(31 de marzo de 2025) “Por la cual se resuelve un recurso” Radicación 20-161988 VERSIÓN ÚNICA LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que, la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia Industria y Comercio, mediante Resolución 46822 del 22 de agosto de 2024, impuso una sanción pecuniaria en contra de la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, en los siguientes términos: “ARTÍCULO 1: IMPONER a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, una sanción de TRESCIENTOS SESENTA (360) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUARENTA Y UN MIL SETECIENTOS SESENTA (41.760) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CUATROCIENTOS CINCUENTA Y SIETE MILLONES TRESCIENTOS TRECE MIL SETECIENTOS SESENTA PESOS M/CTE ($457.313.760) por la vulneración a los dispuesto en las siguientes normas: - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: IMPONER a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, el cumplimiento de las siguientes órdenes administrativas: • GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS deberá implementar las herramientas necesarias para obtener la autorización previa, expresa e informada; conservar el consentimiento de cada uno de los titulares de manera individual y; que pueda ser objeto de consulta posterior. • GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS deberá implementar medidas técnicas que demuestren la implementación de la “Por la cual se resuelve un recurso” POLÍTICA CORPORATIVA DE SEGURIDAD DE LA INFORMACIÓN, por lo cual deberá instaurar procedimientos internos mediante los cuales se establezcan acciones para dejar evidencia de cada uno de los controles y monitoreos realizados a los riesgos identificados dentro del tratamiento de datos personales.
Parágrafo Primero: De lo anteriormente ordenado la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS deberá remitir a este Despacho una certificación del representante legal en la que se haga constar que se implementaron las órdenes, dentro del término de cuatro (4) meses con posterioridad a la ejecutoria del presente acto administrativo. junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.
Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con NIT. 800.167.643-5, acreedora de las sanciones previstas en la ley.”
SEGUNDO: Que la Resolución 46822 del 22 de agosto de 2024, se notificó personalmente a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS mediante aviso N.º 18914 del 02 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 20-161988- -37 de la misma fecha.
TERCERO: Que, la sociedad sancionada GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS a través de su apoderado especial, interpuso recurso de reposición y subsidiariamente el de apelación en contra de la Resolución 46822 del 22 de agosto de 2024, mediante correo electrónico del 13 de septiembre de 2024 con radicación 20-161988- -00038 de la misma fecha.
En dicho recurso se expusieron los siguientes argumentos resumidos que fundamental las pretensiones: - Que este Despacho perdió competencia para imponer la sanción de acuerdo con el término de caducidad previsto en el artículo 52 de la Ley 1437 de 2011, al señalar que para el conteo de términos deben tenerse en cuenta dos fechas como hechos generadores de la infracción: la primera, el 05 de junio de 2020, fecha en la que el titular presentó la queja ante la SIC; la segunda, el 09 de septiembre de 2020, momento en el que GASES DE OCCIDENTE S.A. (GDO) tomó las medidas para suspender la publicación de los datos del titular en Google Chrome.
Por lo anterior, al haber sido expedida la Resolución 46822 de 2024 después del 09 de septiembre de 2023, considera el recurrente que se ha expedido de manera extemporánea. - Que la Resolución 46822 fue expedida con falsa motivación toda vez que GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS (GDO) sí obtuvo la autorización previa, expresa e informada del titular por medio del contrato de condiciones uniformes.
Esto debido a que el titular denunciante en su calidad de Usuario en la prestación del servicio público domiciliario asumió los derechos y deberes que había contraído inicialmente el suscriptor del servicio; de manera que, cuando el suscriptor del servicio autorizó en el contrato de adhesión de condiciones uniformes el tratamiento de sus datos personales, también lo hizo el denunciante en su calidad de usuario al no presentar objeción alguna. - Que la Resolución 46822 fue expedida con falsa motivación toda vez que GDO contaba con autorización para notificar la respuesta a la queja e informó la finalidad del tratamiento de datos al titular.
