Resolución sancionatoria N° 13681 de 2022

(Agosto 9 de 2022) Radicación 20-464906 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y, CONSIDERANDO:

PRIMERO. Mediante Resolución No. 78282 del 30 de noviembre de 2021, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación administrativa iniciada en contra de la sociedad INVERSIONES JALBOR S.A.S. (en adelante INVERSIONES JALBOR), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad INVERSIONES JALBOR S.A.S., identificada con Nit. 811.043.214-6, de TREINTA Y SIETE MILLONES CUATROCIENTOS SESENTA Y NUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($37.469.856) PESOS M/CTE ($ 37.469.856), equivalentes a MIL TREINTA Y DOS (1.032) Unidades de Valor Tributario (UVT) vigentes por la violación a lo dispuesto en: (i) (ii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

El litera c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. (…)

ARTÍCULO SEGUNDO: ORDENAR a la sociedad INVERSIONES JALBOR S.A.S, identificada con el Nit. 811.043.214-6, cumplir con las siguientes instrucciones, dentro del término de tres (3) meses siguientes a la ejecutoria de la presente decisión: • La sociedad INVERSIONES JALBOR S.A.S. deberá implementar dentro de los formularios de vinculación de los clientes, la solicitud de autorización para el tratamiento de sus datos personales en el marco de la ley 1581 de 2012, especificando la finalidad de dicho tratamiento.

SEGUNDO. INVERSIONES JALBOR, a través de su apoderada especial (en adelante la RECURRENTE) el 13 de diciembre de 2021 interpuso recurso de apelación1 contra la Resolución No. 78282 del 30 de noviembre de 2021, en los siguientes términos: 1. Imposibilidad de acceso al expediente En primer lugar resulta necesario llamar la atención del despacho frente a la violación a mi representada del derecho de defensa y acceso a la información y es que como se indicó en el escrito de descargos pese a haber solicitado el acceso al expediente -incluso con anterioridad al momento de la formulación del pliego de cargos- el mismo no ha sido concedido, razón por la cual no había sido posible para mi representada ni para la suscrita verificar la información aportada por la quejosa, pues la misma no fue entregada a la investigada al momento de la formulación del requerimiento de información previo a la apertura formal de la investigación administrativa. 1 Conforme a constancia suscrita por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-464906-39 del 22 de diciembre de 2021, la Resolución No. 78282 del 30 de noviembre de 2021 fue notificada por aviso a la Representante Legal de INVERSIONES JALBOR el 13 de diciembre de 2021, con lo cual el término para presentar los recursos vencía el 27 de diciembre de 2021.

“Por la cual se resuelve un recurso de apelación” 2. Incorrecta valoración de los argumentos de defensa frente a las medidas correctivas adoptadas En primer lugar se hace necesario llamar la atención del despacho respecto de la forma en que ha sido incorrectamente interpretada y valorada la argumentación presentada por la investigada, pues como se mostrará a continuación a esta se le ha dado una interpretación errada en perjuicio de dicha sociedad, es así como en la resolución objeto de este recurso se indica lo siguiente: 10.2.2 Frente a la presunta responsabilidad de un tercero. La investigada alegó dentro de la oportunidad para rendir descargos, que la funcionaria que envió la comunicación de cobro prejuridico a la Titular fue separada del cargo, y allegó la correspondiente carta de despido.

Frente a lo anterior, este Despacho considera que resulta muy grave la afirmación de la investigada ya que NO procedente desde ningún punto de vista que pretenda trasladar su responsabilidad a un tercero. Para luego concluir: Así las cosas, luego del análisis jurisprudencial reseñado con anterioridad, es claro que la investigada no puede alegar que se trató de la responsabilidad de una empleada de la sociedad y que dentro de las medidas correctivas se efectuó el despido de dicha persona, ya que por la violación de la Ley 1581 de 2012, responde la sociedad por la falta de cuidado y en el caso particular, no haber adecuado sus procedimientos de conformidad con lo establecido en la ley estatutaria.

