Decisión 34643 de 2022 — SIC

(Agosto 17 de 2022) Radicación 18-157732 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 67661 de 20 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CORREDOR EMPRESARIAL S.A., identificada con el Nit. 900.243.000-8, de CIENTO CUARENTA Y CINCO MILLONES DOSCIENTOS TREINTA Y DOS MIL PESOS ($145.232.000) M/CTE, correspondiente a (4.000) unidades de valor tributaria- UVT, por la violación a lo dispuesto en: - El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015; - El literal c) del artículo 17 en concordancia con el literal b) del artículo 4 así como los artículos 6 y 12 de la Ley 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.”

SEGUNDO. Que mediante escrito radicado bajo el No. 18-157732-53 de 12 de noviembre de 20211, la sociedad CORREDOR EMPRESARIAL S.A. presentó recurso de reposición y en subsidio de apelación en contra de la Resolución No. 67661 de 20 de octubre de 2021.

TERCERO. Que mediante la Resolución No. 7070 de 22 de febrero de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 67661 de 20 de octubre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 67661 de 20 de octubre de 2021, con base en los siguientes argumentos: “( ) De la variación del cargo primero. En el presente caso, encontramos que, en primer lugar, frente al cargo primero, esta dirección ha realizado una variación de este sin advertir el absoluto a la investigada, esto por cuanto en el pliego de cargos se señaló lo siguiente: 1 De acuerdo con el certificado suscrito por el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicado bajo el número 18-157732-50 de 3 de noviembre de 2021, la Resolución No. 67661 de 20 de octubre de 2021 fue notificada por aviso a Corredor Empresarial S.A. el 29 de octubre de 2021, con lo cual el término para presentar los recursos vencía el 16 de noviembre de 2021.

HOJA Nº En este caso, es diáfano que la imputación concreta se erige sobre la falta de respuesta a un requerimiento realizado durante la visita, ni cuenta con los formatos de autorización [sic] para el tratamiento [sic] de datos [sic] personales. Pese a lo anterior, al momento de proferirse el acto sancionatorio, encontramos que la conducta imputada varió al señalarse como presunta infracción la siguiente: ( ) este cargo fue variado abruptamente tanto en sus aspectos fácticos como en sus aspectos jurídicos, pues como se puede ver, en el acto sancionatorio, se reprime a mi cliente por no contar con la autorización de los titulares de los datos, cuando lo que se le imputó fue no tener los formatos de autorización [sic] para el tratamiento [sic] de datos [sic].

( ) en el pliego de cargos se imputa a mi cliente la violación de los artículos 4 literal c); 9; y 17 literal b), de la Ley 1581 de 2012, y del inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Mientras que en el acto administrativo sancionatorio se le atribuye la violación de los artículos 4 literal c) 5, 6, 9 y 17 literal b) de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015.

Es decir, que en el presente caso se le sancionó a mi cliente por la violación de un total cuatro artículos que no estaban incluidos en el pliego de cargos, lo cual sin lugar a dudas es una violación directa no solo del debido proceso ( ) mi cliente no pudo durante el proceso conocer la variación que se le había hecho a su imputación, y, por lo tanto, no pudo defenderse de la misma.

De la indebida valoración probatoria. ( ) Del falso raciocinio frente a las pruebas allegas para demostrar la ausencia de responsabilidad de mi mandante frente a cargo primero. ( ) Del falso raciocinio frente a las pruebas allegas para demostrar la ausencia de responsabilidad de mi mandante frente a cargo primero. ( ) Del falso juicio de existencia y falso raciocinio frente a las pruebas allegas para demostrar la ausencia de responsabilidad de mi mandante frente a cargo segundo. En este caso, este error de hecho se presenta en la modalidad de falso juicio de existencia por omisión, esto, por cuanto, a pesar de haberse allegado de manera oportuna al proceso las pruebas que daban cuenta de que CORREDOR EMPRESARIAL realizó las gestiones necesarias para informar a los titulares [sic] de la información de la recolección de datos [sic] que se realiza a través del sistema de video grabación para el tratamiento adecuado de los datos [sic] personales de los visitantes, el despacho decidió sancionar a mi cliente.

Sobre este punto es preciso señalar que, el despacho omitió valor el documento denominado: “Orden de pedido y/o servicio” el cual da cuenta de que desde el 8 de abril de 2019, es decir, con anterioridad a la visita administrativa la sociedad había enviado a elaborar los documentos necesarios para informar a los titulares [sic] de datos [sic] personas acerca de la existencia de un sistema de video vigilancia, los datos [sic] que se obtendrían a través de el y el tratamiento [sic] que se daría a dichos datos [sic].

HOJA Nº Igualmente, omitió valorar la factura 1296 expedida por OSMOSIS PUBLICIDAD Y MÁRKETING EU., empresa a la que mi representada, le compró los citados avisos. Esto evidencia que aún antes de la visita administrativa la sociedad que represento había adoptado medidas para informar adecuadamente a los visitantes sobre la existencia del sistema de video grabación y la forma en la que se tratarían sus datos.