Con base en lo anterior, la recurrente afirma que la denuncia interpuesta por el titular se encontraba relacionada exclusivamente con asuntos relacionados con la “Por la cual se resuelve un recurso” entrega de facturación del servicio y no con controversias frente al tratamiento de sus datos personales. De esta manera, al momento de interponer la denuncia se indicó la dirección para recibir notificaciones, por lo que la recurrente contó en todo momento con la autorización del titular para notificar la respuesta a su petición. - Que este Despacho no demostró la afectación real del derecho de privacidad, en especial, que el Despacho no acreditó que terceros sin autorización accedieran a la información que la recurrente publicó, o que dicha conducta hubiera llevado a la suplantación del denunciante, entre otras afectaciones. - Que la sanción impuesta debió ser la mínima posible, debido a que la ahora sociedad recurrente eliminó oportunamente los datos personales publicados del denunciante, ha implementado medidas tendientes a proteger los datos personales de los suscriptores y usuarios del servicio y no ha incurrido en ninguna de las causales tipificadas como agravantes para tener en cuenta al momento de graduar la sanción. Junto con el mencionado recurso se aportaron los siguientes medios de prueba: - Poder especial otorgado por GDO al apoderado. - Certificado de existencia y representación legal de GDO. - Copia de la cédula de ciudadanía del apoderado. - Copia de tarjeta profesional del apoderado. - Ejemplares del periódico “Diario de occidente”. - Registro de PQR No. 2280 del 1 de agosto de 2019. - Certificación del 12 de septiembre de 2024 expedida por el representante legal de GDO.
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición y el de apelación contra actos administrativos de carácter sancionatorio, se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera: “Artículo 74.
Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…) Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…) Artículo 77. Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por “Por la cual se resuelve un recurso” medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)” 1.
QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto: 5.1. El recurso fue interpuesto oportunamente por parte del apoderado de GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS mediante correo electrónico del 13 de septiembre de 2024 con radicación 20-161988- 00038 de la misma fecha. 5.2.
En dicho escrito, se señalaron con claridad las razones de disentimiento en contra de la Resolución 46822 del 22 de agosto de 2024, las cuales se resumieron en el numeral TERCERO de este escrito. 5.3. Que, junto con dicho escrito, la sociedad recurrente aportó los medios de prueba señalados previamente. 5.4. Finalmente, los datos de identificación de la recurrente y sus direcciones de notificación se encuentran señalados en el correo mediante el cual se remite el recurso, lo cual le permitirá al Despacho cumplir principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión. Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos:
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 21 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley y sus normas complementarias.
SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto: 7.1. Frente a la caducidad de la potestad sancionatoria de la Superintendencia La sociedad recurrente indica que, en el presente asunto operó la caducidad de la potestad sancionatoria de la Superintendencia previsto en el artículo 52 de la Ley 1437 de 2011, por cuanto deben tenerse en cuentas dos fechas: - Primero, el 5 de junio de 2020, fecha en la que el interesado presentó la queja ante la SIC. - Segundo, el 9 de septiembre de 2020, momento en el que GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS tomó las medidas para suspender la publicación de los datos del quejoso en Google Chrome.
Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve un recurso” - Por lo anterior, al haberse expedido la Resolución impugnada con posterioridad al 09 de septiembre de 2023, considera la sociedad recurrente que la potestad sancionatoria de la Superintendencia ha caducado con base en el término de 3 años señalado en el artículo 52 de la Ley 1437 de 2011.
Para resolver lo anterior, este Despacho considera oportuno precisar que en la presente actuación administrativa se demostró la vulneración de las siguientes normas por parte de GASES DE OCCIDENTE S.A. E.S.P. E.S.P.: • Cargo primero: El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; toda vez que realizó el tratamiento sobre los datos personales privados y semiprivados de un Usuario, sin que pudiera demostrar que contaba y conservaba la autorización previa, expresa e informada del titular.
Frente a este cargo, se ordenó la imposición de una sanción. - Cargo segundo: El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; debido a que no demostró que conservaba prueba que constatara el cumplimiento del deber de informar al titular de la finalidad del tratamiento.
Frente a este cargo se ordenó la imposición de una sanción. - Cargo tercero: El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015; teniendo en cuenta que los datos personales privados y semiprivados de un titular se publicaran en una página web de acceso público, incumpliendo así el principio de seguridad en el tratamiento de la información. Frente a este cargo, no se impuso una sanción administrativa.
