(21 JUNIO 2021) VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparte una orden” Radicación: 20-120452 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que, esta Dirección, en ejercicio de la función de vigilancia para garantizar que en el Tratamiento de Datos Personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen General de Protección de Datos Personales, otorgada por el artículo 19 de la Ley 1581 de 2012 y conforme a la función de administración del Registro Nacional Público de Bases de Datos –en adelante RNBD– consagrada en el literal h) del artículo 21 ejúsdem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, procedió a examinar la información cargada en el RNBD por la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada con el NIT: 900.336.930-2, evidenciando preliminarmente que esta sociedad no cumplió con el deber de implementar una Política de Tratamiento de la Información.
SEGUNDO: Que, el artículo 25 de la Ley 1581 de 2012 estableció que “para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes”.
TERCERO: Que, este Despacho el día 30 del mes junio de 2020 procedió a realizar consulta de la información registrada por la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., en el RNBD, encontrando que el documento cargado por la investigada no corresponde con su política de tratamiento de información, tal como lo exige la norma mencionada con anterioridad.
CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, el 21 de julio de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 39704 por medio de la cual se formuló: i) Un (1) cargo a la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., NIT. 900.336.930-2, por el presunto incumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015;
QUINTO: Que, acorde con la certificación de la Secretaría General Ad-Hoc de esta Superintendencia del 25 de agosto de 2020 con radicado 20-120452-6, la sociedad investigada fue notificada, a través de su representante legal para fines judiciales, por aviso No. 17342 el 5 de agosto de 2020 de la Resolución No. 39704 del 21 de julio de 2020.
SEXTO: Que, vencido el término concedido de quince (15) días hábiles para que la sociedad investigada ejerciera su derecho de defensa y contradicción de acuerdo con lo establecido por el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardo silencio., “Por la cual se impone una sanción y se imparte una orden”
SÉPTIMO: Que, mediante Resolución No.67546 del 26 de octubre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-120452, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
OCTAVO: Que, vencido el término concedido de diez (10) días hábiles para alegar de conclusión, la sociedad investigada guardó silencio.
NOVENO: Que, en aras de garantizar el derecho a la defensa y de contradicción, esta Dirección atendiendo una solicitud del pasado 27 de octubre de 2020, se procedió a conceder acceso al expediente digital, mediante radicado 20-120452- -13, al señor ORLANDO ÑAÑEZ COLLAZOS en su condición de representante legal de la sociedad Compulab Servicios Integrales S.A.S.
DÉCIMO: Que, con base en lo anterior, con el fin de garantizar el derecho de defensa y contradicción de la investigada, esta Dirección mediante comunicación 20-120452- -14 del día 28 de abril de 2021, procedió a correr traslado nuevamente a la sociedad investigada por el término de diez (10) días hábiles contados a partir del recibo de dicha comunicación, con el fin que presentara los respectivos alegatos de conclusión.
DÉCIMO PRIMERO: Que, vencido el término concedido de diez (10) días hábiles para que la sociedad investigada ejerciera su derecho de defensa y contradicción de acuerdo con el término de traslado que se concedió mediante la comunicación del pasado 28 de abril de 2021, la sociedad investigada guardó silencio.
DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
DÉCIMO TERCERO: Análisis del caso 13.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las disposiciones contenidas en: Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos acaecidos, y el conjunto de pruebas allegadas al expediente. Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011)., “Por la cual se impone una sanción y se imparte una orden” 13.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como el acervo probatorio recaudado, para en el caso en concreto establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 13.2.1 Respecto del deber de implementar y tener puesta a disposición de los titulares la Política de Tratamiento de Datos El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de Ia presente ley y en especial, para la atención de consultas y reclamos”.
Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.
Para lo anterior, es preciso traer a colación lo dispuesto en el párrafo final del artículo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto prevé que "La verificación por parte de la el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.
En el caso bajo estudio, con el fin de recolectar elementos de juicios suficientes, el día 30 del mes junio de 2020, se procedió a realizar consulta de la información registrada por la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., en el RNBD, encontrando que el documento cargado por la investigada no corresponde con su política de tratamiento de información, tal como lo exige la norma mencionada con anterioridad.
