 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 16 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. 17 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº 16, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación”

OCTAVO: Que, con el fin de garantizar los derechos fundamentales de la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su apoderado especial vinculado al correo electrónico jose.miguel.delacalle@garrigues.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la investigada requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la investigada, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho, RESUELVE ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N° 55739 del 22 de agosto de 2022, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales. ARTÍCULO TERCERO: NOTIFICAR a la CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO con Número de Identificación Tributaria 860.007.336-1, a través de su representante legal y de su apoderado general, entregándoles copia de la misma, advirtiéndole que contra la presente decisión no procede recurso alguno.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 DICIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUNOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUNOZ Fecha: 2022.12.28 10:57:14 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: UAMP / SRB Revisó: SRB Aprobó: CESM HOJA Nº 17, “Por la cual se resuelve un recurso de reposición y se concede un recurso de apelación” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico 1: Correo electrónico 2: Ciudad: CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO NIT. 860.007.336-1 LUIS CARLOS ARANGO VÉLEZ C.C. N°. 8.268.605 Calle 26 No. 25 - 50 Piso 9 servicioalcliente@colsubsidio.com ccfcolsubsidio@ssf.gov.co Bogotá D.C. Apoderado: Identificación: Dirección: Ciudad: Correo Electrónico: JOSÉ MIGUEL DE LA CALLE RESTREPO C.C. N°. 80.417.606 Av.

Calle 92 No. 11-51 Piso 4 Bogotá, D.C. jose.miguel.delacalle@garrigues.com

Resolución sancionatoria N° 55739 de 2022

CONSIDERANDO