En este sentido, es claro que estas pruebas tienen elementos suficientemente contundentes para demostrar que, contrario a lo que concluyó por parte de este despacho, mi cliente NO ha actuado con negligencia, sino que su actuar ha sido diligente, de cara a las exigencias que demanda la norma presuntamente infringida. Otro punto bastante llamativo, es el hecho de que en su valoración probatoria el despacho manifiesta lo siguiente: Y termina concluyendo que: HOJA Nº Este punto demuestra claramente el despacho incurrió en error de hecho que se le imputa en el presente memorial, esto en la medida en que, basta mirar el expediente, en concreto en el consecutivo número 30 para desvirtuar por completo lo afirmado por el despacho.

( ) La inexistencia de las conductas imputadas. ( ) mi representada ha realizado todas las gestiones necesarias para contar con la autorización [sic] de los datos [sic] de los titulares [sic] de estos. Además, ha tomado las medidas necesarias para corregir cualquier deficiencia que hubiere detectado; cuenta con un comité que le hace evaluación y seguimiento al cumplimiento de la ley.

( ) Además, de lo dicho, se probó que, con anterioridad a la visita administrativa, ya se habían contratado la elaboración de las carteleras, faltando solamente su entrega por parte del proveedor a mi mandante. De ahí, que sea necesario tener dicha situación en cuenta para efector [sic] de advenir a la conclusión del pleno cumplimiento de las disposiciones legales por parte de mi mandante.

De las gestiones posteriores de CORREDOR EMPRESARIAL a la visita administrativa para adoptar las medidas necesarias para mejorar el sistema de tratamiento [sic] de datos [sic] conforme a las recomendaciones dadas por la entidad. ( ) una vez realizada la visita administrativa procedió a implementar un plan de mejoras tendiente a continuar garantizando el tratamiento [sic] adecuado de los datos [sic] personales a través del plan citado.

En este sentido, se implementó un plan de acciones compuesto por un total de diez acciones que garantizan plenamente el adecuado tratamiento [sic] de los datos [sic] personales de los titulares [sic] conforme a [sic] las posibles acciones susceptibles de mejoramiento. ( ) debe destacarse que en la actualidad, una vez recibidos los avisos y el dispositivo para la información sobre el tratamiento [sic] de datos [sic] a los titulares [sic] se colocaron en los lugares en los cuales son perceptibles por estos logrando de esa manera la protección deseada.

( ) la prueba documental aportada por nuestra parte da cuenta de que mi representado, no solo ha adoptado las medidas necesarias para el cumplimiento de la regulación de habeas data, por cual evidencia que la investigada a dado cumplimiento al principio de responsabilidad demostrada, lo cual se demuestra tanto con cada uno de los formatos allegados al expediente como con los otros documentos que dan cuenta de toda la estructura que se ha puesto por parte de mi cliente para efectuar un adecuado tratamiento [sic] de los datos [sic] de los titulares [sic].

La indebida graduación de la multa impuesta y violación del principio de proporcionalidad de las sanciones. ( ) en este punto la Dirección omitió valorar los criterios de graduación de las multas a fin de que sirvieran para efectos de fijar el valor adecuado de la multa impuesta a mi poderdante, teniendo como único criterio de atenuación el reconocimiento de la comisión de las infracciones, situación que dista totalmente de lo ordenado por nuestro ordenamiento, pues como podemos deducir de la lectura de la norma en comento, cuando si mi mandante no obtuvo ningún beneficio económico alguno por la comisión de la infracción; ni ha sido reincidente en la comisión de la infracción; tampoco ofreció resistencia u obstrucción a la acción investigativa de la Superintendencia; y no desacató, sino que por el contrario cumplió las instrucciones que le dio el despacho, así, es claro que estas circunstancias de la misma forma en que sirven para agravar la conducta del infractor deben ser tenidas a la hora de dosificar la sanción, pues, no es lo mismo una conducta en donde el investigado obtuvo un beneficio económico que una, en la que como en el presente caso, no se tuvo.

En este sentido, es de resaltar que, al evidenciarse la correcta aplicación de la sanción implicaría que, se reconociera estos aspectos y, como consecuencia de ello se redujera sustancialmente la multa impuesta. ( ) 1. Está probado que mi poderdante no dañó el bien jurídico tutelado, pues ninguno de los titulares [sic] de información vio que sus datos fueran entregados a terceros o recibieran un tratamiento [sic] distinto del que se encontraba dispuesto en la política de tratamiento de datos [sic] que se encontraba disponible para el conocimiento de los titulares [sic] de los datos [sic].

Sobre esto, es imperioso señalar que, tan cierto es que no hubo daño que, durante todo el proceso no hubo evidencia de que algún titular de información se quejara del inadecuado tratamiento [sic] de datos [sic]. 2. De otra parte, no se encuentra tampoco evidenciada la forma en la que supuestamente se pusieron en peligro los datos [sic] de los titulares [sic].