Así mismo, vale precisar que la conducta que fue objeto de investigación y con base en la cual se formularon los 3 cargos mencionados consistía en que GASES DE OCCIDENTE S.A. E.S.P. realizó el tratamiento de los datos personales del titular (según la captura de pantalla del 5 de junio de 2020 remitida por el denunciante), al haber expuesto públicamente su número telefónico, correo electrónico y dirección que estaban mencionados en una PQR que interpuso ante la sociedad y que podían luego visualizarse a través del buscador Google, sin contar presuntamente con su autorización previa, expresa e informada, ni haberle informado la finalidad para la cual se iba a realizar el tratamiento de sus datos personales.
Precisado lo anterior, es posible establecer que la potestad sancionatoria de esta Superintendencia no caducó al momento de imponer la sanción prevista en la Resolución 46822 de 2024, por al menos, las siguientes razones: En primer lugar, es preciso recordar lo dispuesto en el artículo 52 de la Ley 1437 de 2011, la cual dispone que: “ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y “Por la cual se resuelve un recurso” notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. La sanción decretada por acto administrativo prescribirá al cabo de cinco (5) años contados a partir de la fecha de la ejecutoria”(subrayado fuera del texto). Con base en lo anterior, se observa que las infracciones administrativas pueden ser de carácter instantáneo, permanentes o continuadas, frente a las cuales el cómputo del término de caducidad puede variar, tal y como lo ha expuesto el H. Consejo de Estado en los siguientes términos2: “(…) "En relación con el primer extremo, el artículo 38 del Decreto 01 de 1984, aplicable a la actuación objeto de estudio, establece que la caducidad se configura al cabo de tres (3) años de haberse producido el acto que pueda ocasionar la sanción, esto es la ejecución de la conducta contraria al ordenamiento superior y que constituya falta sancionable de acuerdo con el principio de legalidad.
Lo anterior no representa mayor dificultad en el evento de investigarse una única conducta de ejecución instantánea, esto, aquella que se consuma en el momento mismo de su realización, como tampoco en aquellos casos en que se trate de una conducta permanente o continuada, en relación con la cual el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción "comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que, en los demás casos, dicho plazo se contabilizará en la forma establecida por el articulo 38 del CCA, esto es, desde que el hecho se produce". En relación con la conducta reiterada, consistente en la incursión en varias actuaciones homogéneas, esto es, la repetición de un mismo comportamiento contrario a la norma, la caducidad opera en forma independiente y autónoma en relación con cada una de las conductas y la contabilización del término debe realizarse a partir del momento en que cada hecho se produce, sin que sea dable entender la reiteración como un hecho único que permita tomar como extremo inicial el último de los actos que dan lugar al adelantamiento del procedimiento sancionatorio" (Resaltado fuera del texto) De acuerdo por lo señalado por el H. Consejo de Estado, una conducta contraria a la Ley puede catalogarse como continuada si no se consuma al momento de su realización. En este caso, no le asiste razón a la sociedad recurrente cuando afirma que para el conteo de términos deben tenerse en el 05 de junio de 2020 (fecha en la que el titular presentó la queja ante la SIC) y el 09 de septiembre de 2020 (fecha en que GASES DE OCCIDENTE S.A. - GDO tomó las medidas para suspender la publicación de los datos del titular en Google Chrome), pues los efectos de dicha infracción no cesaban con la mera eliminación de la publicación visible a través del buscador de Google.
Como se indicó líneas atrás, los cargos por los cuales se impuso una sanción administrativa corresponden a los deberes de (i) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización Consejo de Estado. Sección Quinta. Sentencia del 08 de febrero de 2018. Exp. 25000232400020080004502. M.P. Rocío Araujo Oñate.
“Por la cual se resuelve un recurso” otorgada por el Titular e; (ii) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. De esta manera, se debe precisar que la infracción en estas dos conductas cesa, en el momento en el que se recolecte la respectiva autorización del tratamiento en cumplimiento de todos los requisitos legales y cuando se informe en debida forma las finalidades del tratamiento.
