(07 OCTUBRE 2022) VERSIÓN PÚBLICA “Por la cual se resuelve un recurso de reposición y se concede el de apelación” Radicación 19-78098 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011 modificado por el artículo 7 del Decreto 092 de 2022; y
CONSIDERANDO
PRIMERO: Que mediante escrito radicado el número 19-78098-00000 de 2 de abril de 2019 el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx1, presentó denuncia mediante la cual informó la ocurrencia de los siguientes hechos: “Solicité un examen en la clínica y cuando pedí los resultados se me envió los exámenes de todos los pacientes violando la reserva del diagnóstico y especialmente, afectando datos personales sensibles”.
SEGUNDO: Que, como consecuencia de lo anterior, esta Dirección mediante oficio con radicado 19-78098-00007 de fecha 7 de febrero de 2020, requirió a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., con el fin de que informara lo siguiente: “1. Informe si esa sociedad envió los resultados de los exámenes médicos relacionados a continuación a la dirección de correo electrónico ‘xxxxxxxxxxxxxxxxx’.
En caso de ser afirmativa su respuesta, indique la razón de este envío. (…) 2. Señale qué tipo de datos personales almacena en sus bases de datos de los pacientes mencionados. 3. Acredite prueba de la autorización (previa, expresa e informada) otorgada por los pacientes anteriormente mencionados para el tratamiento de sus datos personales. 4.
Especifique las finalidades para las cuales está autorizado para el tratamiento de los datos personales de los pacientes mencionados. 5. ¿Cuáles son los mecanismos implementados por la sociedad para obtener la información que almacena en sus bases de datos? 6. Aporte prueba mediante la cual se informe a los pacientes la finalidad de la recolección de sus datos personales y tos derechos que le asisten por virtud de la autorización otorgada. 7.
Informe quién es la persona o área designada en la CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. para la función de tratamiento y protección de datos personales, de conformidad con el artículo 2.2 2 25.4.4 del Decreto Único Reglamentario 1074 de 2015. 8 ¿Qué vínculo jurídico tiene la sociedad con el médico oftalmólogo xxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxx, identificado con Registro Médico o Tarjeta Profesional xx.xxx? Allegue copia de los documentos que acrediten ese vínculo. 1 La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. mediante la comunicación con radicado 19-78098-00027 del 25 de febrero de 2022 aportó la consulta realizada a la ADMINISTRADORA DE LOS RECURSOS DEL SISTEMA GENERAL DE SEGURIDAD SOCIAL EN SALUD – ADRES (obrante en el radicado 19-78098-00027, página 2, folio 26), en la cual se visualiza que el denunciante, señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx, falleció el 6 de abril de 2020.
“Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA 9. ¿Quiénes son los empleados y/o personas que estuvieron involucradas en la divulgación de los exámenes médicos allegados al correo electrónico del reclamante? 10. ¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. 11.
Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012”.
TERCERO: Que mediante escrito radicado 19-78098-00008 el día 27 de febrero de 2020, la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., dio respuesta al requerimiento señalado en los siguientes términos: “(…) 1. La Clínica de la Visión del Valle S.A.S., envió desde el correo electrónico diagnostico@clinivisionvalle.com el resultado de Tomografía Óptica Coherente de Mácula Ambos Ojos del Señor xxxxxxxxxxxxxxxxxxxxxxx identificado con c.c. # xxxxxxxxx, al correo xxxxxxxxxxxxxxxxx el día 20/11/2018 a las 09:42 p.m. Lamentablemente y por un error involuntario de la persona encargada, se envió el archivo con todas las lecturas del día. Este inconveniente fue identificado como un Producto No Conforme del área y tomadas las correspondientes acciones correctivas para que no se volviese a presentar.
Actualmente, si un paciente requiere el envío de su resultado a través del correo electrónico, previa autorización y explicación por parte la Auxiliar Administrativa se diligencia formato F-AD005 Listado de Exámenes Reportados pendientes por entregar: Imagen 1. Tomada del radicado 19-78098-00008, página 1, folio1. Una vez el profesional efectúa lectura de los exámenes realizados en el día, estos son transcritos, se hace envío de manera individual y protegida a cada paciente a la dirección electrónica proporcionada. 2.