De hecho, si se miran tanto el pliego de cargos como la resolución impugnada en ninguna parte se atribuye a mi poderdante la responsabilidad por haber colocado en riesgo los datos [sic] de personas concretas, lo cual, a todas luces pone en claro que tal peligro no tuvo ocurrencia. 3. Si en gracia de discusión se aceptara que, la conducta de mi cliente puso en peligro un determinado bien jurídico, entonces, resulta imperioso que se reduzca la multa dado que el peligro solo podría calificarse como bajo, puesto que los datos [sic] fueron custodiados y tratados de forma adecuada, pues no hay prueba alguna que nos conduzca a lo deducir lo contrario.

HOJA Nº ( ) este principio de proporcionalidad resulta claramente vulnerado en razón de que contrario a lo esperado por el ordenamiento jurídico, se ha impuesta una multa que resulta a todas luces innecesaria puesto que, como se probó en el proceso, no solamente mi poderdante al momento de ser realizada la visita en las instalaciones de mi poderdante ya había adoptado las medidas necesarias para proteger los datos [sic] de los titulares [sic] de los mismos como lo demuestran las órdenes de compra y las facturas que no fueron valoradas, sino que además, con posterioridad a la visita como se probó adoptó la totalidad de las medidas necesarias para adoptar mejoras continuas frente a cualquier inconveniente que hubiera frente a las normas presuntamente infringidas ( )”.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 233 de esa misma ley, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”4 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 3 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 4 Corte Constitucional.

Sentencia C-748 de 2011. HOJA Nº En el mismo sentido, y en relación con los principios5 señalados, dicha corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina6 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta 7), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas” 8. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción, por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador de la forma más clara y precisa “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”9. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa. 5 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 6 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 7 Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 8 Corte Constitucional. Sentencia C-406 de 2004. 9 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados.

Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad corresponde a un total de CIENTO CUARENTA Y CINCO MILLONES DOSCIENTOS TREINTA Y DOS MIL PESOS ($145’232.000) M/CTE, correspondiente a (4.000) unidades de valor tributaria- UVT.

La cual representa aproximadamente el 7,99% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. DEL DEBIDO PROCESO Y LA BUENA FE El artículo 83 de la Constitución Política Nacional determina que las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante estas. Asimismo, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo estableció que: “( ) todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.

( )” De otro lado, los artículos 47 a 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo contienen la regulación del procedimiento administrativo sancionatorio. Aquí están las bases generales y luego, las autoridades que ejercen funciones de inspección, vigilancia y control, pueden, por vía reglamentaria establecer los protocolos necesarios para llevar a cabo el procedimiento establecido en la ley.

Se reitera que, este tipo de actuaciones administrativas se encaminan a determinar si es o no necesario expedir órdenes con el fin de tutelar el Derecho de Habeas Data de los Titulares de la información, entre otros, o si hay lugar a la imposición de multas luego de verificar si se han o no incumplido las normas de protección de Datos personales, tal como ocurrió en este caso.

En adición a lo anterior, se reitera que, la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar al quejoso el Derecho Fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza de CORREDOR EMPRESARIAL S.A. Al respecto, este Despacho advierte que, en ningún momento los actos o actuaciones de esta entidad en el curso de este proceso administrativo, han estado en contravía del derecho, como erróneamente lo infiere la recurrente.

Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta Delegatura aplicó y respetó las garantías procesales necesarias, y emitió los actos administrativos a que hubo lugar. Los que, en ninguna circunstancia fueron arbitrarios. Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que las fundamentan.

Igualmente, no es pasible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública. HOJA Nº 3.1. Sobre la supuesta variación del cargo primero El apoderado de la recurrente afirma que la Dirección de Investigación de Protección de Datos Personales realizó una variación entre la formulación de cargos y la imposición de la sanción, pues, considera que, en este último acto administrativo, se multó a la investigada por no contar con la Autorización para el Tratamiento de Datos de los Titulares y no como a su juicio debió haber sido, por no tener los formatos de Autorización. Este Despacho considera necesario aclararle al apoderado de la recurrente que no existe ningún deber legal relacionado con la existencia de formularios de Autorización en blanco y/o sin diligenciar.

Esto no tendría ningún sentido, mucho menos si se evalúa de manera conjunta y sistemática con los demás deberes y requisitos exigidos por la Ley 1581 de 2012. Resulta claro que el primer cargo corresponde al deber de solicitar y conservar, en las condiciones previstas en la ley mencionada, copia de la respectiva autorización otorgada por el Titular.

Frente a este punto en específico, en la resolución recurrida se estableció claramente lo siguiente: “Ahora bien, una vez analizado el documento presentado por la investigada, se puede evidenciar que se trata de un formato de autorización [sic] para el tratamiento [sic] de datos [sic] personales, sin embargo, esto no constituye prueba de la autorización [sic] otorgada por los titulares [sic] cuya información se encontraba almacenada en el software RealAccess a la fecha en la que se llevó a cabo la visita administrativa.