Si no se realizan las acciones mencionadas, se deberá suprimir los datos de todas las bases de datos los datos del titular. De esta manera, es claro que no solo con la supresión de los datos del titular en el buscador de Google, se entiende que cesaron los efectos del incumplimiento a las normas endilgadas, pues la sociedad no allegó la autorización ni demostró informar en debida forma las finalidades del tratamiento al quejoso, como tampoco demostró la fecha de la supresión de los datos del titular de sus propias bases de datos.
En consecuencia, el tratamiento indebido de los datos personales del titular por parte de GASES DE OCCIDENTE S.A. no cesó al demostrar que ya no se visualizaban en el motor de búsqueda de Google, sino que continuadamente hasta la fecha en que se siguen tratando dichos datos personales sin autorización y sin finalidad, debido a que GASES DE OCCIDENTE S.A. no demostró que dicha información se haya eliminado, no solo del portal de PQR´s de su página web sino de sus bases de datos.
Por lo tanto, no es procedente tener en cuenta las fechas mencionadas por la recurrente en su recurso para contabilizar el término de caducidad previsto en el artículo 52 de la Ley 1437, por lo cual se desestimará. 7.2. Frente a la falsa motivación de la Resolución impugnada La sociedad recurrente indica que la Resolución 46822 fue expedida con falsa motivación al tener en cuenta los siguientes aspectos: - Que GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS (GDO) sí obtuvo la autorización previa, expresa e informada del titular a través del contrato de condiciones uniformes.
Esto, debido a que el titular denunciante en su calidad de Usuario en la prestación del servicio público domiciliario asumió los derechos y deberes que había contraído inicialmente el suscriptor del servicio; de manera que, cuando el suscriptor del servicio autorizó en el contrato de adhesión de condiciones uniformes el tratamiento de sus datos personales, también lo hizo el denunciante en su calidad de usuario al no presentar objeción alguna. - Que la Resolución 46822 fue expedida con falsa motivación toda vez que GDO contaba con autorización para notificar la respuesta a la queja e informó la finalidad del tratamiento de datos al titular.
Con base en lo anterior, la recurrente afirma que la denuncia interpuesta por el titular se encontraba relacionada exclusivamente con asuntos relacionados con la entrega de facturación del servicio y no con controversias frente al tratamiento de sus datos personales. De esta manera, al momento de interponer la denuncia se indicó la dirección para recibir notificaciones, por lo que la recurrente contó en todo momento con la autorización del titular para notificar la respuesta a su petición. Al respecto, este Despacho debe mencionar que dichos argumentos ya fueron resueltos en la Resolución impugnada en donde se señaló con precisión por qué GASES DE OCCIDENTE S.A. realizó el tratamiento de los datos personales del titular sin autorización y sin informar la finalidad del tratamiento en este sentido: “Por la cual se resuelve un recurso” - Tratamiento sin conservar copia de la autorización previa: En la Resolución 46822 se precisó que el contrato de condiciones uniformes utilizado para adquirir el servicio público domiciliario de gas natural y la imagen de la autorización que se solicita mediante la página web que, según la investigada, debió aceptar el quejoso cuando presentó las peticiones quejas y reclamos desde el 16 de agosto de 2019, no son documentos que logren demostrar con suficiencia el consentimiento previo, expreso e informado del titular, toda vez que el contrato no fue suscrito por el titular y la investigada no puedo demostrar que el titular haya aceptado la autorización dispuesta en la página web de la sociedad GASES DE OCCIDENTE S.A. E.S.P..
De otra parte, y respecto al formato dispuesto por la sociedad GASES DE OCCIDENTE S.A. E.S.P., en su página web, se debe precisar que al utilizarse herramientas o procesos tecnológicos, es imprescindible que el Responsable pueda establecer que la persona que autoriza el tratamiento es realmente quien dice ser, y por ende deberá implementar mecanismos que permitan por lo menos hacer una verificación de identidad del titular, además, demostrar que si se obtuvo una autorización directa que no deje manto de duda de la voluntad.