Clínica de la Visión del Valle S.A.S., almacena en sus bases de datos información pública general y de manera personal las condiciones médicas registradas por profesionales de Oftalmología y Optometría en las historias clínicas, notas operatorias y algunos exámenes especiales. 3. En el sistema de información del área reposa formato F-AD005 Listado de Exámenes Reportados Pendientes por Entregar con la siguiente información proporcionada por los usuarios: Imagen 2.
Tomada del radicado 19-78098-00008, página 1, folio 2. 4. En nuestra página web oficial se encuentra claramente registrada la Política de Gestión Integrada y Política de Tratamiento de Datos Personales así: “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA Imagen 3. Tomada del radicado 19-78098-00008, página 1, folio 2. 5.
En nuestra institución se tiene como base el documento G-SI001 Guías de Manejo y Custodia de Historias Clínicas, que establece los mecanismos mediante los cuales los usuarios pueden obtener la información almacenada en las bases de datos (página 21). 6. La Política de tratamiento de Datos Personales se encuentra debidamente identificada en nuestra página web y todo usuario que accede a ella es claramente informado de los derechos que le asisten por virtud de la autorización otorgada. 7.
Todos los colaboradores de la Clínica de la Visión del Valle S.A.S., tienen funciones de tratamiento y protección de datos personales, de conformidad con el Artículo 2.2.2.25.4.4. del Decreto Único Reglamentario 1074 de 2015, pero la persona designada para su seguimiento y control el Coordinador del Área de Sistemas. 8. El Doctor xxxxxxxxxxxxxxxxxxxxxxxxx es Médico Especialista en Oftalmología General vinculado con la Clínica de la Visión del Valle S.A.S., mediante prestación de servicios inicialmente para atención de Consulta Médica Especializada y realización de procedimientos quirúrgicos oftalmológicos desde 09/09/2013 hasta 31/12/2015.
Posteriormente desde el 01/01/2016 a la fecha, solo realiza lecturas de Tomografías Ópticas Coherentes y Angiografías Oculares. 9. El archivo que de manera errada llegó al usuario xxxxxxxxxxxxxxxxxxxxx, lo envió nuestra Auxiliar de Enfermería encargada de transcribir para esa fecha en el área de Diagnóstico. Ella misma dio respuesta excusándose por el error cometido, el día 06/05/2019 a las 4:06 p.m., a un correo del usuario recibido el día 03/05/2019 a las 08:27 donde refería: ‘…Solicité a ustedes el año pasado una tomografía y se me enviaron datos sensibles que no he autorizado de otros pacientes.
Hago la reclamación porque no he autorizado a nadie que estos se envíen a otras personas, ni tampoco estoy interesado en recibir lo de otras personas, la historia clínica de un paciente no puede ser de conocimiento público en general agradecería su respuesta a este derecho de petición’. 10. La Política de Tratamiento de Datos Personales se encuentra debidamente identificada en nuestra página web y de ella se hizo mención en los puntos 4 y 6. 11.
La Clínica de la Visión del Valle S.A.S., tiene dentro de su gestión documental los soportes que respaldan las medidas de seguridad implementadas para salvaguardar la información que se tiene en bases de datos o archivos, según lo dispuesto por la Ley 581 de 2012 (G-SI0001 Guías de Manejo y Custodia de Historias Clínicas y PC-SI001 Manejo Integral de Historias Clínicas). 12.
Las medidas y protocolos de seguridad de la información sensible que se contiene en nuestras bases de datos, relacionada con diagnósticos e historias clínicas de los pacientes que atendemos, se encuentran descritas en los documentos: G-SI0001 Guías de Manejo y Custodia de Historias Clínicas y PC-SI0001 Manejo Integral de Historias Clínicas. 13.
No se han evidenciado incidentes de seguridad relacionados con información personal de las personas relacionadas en el numeral 1 de su escrito. “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA 14. No se ha recibido reclamos o consultas de los pacientes relacionados en el numeral 1 de su escrito, relacionados con el tratamiento de sus datos personales”.
CUARTO: Que, con base en la denuncia y en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la norma en mención, (ii) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, (iii) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(iv) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 63253 del 8 de octubre de 2020, por medio de la cual se formularon CUATRO (4) cargos a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1.