Por lo tanto, es claro que hubo una violación del Régimen de Protección de Datos Personales, tal como se demostrará más adelante. Como puede verse de los apartes transcritos de la resolución, lo indicado por el despacho pareciera indicar que se ha presentado dentro de la defensa como eximente el hecho de un tercero, situación ésta que se encuentra alejada de la realidad, pues por el contrario esto fue lo indicado en el escrito de descargos: “En todo caso y tal y como se informó al despacho, reconociendo el actuar desacertado de la compañía en el envió de la mencionada comunicación, y en virtud de los hallazgos detectados a partir del requerimiento del despacho se implementaron dos acciones correctivas: 1.

Circular para el personal encargado de la gestión de cobro: Como acción correctiva se procedió a elaborar y enviar una circular a toda el área de cartera de la compañía recordando la necesidad de cumplimiento de los principios propios del régimen, requiriendo que previo a cualquier contacto como parte del proceso de cobro verificar la existencia de autorización para el tratamiento de los datos y absteniéndose de efectuar cualquier contacto en el evento en que no se cuente con dicha autorización, hasta tanto la misma sea obtenida por alguno de los canales dispuestos para ello, por ejemplo si la misma es obtenida por el ingreso del titular a l as instalaciones de la compañía. 2.

Actualización de los datos de la quejosa: Se procedió a efectuar una actualización de los registros de la quejosa procediendo a la eliminación de la información relativa a la dirección física y electrónica de su lugar de trabajo, obtenidas a partir del suministro de la información por parte de su codeudor. Adicional a las ya reportadas acciones correctivas, la funcionaria que efectuó el envió de la comunicación objeto de la queja fue separada de su cargo tal y como se acredita en la comunicación de despido que se acompaña con este escrito.

Como en su momento fue indicado al despacho nunca fue el interés de mi mandante el desconocimiento de los derechos de la reclamante pues por el contrario la compañía INVERSIONES JALBOS (sic) SAS trabaja de manera permanente por el respeto de los derechos de los titulares de la información. En atención a lo indicado, por medio de este escrito, mi representada procede a aceptar el cargo que le ha sido formulado, solicitando al despacho no solo considerar esta aceptación sino además las medidas ya adoptadas para la corrección de los hechos objeto de la denuncia.” Tal y como puede verse y contrario a lo indicado por el despacho en la resolución impugnada mi representada no pretendió señalar como ajena la responsabilidad por lo ocurrido, sino que por el contrario reconociendo el error cometido procedió a adoptar -como parte de su sistema de gestión de datos personales- una serie de medidas correctivas dentro de las que se incluyó la separación del cargo de la persona que realizó el envió de la comunicación. Es de vital importancia para este momento del escrito resaltar que el despacho a lo largo de sus consideraciones hace uso de argumentos como los que hasta este punto han sido reprochados, por cuanto el error cometido fue aceptado y por cuanto por demás se tomaron todas las medidas necesarias como parte de la aplicación de las medidas adoptadas en aplicación del sistema integral de protección de datos de la compañía, es necesario en este punto hacer énfasis en el mensaje que este acto administrativo representa para el mercado y los administrados, donde un actuar de buena fe y una reacción correctiva “Por la cual se resuelve un recurso de apelación” inmediata además de la honestidad y colaboración con la administración lejos de ser resaltados como la conducta ideal frente a una situación como la ocurrida y como el actuar esperado por la Superintendencia como el comportamiento que debiera ser adoptado por los investigados, es castigada con una argumentación incisiva en el error cometido y con una interpretación equivocada de lo que se explicó a la autoridad tratando de mostrar –contrario a lo ocurrido- que en las explicaciones se pretendiera hacer entender al despacho como la alegación de un eximente que no fue en forma alguna alegado al rendir explicaciones.

Por lo anterior y como quiera que mi representada -contrario a lo que parece dar a entender la resolución impugnada- nunca pretendió atribuir la responsabilidad a un tercero, sino que por el contrario lo asumió de forma expresa y que la separación del cargo se reportó como una medida correctiva, solicito con el mayor respeto al despacho valorar de forma adecuada los argumentos de defensa presentados y proceder a reducir la sanción impuesta. 3.

Ausencia de valoración del material probatorio aportado de la implementación de un sistema integral de tratamiento de datos personales Para hacer referencia a este aspecto resulta necesario en primer lugar transcribir un importante apartado de la resolución objeto de este recurso en el que la delegatura señala imparte una orden a mi representada en los siguientes términos: “En virtud de todo lo anterior, EXHORTAMOS al representante legal de la sociedad INVERSIONES JALBOR S.A.S para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1.

Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”6.

(sic) 2. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3. Respetar y garantizar los derechos de los titulares de los datos. 4. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 5. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6.

Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.” Las medidas impartidas por el despacho en las que se exhorta al representante legal de la compañía básicamente a dar cumplimiento al principio de responsabilidad demostrada solo dan cuenta del hecho de que el despacho pasó por alto y dejó de valorar las pruebas aportadas en el escrito de descargos en el que no solo se demostró la existencia de un sistema integral de tratamiento de datos personales en cumplimiento del régimen legal y del principio de responsabilidad demostrada sino que además se acreditó en aplicación de dicho sistema la implementación de medidas correctivas frente a los hechos objeto de denuncia. (…) Como puede verse de las pruebas anteriores resulta evidente el hecho de que con independencia de los argumentos de defensa presentados en especial el de la aplicación de la ley 1266 de 2008 al caso de la denunciante, la sociedad investigada ha sido respetuosa y cumplidora de sus deberes legales pues ha en efecto implementado un sistema integral de gestión y tratamiento de datos personales que le permite dar pleno cumplimiento a los principios generales del régimen y de manera particular al principio de responsabilidad demostrada.

(…) Así entonces en el presente caso nos encontramos en presencia de un claro y evidente defecto fáctico frente a la ausencia de valoración del material probatorio aportado pues el despacho se separó por completo de las pruebas aportadas que daban cuenta de la existencia de un robusto sistema integral de tratamiento de datos personales desconociendo su existencia al exhortar a su implementación, razón por la cual además de modificar la sanción impuesta solicito al despacho modificar las ordenes impartidas a mi representada, reconociendo la implementación y existencia de un sistema integral de tratamiento de datos personales. 4.

De la aplicación de la ley 1266 de 2008 y su cumplimiento por la investigada Como quiera que se ha desestimado la defensa presentada respecto de la aplicación de la ley 1266 de 2008, a efectos de que la misma sea valorada al resolver este recurso es importante indicar que el día 20 de Septiembre del año 2010, la señora XXXXX XXXXXXXXX XXXXXXX, retiró bajo la modalidad de venta a plazos, en nuestra tienda FULL HOGAR un equipo celular Marca Ericson Referencia W380 por valor de $768.400, habiendo sido concedido un plazo para pago mediante 17 cuotas quincenales.

“Por la cual se resuelve un recurso de apelación” Como Respaldo de la obligación pendiente de pago, la señora Xxxxxxx en conjunto con un codeudor, suscribió pagaré y carta de recibo del producto, documentos éstos que cuentan con la correspondiente autorización para consulta y reporte a centrales. Resulta necesario en este punto resaltar el hecho de que la relación comercial entre mi representada y la quejosa data de los años 2009 y 2010, siendo el 2010 el año al que corresponde la obligación objeto de cobro a la denunciante, lo anterior resulta de la mayor relevancia para los hechos de esta investigación, pues no puede perderse de vista el hecho de que las autorizaciones otorgadas por la quejosa y respecto de las cuales se tiene el registro expreso -como lo solicitó el despacho desde el requerimiento de informaciónson anteriores a la expedición y entrada en vigencia de la ley 1581 de 2012 por lo que no es dable exigir que las mismas cuenten con unos requisitos inexistentes al momento de su otorgamiento, además y como se indicó en el escrito de respuesta al requerimiento del despacho, dichas autorizaciones fueron otorgadas a la luz de la ley 1266 de 2008.

(…) Hecha la anterior precisión pasaré a hacer referencia al contenido de las autorizaciones otorgadas a mi representada, señalando en todo caso que respecto de ésta no pueden ser exigidos los requisitos contemplados en una norma posterior a su otorgamiento. Además de lo ya indicado respecto de la aplicación de la ley en el tiempo, resulta necesario indicar que el texto de la autorización otorgada a mi mandante por la quejosa y que se encuentra contenido en ambos documentos lo fue en los siguientes términos, habiéndose cumplido en ella el principio de finalidad a la luz de la ley 1266 de 2008: Carta de recibo del bien: “7.