De esta manera, este Despacho encontró que la sociedad GASES DE OCCIDENTE S.A. E.S.P., no conservó en las condiciones previstas en la Ley 1581 de 2012 una copia de la respectiva autorización otorgada por el Titular para el tratamiento específico que fue objeto de denuncia. - Tratamiento sin informar debidamente la finalidad Sobre este punto, es importante mencionar que en la actuación no fue objeto de discusión si el titular autorizó o no recibir respuesta a su PQR en una dirección determinada, pues como se señaló en puntos anteriores, el indebido tratamiento que fue objeto de investigación se encontraba relacionado también con que no existía prueba de que la investigada hubiera informado al titular que las finalidades para las cuales iba tratar los datos personales del titular.
Es claro entonces también esta instancia que, de acuerdo con la Ley 1581 de 2012, los Responsables del Tratamiento deberán informar de manera clara y expresa las finalidades del tratamiento, los derechos de los titulares, la identificación del responsable y deberá conservar prueba del cumplimiento de este deber, y en el caso particular dicha prueba no fue aportada por la investigada durante la actuación. Así las cosas, el Responsable del tratamiento debe demostrar idóneamente que obtuvo la autorización previa, expresa e informada del titular y que además le informó las finalidades para las cuales se iba a realizar el tratamiento de sus datos personales, y con la interposición del presente recurso, tampoco se logran desvirtuar los cargos demostrados en la Resolución impugnada. 7.3.
Frente a la ausencia de demostración de una afectación a la privacidad del titular La sociedad recurrente indica además que este Despacho no demostró la afectación real del derecho de privacidad, en especial, que el Despacho no acreditó que terceros sin autorización accedieran a la información que la recurrente publicó, o que dicha conducta hubiera llevado a la suplantación del denunciante, entre otras afectaciones.
Al respecto, vale recordar que en el artículo UNDÉCIMO de la parte considerativa de la Resolución impugnada se explicaron cuáles fueron los criterios de graduación de la sanción. “Por la cual se resuelve un recurso” De esta manera, frente a la dimensión del peligro a los intereses tutelados por la Ley 1581 (que es el primer criterio para graduar sanciones conforme a lo dispuesto en el literal a del artículo 24 de la norma ibídem), se expuso que las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones del régimen de protección de datos personales.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.3 La imposición de sanciones por violación al régimen de protección de datos personales tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991 y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o intrascendente.
La transgresión flagrante a los derechos humanos y fundamentales de un ciudadano debe ser controlado a través del derecho administrativo sancionatorio y su procedimiento que fue adelantado durante toda la actuación que ahora se cuestiona. En consecuencia, no era necesario que en el presente asunto se indagara sobre una afectación aún más gravosa para el titular de la información como lo hubiera sido la suplantación de su identidad como resultado de la exposición de sus datos personales en Google, sino que la mera infracción de los Responsables del tratamiento a los deberes contemplados en la Ley 1581 de 2012, le permiten a esta Superintendencia impartir las sanciones correspondientes como autoridad nacional de protección de datos personales.
En consecuencia, la sanción impuesta se gradúo atendiendo estrictamente los criterios definidos en el artículo 24 de la Ley 1581 de 2012. 7.4. Frente la sanción impuesta no fue la mínima posible Finalmente, la recurrente afirma que la sanción impuesta debió ser la mínima posible, debido a que la ahora sociedad recurrente eliminó oportunamente los datos personales publicados del denunciante, ha implementado medidas tendientes a proteger los datos personales de los suscriptores y usuarios del servicio y no ha incurrido en ninguna de las causales tipificadas como agravantes para tener en cuenta al momento de graduar la sanción. Tal y como se expuso en el acápite anterior, la sanción impuesta en la resolución impugnada fue debidamente graduada con base en los criterios establecidos en el artículo 24 de la ley 1581 del año 2012, por lo cual, se tuvieron en cuenta los ingresos reportados por la investigada en los últimos tres (3) años a la imposición de la sanción, tanto los reportados en el escrito de descargos como la información económica de la sociedad reportada en el Registro Único Empresarial (RUES), lo cual permitió afirmar razonablemente a este Despacho que la sanción impuesta atendió a los criterios de razonabilidad y proporcionalidad definidos por la Corte Constitucional desde la sentencia C-022 de 1996 en posteriores decisiones.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
“Por la cual se resuelve un recurso” Por otra parte, este Despacho no pasa por alto las medidas que ha adoptado la recurrente para mejorar en especial las condiciones de seguridad del tratamiento de los datos personales, tal y como se expuso en la Resolución impugnada al momento de estudiar el tercer cargo formulado; sin embargo, dichas medidas no están contempladas como atenuantes de la sanción, sino como meros deberes de obligatorio cumplimiento que las sociedades vigiladas deben cumplir en todo momento, independientemente de si se encuentran inmersas en procedimientos administrativos sancionatorios o no. Por lo tanto, se logra concluir que ninguno de los argumentos expuestos por la sociedad recurrente logra desvirtuar los cargos formulados, por lo cual no es procedente reponer la sanción conforme a las pretensiones del recurso.