Acorde con la certificación con radicado 19-78098-00016 del 9 de noviembre de 2020 emitida por la Secretaria Ad-Hoc de esta Superintendencia, la mencionada resolución fue notificada el 21 de noviembre de 2020 por aviso No. 28141 a la investigada, por conducto de su representante legal, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada el 9 de octubre de 2020 al denunciante.
QUINTO: Que, la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. se abstuvo de presentar descargos, así como de solicitar y/o aportar pruebas para hacerlas valer en esta actuación administrativa.
SEXTO: Que este Despacho profirió la Resolución No. 9277 del 26 de febrero de 2021, mediante la cual incorporó las pruebas obrantes en el expediente 19-78098 del consecutivos 0 al 16 y se decretó de oficio la siguiente prueba: “Designar un miembro del Grupo de Trabajo de Investigaciones Administrativas encargado de consultar el Registro Nacional de Bases de Datos - RNBD, verificando toda la información registrada por la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con el NIT. 805.017.914-1”.
La Resolución No. 9277 de 2021 fue comunicada a la investigada, a través de su representante legal, el 2 de marzo de 2021 acorde con la certificación con radicado 19-78098-00022 del 17 de marzo de 2021 expedida por la Secretaria Ad-Hoc de esta Superintendencia.
SÉPTIMO: Que de acuerdo con la prueba decretada de oficio mediante la Resolución No. 9277 de 2021, un miembro de del Grupo de Trabajo de Investigaciones Administrativos radicó los hallazgos encontrados en el RNBD a través de la comunicación con radicado 19-78098-00021 del 11 de marzo de 2021.
OCTAVO: Que mediante la comunicación con radicado 19-78098-00024 del 25 de noviembre de 2021 se corrió traslado a la investigada para que presentara alegatos de conclusión; no obstante, no presentó alegatos de conclusión dentro de la oportunidad legal.
NOVENO: Que la investigada, por conducto de su apoderada especial, mediante la comunicación con radicado 19-78098-00027 del 25 de febrero de 2022 presentó un documento con argumentos de defensa; sin embargo, en razón a que no fue radicado dentro del término para la presentación de alegatos de conclusión, no se tuvieron en cuenta los argumentos por este Despacho.
En todo caso, con el objeto de esclarecer los hechos materia de investigación sí se tuvieron en cuenta las pruebas que acompañan el documento.
DÉCIMO: Que este Despacho profirió la Resolución No. 51177 del 1 de agosto de 2022, mediante la cual decidió imponer: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, de VEINTIDÓS MILLONES OCHOCIENTOS DOS MIL CUATROCIENTOS PESOS M/CTE ($ “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA 22.802.400), equivalente a SEISCIENTAS (600) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención”. A su vez, se impartió a la recurrente las siguientes órdenes administrativas: “ARTÍCULO SEGUNDO: ORDENAR a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, que dentro del término de los DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones: La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá adoptar las medidas necesarias, útiles y efectivas para garantizar que en el Tratamiento de la información de los Titulares, en particular los datos de naturaleza sensible, se garanticen los principios de acceso y circulación restringida y de seguridad, de los literales f) y g) del artículo 4 de la Ley 1581 de 2012, de manera que se evite la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de estos datos. La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá incluir en la Política de Tratamiento de Datos Personales el correo electrónico y el número telefónico del Responsable. La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá adoptar un manual interno que contenga las políticas y procedimientos de seguridad para prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales que están sujetos a su Tratamiento, de acuerdo con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015”.
DÉCIMO PRIMERO: Que, de acuerdo con la certificación con radicado 19-78098-00038 del 23 de agosto de 2022 expedida por la Secretaria Ad-Hoc de esta entidad, la Resolución No. 51177 del 1 de agosto de 2022 fue notificada el 10 de agosto de 2022 mediante aviso No. 18469 a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., a través de su representante legal.