En nuestra condición de DEUDOR y CODEUDOR autorizamos al ALMACEN FULL HOGAR, para que con fines estadísticos y comerciales consulte, reporte e informe nuestro comportamiento comercial, hábitos de pago, manejo de crédito, saldo de mis obligaciones y tiempo de mora, a quienes tuvieran interés legítimo en ella. 8. En caso de atraso injustificado en el pago de las cuotas somos conscientes del cobro de intereses de mora que debe realizar el almacén.” Pagaré: “Autorizo expresamente a Inversiones Jalbor SAS para que la información suministrada en el presente documento, que tiene carácter estrictamente personal y comercial, sea consultado y verificado con terceras personas incluyendo los bancos de datos.

Igualmente para que la misma sea usada y puesta en circulación con fines estrictamente comerciales. También autorizo expresamente para que en el caso de incumplimiento de la(s) obligación(es), sea reportado al banco de datos de FENALCO (Procrédito) o cualquier otro.” Subrayas fuera del texto Tal y como puede verse de los apartes subrayados del segundo texto, resulta evidente que la autorización otorgada a mi mandante no se limitaba a la consulta y reporte a centrales de riesgo u operadores de bases de datos, pues en ella de forma expresa se indicaba como finalidad su “uso y puesta en circulación con fines estrictamente comerciales”.

Al respecto debe señalarse que la ley 1266 de 2008, norma aplicable al momento del otorgamiento de la autorización por parte de la quejosa, indica lo siguiente respecto de las obligaciones de las fuentes: Artículo 8°. Deberes de las fuentes de la información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 1.

Garantizar que la información que se suministre a los operadores de los bancos de datos o a los usuarios sea veraz, completa, exacta, actualizada y comprobable. 2. Reportar, de forma periódica y oportuna al operador, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada. 3.

Rectificar la información cuando sea incorrecta e informar lo pertinente a los operadores. 4. Diseñar e implementar mecanismos eficaces para reportar oportunamente la información al operador. 5. Solicitar, cuando sea del caso, y conservar copia o evidencia de la respectiva autorización otorgada por los titulares de la información, y asegurarse de no suministrar a los operadores ningún dato cuyo suministro no esté previamente autorizado, cuando dicha autorización sea necesaria, de conformidad con lo previsto en la presente ley. 6.

Certificar, semestralmente al operador, que la información suministrada cuenta con la autorización de conformidad con lo previsto en la presente ley. 7. Resolver los reclamos y peticiones del titular en la forma en que se regula en la presente ley. 8. Informar al operador que determinada información se encuentra en discusión por parte de su titular, cuando se haya presentado la solicitud de rectificación o actualización de la misma, con el fin de que el operador incluya en el banco de datos una mención en ese sentido hasta que se haya finalizado dicho trámite. 9.

Cumplir con las instrucciones que imparta la autoridad de control en relación con el cumplimiento de la presente ley. 10. Los demás que se deriven de la Constitución o de la presente ley. “Por la cual se resuelve un recurso de apelación” De acuerdo con la anterior disposición vigente y aplicable al momento del otorgamiento de las autorizaciones por parte de la quejosa, mi representada cumplió con su obligación en calidad de fuente al solicitar y conservar copia de la respectiva autorización otorgada.

Es importante además señalar que dicha norma al igual que la ley 1581 consagra una serie de principios dentro de los cuales se encuentra el de finalidad, principio este desarrollado en la ley 1266 de 2008 en los siguientes términos: Artículo 4: (…) b) Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley.

La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto; Como se ha resaltado la norma se refiere a la necesidad de informar al titular la finalidad -al momento del otorgamiento de la misma- y como se ha podido evidenciar de forma expresa en la autorización otorgada por la quejosa, además de las finalidades propias de la consulta y reporte necesarias para efectuar análisis de riesgo crediticio, se incluyó la finalidad comercial, dentro de la cual se encuentran las actividades propias de la ejecución y cobro de las obligaciones surgidas en virtud de la relación comercial entre las partes, resultando entonces así evidenciado que a la luz de la norma vigente al momento del nacimiento de la relación entre las partes fue obtenida una autorización de la quejosa que permitía de forma expresa a mi representada tratar sus datos con fines comerciales, pudiendo en virtud de ello tratar sus datos para el desarrollo de la relación comercial surgida entre las partes.