Sea preciso mencionar que en la visita administrativa se pudo determinar que, para llevar a cabo el proceso de registro de los visitantes, entre otros datos, se toma la huella digital de los titulares [sic] antes de su ingreso a las instalaciones de la investigada. En consecuencia, la sociedad investigada almacena datos [sic] personales de carácter sensible en sus bases [sic] de datos [sic]”. 3.2.

Sobre las normas que no estaban incluidas en la formulación de cargos El apoderado de la recurrente sostiene que se sancionó a CORREDOR EMPRESARIAL S.A. por la violación de cuatro artículos que no estaban incluidos en el pliego de cargos, lo que constituye una violación al debido proceso y al derecho de defensa, como se muestra a continuación: ! ! Como se puede ver, a simple vista este cargo fue variado abruptamente tanto en sus aspectos fácticos como en sus aspectos jurídicos, pues como se puede ver, 6en el acto RESOLUCIÓN NÚMERO 34643 DE 2020 HOJA sancionatorio, se reprime a mi cliente por no contar con la autorización de los titulares Por la cual se inicia una investigación administrativa y se formulan cargos de los datos, cuando lo que se le imputó fue no tener los formatos de autorización para el tratamiento de datos.

SEXTO: Que el artículo 49 de la Ley 1955 de 20193 señala que el (a) partir del 1º de enero de Por otra escobros, visible cómo en el pliego cargos se imputa a mi cliente la violación 2020,parte, todos los sanciones, multas, tasas,de tarifas y estampillas, actualmente denominados de los literal literal b), de la Ley 1581 de 2012, y del incisoser primero y artículos establecidos4 con basec);en9;ely 17 salario mínimo mensual legal vigente, SMMLV, deberán del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Mientras que calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En en el acto administrativo sancionatorio se le atribuye la violación de los artículos 4 adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT literal c) 5, 6, 9 y 17 literal b) de la Ley 1581 de 2012, así como el inciso primero del vigente. artículo 2.2.2.25.2.2 y los artículos 2.2.2.2 5.2.3 y 2.2.2.2 5.2.4 del Decreto Único Reglamentario 1074 de 2015. con la norma antes señalada, si el valor de los cobros, sanciones De esta manera y de conformidad o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base Es decir, que en el presente caso se le sancionó a mi cliente por la violación de un total en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de cuatro artículos que no estaban incluidos en el pliego de cargos, lo cual sin lugar a carácter personal e institucional dispuestas en la Ley 1581 de 2012/Ley 1266 de 2008, serán dudas es una violación directa no solo del debido proceso, sino de su derecho de determinadas de la siguiente manera: defensa administrativa, sobre el cual ha dicho la Corte Constitucional en la Sentencias T-1082 de 2012 lo siguiente: Al respecto, este Despacho se atiene a lo señalado en sede de reposición, cuando se aclaró que se trató de un error involuntario de digitación, el cual se presentó únicamente en el último párrafo del numeral 4.1 “Cargo primero” de la parte considerativa de la Resolución No. 34643 de 2 de julio de Multa en 2020.

“ 2.4.2. En mater ia ad ministr ativa, este d er echo se tr ad uce en “ l a UVT f acul tad que tiene el ad ministr ad o par a conocer la actu ación o proceso ad ministrativo que se l e ad elante e i mpugn ar o contr ad ecir l as pr uebas y l asQue pr para ovid encias quederecho le seandefensa ad ver sus dentro interde eses. La SÉPTIMO: garantizar el de y sas a contradicción la presente ad ministración d ebe agar antizarde allaciud ad ano inter esad o tal d erecho actuación, el expediente queda disposición sociedad CORREDOR EMPRESARIAL S.A.y en cualquier actu ación que d esconozca d ich a gar antía es contr ar ia a l a las instalaciones de la En Superintendencia Industria Comercio.

Constitución. ef ecto, si elde ad ministryad o no está d e acuer d o con un a d ecisión d e la ad ministr ación que l e af ecte sus i ntereses tiene d er echo ej de ercer recur sos corr espond ientes con el f in d e obtener que se En a mérito lo los expuesto, este Despacho revoque o mod if ique” [15]. De esta manera, la Dirección no impuso ninguna sanción por hechos diferentes a los enunciados en la formulación del cargo primero, ni tampoco se citaron de manera incorrecta todos los artículos de la norma incumplida y por la cual se sancionó a la recurrente.

Así las cosas, l a impor tancia RESUELVE d el d erecho a l a d efensa en el contexto d e las gar antías pr ocesales r ad ica en “ imped ir l a arbitr ar ied ad d e l os ARTÍCULO PRIMERO: INICIAR INVESTIGACIÓN ADMINISTRATIVA enbúsqued consecuencia agentes estatal es y evitar la cond ena inj usta, med iantey l a a d e la verd ad, DE con la activa par la ticipación epresentación d e quien FORMULAR PLIEGO CARGOS contra sociedad o r CORREDOR EMPRESARIAL S.A. pued e ser af ectad o por l as d ecisiones que se ad opten sobr e l a base d e identificada con Nit. 900.243.000-8, en su condición de Responsable del Tratamiento, por la lo actu ad o” [16]. presunta contravención de lo dispuesto en: 2.4.3.