DÉCIMO SEGUNDO: Que mediante la comunicación con radicado 19-78098-00039 del 23 de agosto de 2022, a través de apoderada especial, la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. presentó recurso de reposición y en subsidio de apelación a la Resolución No. 51177 del 1 de agosto de 2022, en el cual expuso los siguientes argumentos: 12.1 Respecto de los criterios de graduación de la sanción: “(…) la CLINICA LA VISION DEL VALLE S.A.S. entiende y acepta los preceptos establecidos para llegar a lo ordenado y definido en la Resolución 51177 de 2022; sin embargo acudiendo a lo citado por la Superintendencia de Industria y Comercia en el artículo 24 de la Ley 1581 de 2012 en cuanto a: ‘ la dimensión del daño o peligro…; beneficio económico obtenido por el infractor o tercero…; la reincidencia en la comisión de la infracción…; la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia…; la renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia…; el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción… ’ exponemos lo siguiente: • Con respecto a ‘la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley’: consideramos como CLINICA LA VISION DEL VALLE S.A.S. que no se presentó un daño a los intereses jurídicos de los usuarios o del usuario quejoso ni tampoco hubo ni hay beneficio económico alguno obtenido ni por la Clínica ni por otros, toda vez que más allá de la queja del usuario dicho impase no fue utilizado para fines diferentes que informar al mismo usuario sobre un concepto técnico médico, que a la luz de la interpretación solamente un especialista medico puede entenderlo y explicarlo; es decir otras persona no podría interpretarlo para difamar o suponer una situación médica.
“Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA • En relación a ‘beneficio económico obtenido por el infractor o tercero…’, indicamos de manera expresa y clara que nunca hemos realizado procedimientos mal intencionados para obtener beneficios económicos por datos de nuestros usuarios, ni en este caso tampoco, exponemos nuestra Ética, Principios y Valores de la Medicina en nuestra Política Institucional; a tal punto que ni el usuario quejoso ni otros han señalado ser objeto de coimas u otro tipo de chantajes, tampoco han aparecido empresa alguna pidiendo base de datos; nuestro único objetivo es brindar salud visual para una gran mayoría de usuarios, cumpliendo nuestra misión y visión de la cual estamos orgullosos. • Con respecto a ‘la reincidencia en la comisión de la infracción’; es de anotar que es la primera vez que ha sucedido en la historia de más de 25 años de servicio a la Comunidad Vallecaucana un desatinado error para con un usuario; y por supuesto, estamos desde ya gestionando el cierre de las brechas para que nunca suceda algo parecido; así como lo solicitado en la Resolución de su Despacho respecto al cumplimiento de tareas según la normatividad • En cuanto a ‘la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia…’, como bien lo ha señalado en la misma Resolución No. 51177 de 2022, Nuestra Institución facilitó y ha facilitado a todos los Entes vigilantes y Reguladores para que acceden a todos los procesos, procedimientos, documentos y otros para que cumplan sus acciones de vigilancia y control, toda vez que ello nos permite el crecimiento y mejoramiento continuo a beneficio de los usuarios; así como tampoco hemos negado u obstruido a ninguna Institución fiscal para visitar, indagar, revisar y analizar todas las áreas y procesos de LA CLINICA DE LA VISION DEL VALLE S.A.S. • Con relación al ítem ‘la renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia, desde ya informamos la aceptación de la Resolución 51177 de 2022, sobre todo al articulo (sic) SEGUNDO del Resuelve de la misma Resolución, toda vez que más allá de ser una sanción se convierte en un documento de auditoria para el mejoramiento continuo de la Calidad y Seguridad de la atención del Usuario • Por último, en cuanto a ‘el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción…’, ratificamos la aceptación integral de la Resolución 51177 de 2022 para beneficio de nuestros usuarios y solicitamos el acompañamiento periódico de su Superintendencia o delegados a fin de mantener nuestro compromiso de Seguridad y Calidad en la atención, más allá de cumplir con lo básico fundamental de las normas”. 12.2 La sanción impuesta debe disminuirse en consideración a: “Ahora bien, en el desarrollo de la Resolución 51177 de 2022 compartimos el contexto que la sanción deba resultar disuasoria más no confiscatoria, por tanto se tendrá en cuenta para la sanción el tamaño de la empresa, sus ingresos operacionales, patrimonio y todo la información financiera; por ello acudimos a usted para informarle que: Nuestra Institución de Salud como una gran mayoría de las Instituciones Prestadoras de Salud nos vimos gravemente afectados por la devastadora situación de COVID, lo cual afectó notoriamente nuestros ingresos y en general los estados Financieros de la Empresa durante el año 2020 y 2021; siendo hacia el mes de abril de 2022 donde hemos iniciado el mejoramiento y recuperación financiera antes anotada.