OCTAVO: Conclusiones 8.1 Se demostró que la sociedad GASES DE OCCIDENTE S.A. E.S.P. E.S.P. vulneró en el presente asunto las siguientes normas en su calidad de Responsable del tratamiento que no lograron ser desvirtuadas con base en los argumentos expuestos en el recurso: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; toda vez que realizó el tratamiento sobre los datos personales privados y semiprivados de un Usuario, sin que pudiera demostrar que contaba y conservaba la autorización previa, expresa e informada del titular. - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; debido a que no demostró que conservaba prueba que constatara el cumplimiento del deber de informar al titular de las finalidades del tratamiento. 8.2 En la actuación NO se encontró demostrado que la sociedad GASES DE OCCIDENTE S.A. E.S.P. E.S.P. fuera reincidente de la infracción, que hubiera obtenido provecho económico con la comisión de la infracción, o que hubiera obstruido la investigación o desacatara los requerimientos de la Superintendencia, lo cual sí se tuvo en cuenta para no imponer una sanción aún más gravosa conforme a los criterios definidos en el artículo 24 de la ley 1581 de 2012 para graduar la sanción. 8.3 Durante toda la actuación procesal se garantizó el principio de buena fe y los demás establecidos en el artículo 3º de la Ley 1437 de 2011 y el artículo 209 de la Constitución Política referentes a la función administrativa, por lo cual se observa en sede de reposición la garantía del principio de legalidad en el proceso. 8.4 Con fundamento en ello, la sanción impuesta no obedeció a un ejercicio arbitrario o contrario a derecho; por el contrario, la proporcionalidad y razonabilidad se encuentran debidamente justificadas en la decisión recurrida atendiendo de manera estricta los criterios establecidos en el artículo 23 y 24 de la Ley 1581 de 2012 y atendiendo los criterios jurisprudenciales que han desarrollado dichos principios. 8.5 Las sanciones que impone esta Superintendencia, en virtud del artículo 23 de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones del régimen de protección de datos personales.
Esta consecuencia negativa tiene como finalidad principal proteger el derecho fundamental de habeas data de los ciudadanos. “Por la cual se resuelve un recurso” 8.6 Finalmente, debido a que no se accedió a las pretensiones del recurso interpuesto, se concederá el recurso de apelación interpuesto subsidiariamente por la entidad investigada por estar debidamente sustentado; en consecuencia, se trasladarán las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
NOVENO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 804 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo por lo que se confirmará la decisión DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad GASES DE OCCIDENTE S.A. E.S.P. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, con el correo electrónico de notificación judicial info@gdo.com.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-161988. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: CONFIRMAR en todas sus partes la Resolución 46822 del 22 de agosto de 2024 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad recurrente, toda vez que en sede de reposición se concedieron las pretensiones de la recurrente.
ARTÍCULO 3: NOTIFICAR a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5 a través de su representante legal y/o su apoderado, entregándole copia de la misma y advirtiéndole que contra la presente decisión no procede recurso alguno.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:
ARTÍCULO
80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso” - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 N° 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C, 31 de marzo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.03.31 16:44:58 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: AC Aprobó: CG NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS Nit. 800.167.643-5 JUAN MARTÍN CASTRO DIEZ C.C. 1.130.587.172 info@gdo.com.co Calle 38 Norte No. 6-35 BG 2 P 3 y 4 Cali, Valle del Cauca Apoderado: Identificación: Correo electrónico: JUAN NICOLÁS LAVERDE GARZÓN C.C. 80.088.300 jlaverde@bu.com.co