El d erecho d e def ensa como manif estación d el d erecho al ebid o pr oceso, comprende las siguientes garan tías: a) el4 dy los erecho a que (i)d El literal b) del artículo 17 en concordancia con el literal c) del artículo artículos 5, 6 y se notif iquen los actos exped id os en el mar co d el proceso d e que se 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos tr ate; b) el d er echo d e pr esentar y solicitar pr u ebas; c) el d er echo a 2.2.2.25.2.3 y tir las 2.2.2.25.2.4 Decreto Único Reglamentario 1074 a; de d ) 2015; contr over pr del uebas que se presenten en contr el dyerecho a que las actu aciones sean públicas; e) el d er echo a impugnar las d ecisiones as el 17 mar co d el proceso, entr as. 4Por tan los to, artículos las (ii)ad Eloptad literal c) del en artículo en concordancia con el literal b) edel otr artículo así como es ad el antan las aci ones jud iciales y 6 yau12torid de laad Ley 1581que de 2012, y el inciso primero delactu artículo 2.2.2.25.2.2 el Decreto Único ad ministrativas tienen un d obl e d eber en relación con el d er echo de Reglamentario 1074 de 2015. d ef ensa: “ (i) poner en conocimiento d e los interesad os l as d ecisiones que ad optan, con el f in que estos pued an ejer cer la f acul tad constitucion al d eNotificar oponerse a el las y,el d e manera gener al, contr over tir ARTÍCULO SEGUNDO: personalmente contenido de la presente resolución a la tan to su con tenid o como l as cond iciones sustan y procesal es parde a su sociedad CORREDOR EMPRESARIAL S.A. identificada con Nit.tivas 900.243.000-8, a través su pr omulgación, y (ii) gar an tizar l a concur rencia en el tr ámite d e representante legal, para que los QUINCE días hábiles a la tad notificación espacios ad ecuad osdentro y sufde icientes par a(15) el ej er cicio d esiguientes d icha f acul de del contr presente acto, por si].misma o por intermedio de abogado debidamente constituido, rinda over sia” [17 HOJA Nº En vista de todo lo anterior, y luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva, ni la sanción que fue impuesta.

4. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS La investigada a través de su apoderado señala lo siguiente: “( ) el despacho omitió valor [sic] el documento denominado: “Orden de pedido y/o servicio” el cual da cuenta de que desde el 8 de abril de 2019, es decir, con anterioridad a la visita administrativa la sociedad había enviado a elaborar los documentos necesarios para informar a los titulares [sic] de datos [sic] personas acerca de la existencia de un sistema de video vigilancia, los datos [sic] que se obtendrían a través de el y el tratamiento [sic] que se daría a dichos datos [sic].

( ) Igualmente, omitió valorar la factura 1296 expedida por OSMOSIS PUBLICIDAD Y MÁRKETING EU., empresa a la que mi representada, le compró los citados avisos. ( ) Además, de lo dicho, se probó que, con anterioridad a la visita administrativa, ya se habían contratado la elaboración de las carteleras, faltando solamente su entrega por parte del proveedor a mi mandante.

De ahí, que sea necesario tener dicha situación en cuenta para efector [sic] de advenir a la conclusión del pleno cumplimiento de las disposiciones legales por parte de mi mandante. ( ) una vez realizada la visita administrativa procedió a implementar un plan de mejoras tendiente a continuar garantizando el tratamiento [sic] adecuado de los datos [sic] personales a través del plan citado.

( ) debe destacarse que en la actualidad, una vez recibidos los avisos y el dispositivo para la información sobre el tratamiento [sic] de datos [sic] a los titulares [sic] se colocaron en los lugares en los cuales son perceptibles por estos logrando de esa manera la protección deseada. ( ) a prueba documental aportada por nuestra parte da cuenta de que mi representado, no solo ha adoptado las medidas necesarias para el cumplimiento de la regulación de habeas data, por cual evidencia que la investigada a dado cumplimiento al principio de responsabilidad demostrada, lo cual se demuestra tanto con cada uno de los formatos allegados al expediente como con los otros documentos que dan cuenta de toda la estructura que se ha puesto por parte de mi cliente para efectuar un adecuado tratamiento [sic] de los datos [sic] de los titulares [sic].