Si bien aceptamos que merecemos afrontar con una sanción por los errores y brechas identificadas en la Investigación; acudimos a Ustedes para que esta sanción no resulte excesiva en rigidez frente a todo lo argumentado por nosotros y no afecte aún más los estados financieros actuales”. 12.3 Predica la caducidad de la facultad sancionatoria del artículo 52 de la Ley 1437 de 2011, en consideración a que: “(…) el hecho ocurrido se encuentra radicado en la Superintendencia de Industria y Comercio con el Nro. 19-78098-00000 de 2 de abril de 2019, y la Resolución por la cual se impone una sanción se expidió el 1 de agosto de 2022 bajo el numero (sic) 51177, a lo que en tiempo ya han trascurrido 3 años y 4 meses de haberse ocurrido el hecho, y dicho acto fue notificado por aviso nro. 18469 el día 9 de agosto de 2022”.
DÉCIMO TERCERO: Competencia de la Superintendencia de Industria y Comercio “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO CUARTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 14.1 El recurso fue interpuesto por la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. dentro del término legal, ya que fue radicado dentro del plazo otorgado en el Artículo Tercero de la parte resolutiva de la Resolución No. 51177 de 2022 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 14.1.1 La recurrente fue notificada por aviso No. 18469 de la Resolución No. 51177 de 2022, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la agosto de 2022. 14.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 23 de agosto de 2022, a través de la comunicación con radicado 19-78098-00039, encontrándose presentado dentro del término legal. 14.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución No. 51177 de 2022, los cuales fueron relacionados en el numeral considerativo décimo primero de esta resolución. 14.3 Respecto de los documentos aportados como pruebas por la recurrente.
Mediante el correo electrónico con radicado 19-78098-00039 del 23 de agosto de 2022, la recurrente allegó el escrito de recurso de reposición y en subsidio de apelación junto con poder especial otorgado por la representante legal, sin anexar pruebas. 14.4 Sobre la indicación del nombre y dirección de la recurrente, y correo electrónico si desea ser notificada por este medio.
Al respecto, la recurrente en el recurso de reposición y en subsidio de apelación no indica la dirección física y el correo electrónico electrónico para ser notificada; no obstante, dicha información reposa dentro de la actuación administrativa.
DÉCIMO QUINTO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en tres aspectos, a saber: (i) principio de proporcionalidad y criterios de graduación de la sanción, (ii) caducidad de la facultad sancionatoria y; (iii) de las pretensiones. 15.1 Respecto del principio de proporcionalidad y de los criterios de graduación de la sanción La recurrente indica respecto al artículo 24 de la Ley 1581 de 2012 que: “(…) no se presentó un daño a los intereses jurídicos de los usuarios o del usuario quejoso ni tampoco hubo ni hay beneficio económico alguno obtenido ni por la Clínica ni por otros (…).
(…) indicamos de manera expresa y clara que nunca hemos realizado procedimientos mal intencionados para obtener beneficios económicos por datos de nuestros usuarios, ni en este caso tampoco, exponemos nuestra Ética, Principios y Valores de la Medicina en nuestra Política Institucional (…) “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA (…) respecto a ‘la reincidencia en la comisión de la infracción’; es de anotar que es la primera vez que ha sucedido en la historia de más de 25 años de servicio a la Comunidad Vallecaucana un desatinado error para con un usuario (…) (…) a ‘la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia…’, como bien lo ha señalado en la misma Resolución No. 51177 de 2022, Nuestra Institución facilitó y ha facilitado a todos los Entes vigilantes y Reguladores para que acceden a todos los procesos, procedimientos, documentos y otros para que cumplan sus acciones de vigilancia y control, toda vez que ello nos permite el crecimiento y mejoramiento continuo a beneficio de los usuarios (…) (…) ‘la renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia’, desde ya informamos la aceptación de la Resolución 51177 de 2022, sobre todo al articulo (sic) SEGUNDO del Resuelve de la misma Resolución, toda vez que más allá de ser una sanción se convierte en un documento de auditoria para el mejoramiento continuo de la Calidad y Seguridad de la atención del Usuario (…).
( ) ratificamos la aceptación integral de la Resolución 51177 de 2022 para beneficio de nuestros usuarios y solicitamos el acompañamiento periódico de su Superintendencia (…)”. Además, solicita que se disminuya el monto de la sanción impuesta en consideración a que la pandemia COVID-19 afectó notoriamente sus ingresos y los estados financieros del 2020 y 2021, lográndose una recuperación financiera desde abril de 2022.