Por lo anterior, esta Dirección inició investigación administrativa y formuló cargo único en contra de la investigada mediante la Resolución 39704 del día 21 julio de 2020, la cual fue notificada a la investigada mediante aviso 17342, cuya certificación emitida por la Coordinadora Grupo de Notificaciones y Certificaciones, fue radicada bajo el número 20-120452- -62, el día 25 de agosto de 2020.
Una vez vencido el término otorgado por el acto administrativo en mención, la investigada NO presentó descargos y tampoco allegó las pruebas que pretendiera hacer valer en la presente actuación administrativa. Mediante Resolución 67546 del 26 de octubre de 2020, se ordenó incorporar pruebas y correr traslado a la investigada para alegar de conclusión, dicha Resolución fue debidamente notificada el día 27 de octubre de 2020, lo cual se acredita con la certificación emitida por la Coordinadora Grupo de Notificaciones y Certificaciones el día 9 de noviembre de 2020, radicada bajo el número 20120452- -123, el día 9 de noviembre de 2020.
Una vez vencido el correspondiente término para alegar de conclusión, la investigada guardó silencio. 2 Expediente digital 20- 120452. (Consecutivo 6) Expediente digital 20 – 120452 (Consecutivo 12), “Por la cual se impone una sanción y se imparte una orden” Sin embargo, el día 17 de marzo del presente año, en aras de garantizar a la investigada el derecho a la defensa y contradicción, se concedió acceso4 al expediente digital 20 -120452, al representante legal de la sociedad investigada, de conformidad con la solicitud que fue recibida el pasado 27 de octubre de 2020.
No obstante, lo anterior, la investigada no aportó ningún argumento o elemento de prueba mediante el cual pretendiera desvirtuar el cargo formulado. Posteriormente, mediante comunicación5 del pasado 28 de abril de 2021, esta Dirección procedió a correr nuevamente traslado a la investigada por el término de diez (10) hábiles, con el propósito que presentara los respectivos alegatos de conclusión. Sin embargo, una vez vencido el término concedido, la investigada guardó silencio.
Es importante traer a colación el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual dispone lo siguiente: “Artículo 40. Pruebas. Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.
Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. Los gastos que ocasione la práctica de pruebas correrán por cuenta de quien las pidió. Si son varios los interesados, los gastos se distribuirán en cuotas iguales.
Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil”. (He subrayado) Por lo cual, esta Dirección procuró en todo momento proteger el derecho a la defensa y contradicción de la investigada dentro del marco del debido proceso consagrado en la Constitución Política, mediante el cual se otorgaron plenas garantías a la investigada, tal como corresponde en un Estado Social y democrático de Derecho.
Con base en lo anterior, esta Dirección evidencia que la investigada no acreditó tener implementado o documentado una Política de Tratamiento de Datos Personales. Así mismo, en el RNBD la sociedad cargó como sus políticas de tratamiento de datos personales la Política de Tratamiento de la Superintendencia de Industria y Comercio. En consecuencia, por lo tanto, se concluye que la investigada no acreditó tener implementada y puesta a disposición de los titulares la Política de Tratamiento de datos personales, documento que permite a los Titulares conocer el Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable; el Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad; los derechos le asisten como Titular; la persona o área responsable de la atención de peticiones, consultas y reclamos ante el cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir datos y revocar la autorización; el procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, rectificar y suprimir información y revocar la autorización; y la fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos, vulnerando de esta forma lo dispuesto literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015 e.
DÉCIMO CUARTO: En virtud de lo establecido en el literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguiente instrucción: 4 Expediente digital 20- 120452.
(Consecutivo 13) 5 Expediente digital 20- 120452. (Consecutivo 14), “Por la cual se impone una sanción y se imparte una orden” • La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., deberá documentar e implementar las Políticas de Tratamiento de Datos Personales de acuerdo con lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1 Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos, “Por la cual se impone una sanción y se imparte una orden” con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional6 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”7. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de 6 “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.
En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.
Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” 7 Ver en: Corte Constitucional Sentencia C-125 del 18 de febrero de 2003. MP. Marco Gerardo Monroy Cabra., “Por la cual se impone una sanción y se imparte una orden” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”8.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”9. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el arriba transcrito artículo 23 de la misma ley.
Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la sociedad investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que 8 Párrafo segundo del Preámbulo de la Declaración Universal de Derechos Humanos. Párrafo tercero del Preámbulo de la Declaración Universal de Derechos Humanos., “Por la cual se impone una sanción y se imparte una orden” establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”.10 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados11.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: • La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., no acreditó tener implementada y puesta a disposición de los titulares la Política de Tratamiento de datos personales, documento que permite a los Titulares conocer el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable; el Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad; los derechos le asisten como Titular; la persona o área responsable de la atención de peticiones, consultas y reclamos ante cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir dato y revocar la autorización; el procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, rectificar y suprimir información y revocar la autorización; y la fecha entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.
Por esto, se impondrá una sanción pecuniaria equivalente a (27) unidades de valor tributario – UVT12 por la vulneración al deber establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015. 15.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Ver en: Corte Constitucional, Sentencia C-125 del 18 de febrero de 2003. M.P. Marco Gerardo Monroy Cabra. La Ley 1581 de 2012, establece en el artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 12 Mediante la resolución 000111 del 11 de Diciembre de 2020, la la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2021, la cual quedó en $36.308., “Por la cual se impone una sanción y se imparte una orden” El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.
DÉCIMO SEXTO: CONCLUSIONES Se procederá a imponer una sanción por las siguientes razones: (i) La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., no acreditó haber implementado y puesto a disposición de los titulares la Política de Tratamiento de Datos personales, documento que permite a los titulares conocer el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable; el Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad; los derechos le asisten como Titular; la persona o área responsable de la atención de peticiones, consultas y reclamos ante cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir dato y revocar la autorización; el procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, rectificar y suprimir información y revocar la autorización; y la fecha entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.
(ii) Se evidenció que la sociedad se registró en el Registro Nacional de Bases de Datos y como Política de Tratamiento de Datos Personales, cargó las Políticas de la Superintendencia de Industria y Comercio. (iii) La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., no presentó descargos ni alegatos de conclusión. Dentro del término para presentar alegatos solicitó acceso en digital al expediente, razón por la cual se le concedió acceso al expediente digital 20-120 452 el pasado 17 de marzo de 2021.
(iv) En aras de garantizar el derecho a la defensa y contradicción por parte de la investigada esta Dirección nuevamente corrió traslado a la investigada por el término de diez días hábiles (10) para alegar de conclusión. (v) No obstante, a pesar de autorizarse el acceso al expediente virtual, y concederse nuevamente el término para presentar alegatos, la investigada no ejerció el derecho a la defensa y contradicción y tampoco aportó ningún elemento probatorio mediante el cual pretendiera desvirtuar el cargo formulado.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., la sanción correspondiente a NOVECIENTOS OCHENTA MIL TRESCIENTOS DIECISEIS PESOS M/CTE ($ 980.316.oo) ), equivalente a (27) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.l.
DÉCIMO SÉPTIMO: Que, en virtud de la situación actual, teniendo en cuenta la declaratoria de Emergencia Sanitaria decretada por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;
(ii) Una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente digitalmente., “Por la cual se impone una sanción y se imparte una orden” No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada el NIT 900.336.930 -2, de NOVECIENTOS OCHENTA MIL TRESCIENTOS DIECISEIS PESOS M/CTE ($ 980.316.oo), equivalente a (27) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración del deber previsto en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada con el NIT. 900.336.930 -2, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de DOS (2) meses siguientes a la ejecutoria de la presente decisión. La instrucción es la siguiente: • La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., deberá documentar e implementar las Políticas de Tratamiento de Datos Personales de acuerdo con lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO PRIMERO: La sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada con el NIT. 900.336.930 -2, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada con el NIT. 900.336.930 -2, acreedora de las sanciones previstas en la ley., “Por la cual se impone una sanción y se imparte una orden”
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S., identificada con Nit. 900.336.930 -2, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,21 JUNIO DE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.06.21 16:33:32 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JACHP Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: COMPULAB SERVICIOS MÉDICOS INTEGRALES S.A.S NIT. 900.336.930 -2 ORLANDO ÑAÑEZ COLLAZOS C.C. 10.544.532 CL 20 N NRO. 8 – 11 – Barrio Ciudad Jardín Popayán - Cauca contabilidad@compulabips.com.co