( ) En el presente caso, este principio de proporcionalidad resulta claramente vulnerado en razón de que contrario a lo esperado por el ordenamiento jurídico, se ha impuesta [sic] una multa que resulta a todas luces innecesaria puesto que, como se probó en el proceso, no solamente mi poderdante al momento de ser realizada la visita en las instalaciones de mi poderdante ya había adoptado las medidas necesarias para proteger los datos [sic] de los titulares [sic] de los mismos como lo demuestran las órdenes de compra y las facturas que no fueron valoradas, sino que además, con posterioridad a la visita como se probó adoptó la totalidad de las medidas necesarias para adoptar mejoras continuas frente a cualquier inconveniente que hubiera frente a las normas presuntamente infringidas”.

Nuevamente se reitera que, sin importar que la factura y la orden de compra hayan sido con fecha anterior a la visita administrativa (10-12 de abril de 2019) de esta autoridad, para la fecha de la misma CORREDOR EMPRESARIAL S.A. no tenía instalados en ningún lugar de sus oficinas los avisos de privacidad que informaran las finalidades del Tratamiento de los Datos que se recolectaban mediante su sistema de videovigilancia para la época.

5. DE LA CONSERVACIÓN OBLIGATORIA DE LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LOS DATOS Y DEL DEBER DE INFORMAR AL TITULAR LA FINALIDAD DE LA RECOLECCIÓN DE SUS DATOS Y LOS DERECHOS QUE LE ASISTEN EN VIRTUD DE LA AUTORIZACIÓN OTORGADA Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: HOJA Nº 10 (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En línea con lo anterior, el artículo 8 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) dispone: “Prueba de la autorización [sic]. Los Responsables deberán conservar prueba de la autorización [sic] otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” No debe olvidarse que al “Responsable del Tratamiento” le corresponde probar que ha cumplido la ley tal y como lo dispone el capítulo VI del citado Decreto 1377 titulado “Responsabilidad demostrada frente al tratamiento [sic] de datos [sic] personales”.

El artículo 26 establece lo que sigue a continuación: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). En suma, el Responsable del Tratamiento tiene la carga probatoria de, entre otras, acreditar la prueba obtenida para tratar los Datos del Titular de la información. El Decreto Único Reglamentario 1074 de 2015 estableció en relación con la Autorización del Titular para el Tratamiento de sus Datos: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

( ) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(Decreto 1377 de 2013, art. 7). Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (Decreto 1377 de 2013, art. 8)” (Énfasis añadido). Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Frente a lo anterior, para este Despacho no son admisibles los argumentos presentados por la investigada, pues todos conducen a excusar el incumplimiento de la Ley 1581 de 2012, en la presunta conducta omisiva de conservar la Autorización suscrita por la Titular de los Datos. Lo anterior se deriva de las exigencias y de las cargas probatorias de la Ley 1581 de 2012.

Por eso, quien adquiere Datos personales de parte de terceros debe ser muy diligente con miras a establecer si quien le suministra la información cumplió correctamente sus deberes respecto de la regulación de Tratamiento de Datos personales. HOJA Nº 11 En otras palabras, se debe realizar un proceso de investigación (debida diligencia - due diligence) con miras a establecer la situación legal y real de lo que desea adquirir con el objetivo de determinar, evaluar y cuantificar las posibles contingencias de una eventual negociación o transacción para el uso de datos personales.

En materia de Datos personales, por ejemplo, una debida diligencia debe establecer, entre otras, lo siguiente: a) La veracidad de la información teniendo en cuenta que ésta debe ser comprobable b) La legitimación sobre el Tratamiento de Datos para determinar si quien los tiene los adquirió lícitamente y qué puede hacer con los mismos o a quiénes puede circularlos o suministrarlos.

Como se observa, la debida diligencia (due diligence) demanda una labor profesional, diligente y exhaustiva que comprende la revisión de todos los documentos y las pruebas de manera que se evidencie un estudio profundo y detallado respecto de la regulación de Tratamiento de Datos personales para evitar eventuales Tratamientos indebidos o ilícitos de Datos personales.

Recordemos que, en cualquier caso, cuando alguien suministre información personal de otro Titular a un tercero (en este caso la entidad financiera), esta debe ser lo suficientemente diligente para obtener la Autorización por parte del Titular de la información (en este caso la “referencia personal”), pues, de no adelantar esta labor se estaría realizando una actividad ilegal en razón a que no cumple con los requisitos legales para ejercer ese Tratamiento.

Así las cosas, se reitera que la recurrente no contaba con la Autorización (previa, expresa ni mucho menos informada) para el Tratamiento de los Datos personales de las personas que visitaban las instalaciones de la compañía. De otro lado, este Despacho recuerda que, al momento de solicitar la Autorización, se debe informar, de acuerdo con el artículo 12 de la Ley 1581 de 2012: a. El uso o el Tratamiento al cual serán sometidos los datos personales y la finalidad de la recolección; b. El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas se relacionen con Datos sensibles o con Datos niñas, niños y adolescentes; c. Los derechos que le asisten como Titular de la información; y, d. La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento de los Datos.