Ahora bien, este Despacho aclara a la recurrente que para el cálculo del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23 le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del Tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.
Sobre la anterior norma, la Corte Constitucional en sentencia C-748/11 indicó: “Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].
“Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: ‘El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria’. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.
En segundo lugar, la norma debe cumplir con los principios de proporcionalidad y razonabilidad, frente al cual el proyecto establece una serie de criterios en su artículo 24 para determinar la sanción aplicable, tales como: ‘a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar’[292].
En este sentido, se estima que existen los suficientes criterios para determinar la sanción específicamente imponible, los cuales han sido señalados por el propio proyecto de ley estatutaria”. Al respecto, es pertinente resaltar que la valoración de los criterios del artículo 24 de la Ley 1581 de 2012 no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en el artículo 23 de la mentada norma.
En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
(Se subraya y resalta fuera de texto) Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(Resaltado fuera del texto) Acorde con el anterior pronunciamiento de la Corte Constitucional y con el artículo 24 de la Ley 1581 de 2012, son valorados los criterios de dosificación de la sanción previstos en el artículo 24 en la medida en que efectivamente sean aplicables al caso. Al respecto, claramente, a lo largo de la decisión adoptada por esta Dirección a través de la Resolución No. 51177 de 2022 se demostró la infracción cometida por la recurrente y la dimensión del daño a los intereses jurídicamente tutelados respecto del (i) literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención fue por no acreditar la recurrente que ha adoptado e implementado un Manual Interno de Políticas de Seguridad y;
(ii) literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención fue por no reportar la recurrente en el RNBD el incidente de seguridad causado el 20 de noviembre de 2018, correspondiente al envío de información sensible sobre la salud de 11 Titulares de la información a un tercero no autorizado.
A su vez, en la medida en que dentro de la investigación administrativa no se evidenció que la investigada hubiera (i) obtenido beneficio económico, (ii) presentado reincidencia en la comisión de la conducta, (iii) presentado resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) presentado renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, no hubo lugar a aplicar los criterios de agravación de la sanción previstos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012.
Sobre los criterios de graduación previstos en la norma y acorde con lo señalado en la anterior jurisprudencia, los criterios previstos en lo literales a), b), c), d) y e) en caso de configurarse agravan la sanción, mientras que el contemplado en el literal f) la atenúa. Cabe señalar que el reconocimiento de la infracción por parte de la recurrente para que se hubiese aceptado como atenuante, debió reconocerse dentro de los términos legales para presentar descargos y/o alegatos de conclusión y no después de proferirse el acto administrativo recurrido.
Así, si en el caso estudiado se hubiesen configurado las causales de los literales b), c), d) y e) la sanción impuesta se habría agravado por este Despacho y ello no fue así, en cuanto no se configuraron, así como se hubiese atenuado si la infracción hubiese sido reconocida oportunamente por la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. De acuerdo con lo hasta aquí expuesto, este Despacho aplicó adecuadamente los criterios para graduar la sanción del artículo 24 de la Ley 1581 de 2012, así como lo previsto en la sentencia C748/11 sobre los agravantes y el único atenuante que contempla la norma, al determinar la sanción en la Resolución No. 51177 de 2022.
Así mismo, se estableció que el único criterio de agravación que se configuró dentro de la investigación fue el previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, en la cuantificación de la sanción por el desconocimiento de los deberes previstos en (i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención. Por su parte, sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012 previstas en el artículo 23, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la recurrente frente a la Titular de la información vulneró los deberes previstos en (i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención. Ahora bien, el literal a) del artículo 24 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio puede imponer a título de sanción “[m]ultas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción (…)”, por lo cual para el año 2022 la sanción máxima por violación del régimen general de protección de datos personales ascendía a DOS MIL MILLONES DE PESOS M/CTE ($ 2.000.000.000), teniendo en cuenta que para la vigencia 2022 el salario mínimo mensual legal vigente es de UN MILLÓN DE PESOS M/CTE ($ 1’000.000).
Por su parte, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente”. (Se subraya fuera de texto) De acuerdo con las dos normas anteriores, el monto de la sanción del citado literal a) es hasta 2.000 salarios mínimos mensuales vigentes y su cálculo se determina en unidades de valor tributario – UVT, así el monto de la sanción máxima a imponer es de 2.000 SMML, equivalentes para este 2022 a cincuenta mil cuarenta y cinco (52.626,04) unidades de valor tributario – UVT2.
A partir del tope máximo que puede imponerse de acuerdo con el literal a) del artículo 24 de la Ley 1581 de 2012, la multa impuesta en la Resolución No. 51177 de 2022 de VEINTIDÓS MILLONES OCHOCIENTOS DOS MIL CUATROCIENTOS PESOS M/CTE ($ 22.802.400), equivalente a SEISCIENTAS (600) UNIDADES DE VALOR TRIBUTARIO – UVT, corresponde al 1,14% de la sanción pecuniaria máxima que puede aplicar este Despacho.
En todo caso, es importante que la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. tenga presente que al analizarse el caso y al revisarse el material probatorio, así como los argumentos de hecho y de derecho de la recurrente, no solo se encontró que para el caso es aplicable el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también para determinar el monto de la sanción se tiene en cuenta que no hubo lugar a aplicar otros agravantes o el atenuante previstos en el antedicho artículo, se analizó el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.
Por ello, para determinar el monto de la sanción aplicable en cada actuación administrativa de carácter sancionatorio, esta Dirección respecto de la correspondiente investigada valora los criterios de graduación del artículo 24 de la Ley 1581 de 2012, así como su información financiera. Sobre esto último, téngase en cuenta que la recurrente no aportó dentro de la actuación administrativa su información financiera en momento alguno, a pesar de haber sido solicitado por esta Dirección desde el inicio de esta investigación en el artículo cuarto de la parte resolutiva de la Resolución No. 63253 de 20220, por lo cual este Despacho recurrió a fuentes públicas para 2 La unidad de valor tributario – UVT para la vigencia 2022 es de treinta y ocho mil cuatro pesos ($ 38.004).
“Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA conocer su información financiera y así dosificar el monto de la sanción. A su turno, si bien en el recurso la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. señala que fue afectada financieramente por la pandemia COVID-19 y se ha empezado a recuperar en abril del año en curso, sus afirmaciones no las soportó con pruebas financieras y contables de la compañía; no obstante, de acuerdo con las consultas efectuadas por este Despacho en fuentes públicas sobre la información financiera de la recurrente, no hay lugar a disminuir el monto de la sanción impuesta.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros3. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
De acuerdo con lo expuesto en este numeral, se confirma el monto de la sanción impuesta en el acto administrativo recurrido. 15.2 Respecto de la caducidad de la facultad sancionatoria La recurrente expresa que: “(…) el hecho ocurrido se encuentra radicado en la Superintendencia de Industria y Comercio con el Nro. 19-78098-00000 de 2 de abril de 2019, y la Resolución por la cual se impone una sanción se expidió el 1 de agosto de 2022 bajo el numero (sic) 51177, a lo que en tiempo ya han trascurrido 3 años y 4 meses de haberse ocurrido el hecho, y dicho acto fue notificado por aviso nro. 18469 el día 9 de agosto de 2022”.
Respecto de la caducidad de la facultad sancionatoria, el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo establece: “Artículo 52. Caducidad de la facultad sancionatoria. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. (…)”. La anterior norma distingue el procedimiento administrativo sancionatorio en una primera fase que va desde el inicio de la actuación administrativa hasta la notificación del acto que impone la sanción, y debe cumplirse en un periodo de tres (3) años contados a partir de la consumación de 3 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA la infracción, salvo que se trate de una conducta continuada, caso en el cual el término se encuentra desde el día siguiente a su cesación; y la segunda, referida a los términos que tiene la Administración para resolver los recursos contra los actos que imponen sanciones.
Al respecto, es necesario hacer hincapié en que la caducidad de la facultad sancionatoria no se empieza a contabilizar desde que esta Superintendencia tiene conocimiento de los hechos por la denuncia presentada, sino desde que se comete la infracción y en caso de ser continuada la infracción, desde que cese el incumplimiento. En este orden de ideas, es claro que no ha operado la facultad sancionatoria respecto de ninguno de los cargos por los que se sancionó a la recurrente mediante la Resolución No. 51177 de 2022, por cuanto: (i) Respecto del desconocimiento del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención, la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. no demostró que ha adoptado un Manual Interno de Políticas de Seguridad, por lo cual la infracción no ha cesado y en consecuencia no ha iniciado la contabilización del término de caducidad de la facultad sancionatoria de esta entidad.