Así las cosas, la investigada no puede pretender bajo ninguna circunstancia que el Titular del Dato presienta o sospeche cuál puede ser la finalidad de la recolección de su información. No puede entenderse esto como la expresión libre, voluntaria e informada para el Tratamiento de sus Datos. Por lo anterior, analizados nuevamente todos los documentos y pruebas integrantes del expediente, se evidenció que CORREDOR EMPRESARIAL S.A. no contaba con la Autorización legal exigida por parte de los Titulares para tratar sus Datos personales, así como no informó de manera explícita la finalidad de la recolección y Tratamiento de dicha información.

6. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos [sic] que contengan información personal o socialmente relevante”10. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos. 10 Cfr. Corte Constitucional, Sentencia T-227 de 2003.

HOJA Nº 12 En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2611 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic] ”12.

Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos 13. El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”14.

Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del Dato personal cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada15(accountability)16”. 11 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 12 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 13 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” 14 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”. 15 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 16 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” HOJA Nº 13 El término “accountability”17, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de Datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza 18 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Tatos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 19.

(Énfasis añadido) El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 20, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 17 Cfr. Grupo de trabajo de protección de datos [sic] del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 18 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. 19 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 20 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf HOJA Nº 14 en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”21.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 22. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”23. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”24 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos [sic] personales”25.

7. CARGA DE LA PRUEBA La jurisprudencia colombiana, en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”26 En correspondencia con lo anterior, este Despacho considera importante resaltar que CORREDOR EMPRESARIAL S.A., en ningún momento, aportó la prueba esperada en esta actuación administrativa.

Pues, no logró demostrar que contaba con la copia de la Autorización de los Titulares que visitaban las instalaciones de la investigada para el Tratamiento de su información personal. En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso. 21 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 22 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 23 Idem. 24 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 25 Ibidem. 26 Corte Constitucional, Sentencia T-733 de 2013.

HOJA Nº 15 Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes” 27; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”28 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”29 Así las cosas, es inocultable el actuar de la recurrente, en el sentido de no haber aportado en ninguna de las etapas procesales, la prueba que demostrara que los Titulares de los Datos personales habían otorgado la Autorización para el Tratamiento de los mismos.

De conformidad con lo expuesto, los argumentos presentados, y la valoración de las pruebas entregadas por la investigada, resulta notorio que su actuación dentro de este trámite no significó una colaboración determinante. Por lo menos en cuanto al aporte de pruebas conducentes, pertinentes y suficientes que demostraran la realidad del contexto que pretendía hacer valer.

8. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN La recurrente manifiesta que, “Frente a este punto, es menester señalar, la cifra impuesta para cada una de las multas impuestas no encuentran en toda la Resolución una razón que justifique su monto, ni tampoco se tuvieron en cuenta, a pesar de haberse nombrado los criterios de graduación de las multas de que trata el artículo 24 de la Ley 1581 de 2012, motivo por el cual el valor de las multas impuestas deben ser modificada y en su lugar reducida sustancialmente a un valor que corresponda a la presunta falta, por las siguientes razones: 1.

Está probado que mi poderdante no dañó el bien jurídico tutelado, pues ninguno de los titulares [sic] de información vio que sus datos [sic] fueran entregados a terceros o recibieran un tratamiento [sic] distinto del que se encontraba dispuesto en la política de tratamiento [sic] de datos [sic] que se encontraba disponible para el conocimiento de los titulares [sic] de los datos [sic].

Sobre esto, es imperioso señalar que, tan cierto es que no hubo daño que, durante todo el proceso no hubo evidencia de que algún titular [sic] de información se quejara del inadecuado tratamiento [sic] de datos [sic]. 2. De otra parte, no se encuentra tampoco evidenciada la forma en la que supuestamente se pusieron en peligro los datos [sic] de los titulares [sic].

De hecho, si se miran tanto el pliego de cargos como la resolución impugnada en ninguna parte se atribuye a mi poderdante la responsabilidad por haber colocado en riesgo los datos de personas concretas, lo cual, a todas luces pone en claro que tal peligro no tuvo ocurrencia. 3. Si en gracia de discusión se aceptara que, la conducta de mi cliente puso en peligro un determinado bien jurídico, entonces, resulta imperioso que se reduzca la multa dado que el peligro solo podría calificarse como bajo, puesto que los datos [sic] fueron custodiados y tratados de forma adecuada, pues no hay prueba alguna que nos conduzca a lo deducir lo contrario.

Finalmente, es preciso señalar, en consonancia con lo anteriormente [sic] expuesto ( ) en el presente caso se ha vulnerado el principio de proporcionalidad de las sanciones, el cual según nuestra Corte constitucional [sic] se 27 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 28 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 29 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. HOJA Nº 16 sintetiza en el hecho de que: “En virtud de este principio, la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar” Sobre lo anterior, según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo [sic] repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”30. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y, en general, ninguna persona, sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 17 Asimismo, es importante recordar que los criterios contenidos en los literales b), c), d) y e) del mencionado artículo 24, son agravantes y se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la recurrente beneficio económico alguno por la comisión de la infracción;

Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Ahora, al momento de imponer la sanción no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas. En segundo lugar, es claro que la Resolución No. 67661 de 20 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

En cuarto lugar, es relevante tener presente que CORREDOR EMPRESARIAL S.A. de acuerdo con la última información que reportó en el Registro Nacional de Bases de Datos, trata información de cuatro millones ochocientos setenta y seis mil doscientos cuarenta y seis (4’876.246) millones de ciudadanos. Lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la que pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental31 a la protección de Datos32. De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales. 31 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 32 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 18 Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”33. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia34. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.

9. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Por lo antes señalado, la actividad económica realizada por CORREDOR EMPRESARIAL S.A. debe tener en consideración este llamado constitucional a ser respetuosa de los derechos fundamentales y humanos de los ciudadanos, incluido el derecho fundamental al debido Tratamiento de los Datos Personales consagrado en el precitado artículo 15 de la Constitución Política.

10. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Si bien la presente actuación administrativa está relacionada con la sociedad CORREDOR EMPRESARIAL S.A. y su cumplimiento de la Ley 1581 de 2012, este Despacho quiere llamar la atención en la responsabilidad que los administradores de dicha sociedad tienen en el cumplimiento de la Ley y los Estatutos. 33 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº 19 Al respecto, según el artículo 22 de la Ley 222 de 199535 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 36 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”37.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. En virtud de lo expuesto, se EXHORTA a la Representante Legal de CORREDOR EMPRESARIAL S.A. para que adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.

Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; 4. Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”38.

Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos personales; 35 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 36 El texto completo del artículo 24 de la Ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 37 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 38 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf HOJA Nº 20 5.

Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. La sociedad CORREDOR EMPRESARIAL S.A. incumplió los deberes previstos en: el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015; y en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 así como los artículos 6 y 12 de la Ley 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; 2.

El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa; 3. Independientemente de que la factura y la orden de compra hayan sido con fecha anterior a la visita administrativa (10-12 de abril de 2019) de esta autoridad, para la fecha de la misma, CORREDOR EMPRESARIAL S.A. no tenía instalados en ningún lugar de sus oficinas los avisos de privacidad que informaran las finalidades del Tratamiento de los Datos que se recolectaban mediante su sistema de videovigilancia para la época; 4.

La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Dato personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia;

5. CORREDOR EMPRESARIAL S.A. no aportó la prueba que permitiera demostrar que contaba con la Autorización legal exigida por parte de los Titulares para tratar sus Datos personales;

6. CORREDOR EMPRESARIAL S.A., de acuerdo con la última información que reportó en el Registro Nacional de Bases de Datos, trata información de cuatro millones ochocientos setenta y seis mil doscientos cuarenta y seis (4’876.246) millones de ciudadanos, lo que la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos; 7.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa impuesta por parte de esta entidad corresponde a un total de CIENTO CUARENTA Y CINCO MILLONES DOSCIENTOS TREINTA Y DOS MIL PESOS ($145’232.000) M/CTE, correspondiente a (4.000) unidades de valor tributaria- UVT. Lo que representa aproximadamente el 7,99% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012; y,

8. CORREDOR EMPRESARIAL S.A. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la eximen de cumplir la Constitución Política Nacional y la ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 67661 de 20 de octubre de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 67661 de 20 de octubre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo. HOJA Nº 21 ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CORREDOR EMPRESARIAL S.A., identificada con Nit. 900.243.000-8, a través de su representante legal o su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxxx Xxxxxxx Xxxxx Xxxxxxx, identificado con la Cédula de Ciudadanía No. xx.xxx.xxx, o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., agosto 17 de 2022 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), CRISTINA Firmado digitalmente por RODRIGU CRISTINA RODRIGUEZ CORZO 2022.08.17 EZ CORZO Fecha: 13:34:26 -05'00' CRISTINA RODRÍGUEZ CORZO CGC HOJA Nº 22 Notificación Entidad: NIT: Representante Legal: Identificación: Dirección: Ciudad: País: Correo de notificación judicial: CORREDOR EMPRESARIAL S.A. 900.243.000-8 Germán Alberto Segura Vásquez C.C. No. 79.602.841 Avenida Calle 26 No. 69D-91 Torre Peatonal Of. 802 Bogotá D.C. Colombia gerentejuridica@cempresarial.co Apoderado: Identificación: Tarjeta Profesional: Dirección: Ciudad: País: Correo electrónico: Alexis Faruth Perea Sánchez C.C. No. 11.812.241 146643 del Consejo Superior de la Judicatura Calle 31 No. 13ª-51 Oficina 337 Bogotá D.C. Colombia aperea@pereasanchez.com Comunicación Señor: Identificación: Correo electrónico: Xxxxx Xxxxxxx Xxxxx Xxxxxxx C.C. No. xx.xxx.xxx xxxxxxxxxxxxxxxxxxxxx

Resolución sancionatoria N° 34643 de 2022

CONSIDERANDO

RESUELVE