(ii) Respecto de la vulneración del deber contemplado en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención, no acreditó que ha reportado en el RNBD el incidente de seguridad causado el 20 de noviembre de 2018, correspondiente al envío de información sensible sobre la salud de 11 Titulares de la información a un tercero no autorizado, por lo que la infracción no ha cesado y en consecuencia no ha iniciado la contabilización del término de caducidad de la facultad sancionatoria de esta entidad. 15.3 Respecto de las pretensiones La recurrente expone las razones de inconformidad respecto de la Resolución No. 51177 de 2022, solicitando que se disminuya el monto de la sanción, así como se aplique la caducidad de la facultad sancionatoria.
Al respecto, al haberse confirmado la conducta negligente de la recurrente en el cumplimiento de los deberes contemplados en (i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y; (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención, así como que se aplicaron adecuadamente los criterios de graduación de la sanción previstos en el artículo 24 de la Ley 1581 de 2012 y que no ha operado el fenómeno de la caducidad sancionatoria, este Despacho confirmará en todas sus partes dicha resolución. En cuanto no se concedieron las pretensiones de la recurrente, deben trasladarse las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales, a fin que se resuelva el recurso de apelación.
DÉCIMO SEXTO: Conclusiones 16.1 La dimensión del daño a los intereses jurídicamente tutelados se predica respecto de (i) no acreditar la recurrente que ha adoptado e implementado un Manual Interno de Políticas de Seguridad y; (ii) por no reportar la recurrente en el RNBD el incidente de seguridad causado el 20 de noviembre de 2018, correspondiente al envío de información sensible sobre la salud de 11 Titulares de la información a un tercero no autorizado. 16.2 Los criterios de graduación de la sanción previstos en los literales a), b), c), d) y e) en caso de configurarse agravan la sanción, mientras que el contemplado en el literal f) la atenúan.
Así, si en el caso estudiado se hubiesen configurado las causales de los literales b), c), d) y e) la sanción impuesta se habría agravado por este Despacho. 16.3 La recurrente no reconoció ni en el término legal previsto para la presentación de descargos ni para elevar alegatos de conclusión que infringió los deberes previstos en (i) el literal k) del “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención, no habiendo óbice para atenuar la sanción cuando reconoce la infracción dentro del escrito del recurso interpuesto. 16.4 En esta investigación no solo era aplicable para la tasación de la sanción el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también se tuvo en cuenta que no hubo lugar a aplicar otros agravantes o el atenuante previstos en el antedicho artículo, se analizó el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria. 16.5 La caducidad de la facultad sancionatoria no se empieza a contabilizar desde que esta Superintendencia tiene conocimiento de los hechos por la denuncia presentada, sino desde que se comete la infracción y en caso de ser continuada la infracción, desde que cese su incumplimiento 16.6 En este orden de ideas, respecto de ninguno de los cargos por los que se sancionó a la recurrente mediante la Resolución No. 51177 de 2022 ha operado la caducidad de la facultad sancionatoria de esta entidad, por cuanto las infracciones al régimen general de protección de datos no han cesado y en consecuencia, el término de caducidad no ha empezado a contabilizarse. 16.7 Las órdenes administrativas impartidas en la Resolución No. 51177 de 2022 se confirman en su integridad.
DÉCIMO SÉPTIMO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su representante legal vinculado al correo electrónico de notificación judicial de la sociedad, financiero2@clinivisionvalle.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 51177 de 01 Agosto 2022, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, a través de su representante legal, entregándole copia de la misma. “Por la cual se resuelve un recurso de reposición y se concede el de apelación” VERSIÓN PÚBLICA ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 7 No. 31A - 36, Pisos 3 y 3A, en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 07 OCTUBRE 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2022.10.07 15:10:05 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. Identificación: NIT 805.017.914-1 Representante legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Apoderada especial: xxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: Calle 22 Norte # 4N – 23 Ciudad: Cali, Valle del Cauca Correo electrónico: financiero2@clinivisionvalle.com