En este punto del escrito y como quiera que ha quedado evidenciado que mi representada obtuvo de la quejosa autorización para el tratamiento de sus datos en vigencia y aplicación de la ley 1266 de 2008 y en cumplimiento pleno de las obligaciones para entonces exigibles, habiendo obtenido además autorización para fines comerciales, vale la pena hacer referencia al ámbito de aplicación de la ley 1581 que en su artículo 2 indica lo siguiente: El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: (…) e) A las bases de datos y archivos regulados por la Ley 1266 de 2008;

(…) Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.

En lo que respecta a este punto y como quiera que en anteriores pronunciamientos ese despacho con base en la sentencia C-1011 de 2008 ha indicado la aplicabilidad de la ley 1581 aún respecto de los datos recolectados para los fines propios de la ley 1266 de 2008 luego de indicar que la ley 1266 se restringe a la administración de datos de índole comercial o financiera, destinada al cálculo del riesgo crediticio, es necesario indicar que dicho entendimiento y argumento no resulta aplicable en el presente asunto, pues como ya se ha evidenciado, además de las finalidades destinadas al cálculo del riesgo financiero, en el momento del otorgamiento de la autorización a mi representada y en aplicación del principio de finalidad propio de la ley 1266, se incluyó de forma expresa la posibilidad de tratamiento de sus datos para fines comerciales.

De esta forma y teniendo en cuenta que en el presente asunto la ley 1581 de 2012 no se encontraba vigente al momento del otorgamiento de la autorización, que en cumplimiento del principio de finalidad además de las propias del calculo (sic) del riesgo crediticio se incluyó en la autorización la finalidad de uso para fines comerciales, resulta claro que a diferencia de los otros casos decididos por el despacho en los cuales no se ha dado aplicación a la excepción indicada, en el presente asunto se configuran unos elementos de carácter particular que dan cuenta de que en efecto nos encontramos en presencia de la excepción contemplada en el literal e del artículo 2 de la ley 1581 de 2012.

Finalmente y como una confirmación adicional de lo acá indicado, vale la pena mencionar que al referirse a los usuarios la ley 1266 de 2008 señala: “Artículo 15. Acceso a la información por parte de los usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. “Por la cual se resuelve un recurso de apelación” Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” Confirmando una vez más este texto que podrá darse un tratamiento para fines diferentes de los previstos en la norma y que ese despacho con base en la ya mencionada sentencia de la Corte ha indicado se restringen a la administración del riesgo crediticio, pues dicha norma contempla la posibilidad de obtención de autorización y en consecuencia del tratamiento de los datos para otros fines, siempre que se hubiera obtenido autorización para ello, como en efecto ha sucedido en el presente asunto, así entonces se encuentra demostrado que la autorización obtenida lo fue en aplicación del régimen legal para entonces vigente ley 1266 de 2008 por tratarse además de información de naturaleza crediticia, y en la misma fue cumplido el principio de finalidad pues le fue informado a la titular las finalidades adicionales a la consulta y reporte para las cuales sería usados sus datos.

Sin perjuicio de lo ya indicado, resulta de la mayor relevancia en todo caso reiterar que el hecho de la no aplicación de la ley 1581 de 2012 al caso objeto de esta investigación no puede ser entendido como una interpretación por parte de mi representada de la no aplicación de la ley 1581 a su actividad; por el contrario y como en efecto fue acreditado con los documentos que fueron aportados en la respuesta al requerimiento del despacho, la sociedad que represento ha estado comprometida desde su entrada en vigencia con la ley 1581 de 2012 y atenta al cumplimiento de los principios propios del régimen, como en efecto se ha demostrado con las pruebas aportadas y dejadas de valorar por el despacho 5.

De la proporcionalidad de la sanción Finalmente, debe hacerse una referencia al razonamiento utilizado por la Superintendencia para la graduación de la sanción; en lo que respecta a la cuantificación de la sanción, la cuantía resulta excesiva, pues señala el despacho lo siguiente: “La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2319 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.” Como puede verse del texto transcrito, se ha aplicado como criterio de agravación “La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley”, sin haber establecido en forma alguna la dimensión del presunto daño causado, el cual de haber ocurrido lo fue únicamente respecto de la quejosa por tratarse de una situación de carácter particular y concreto.

Una aplicación del criterio en la forma en que ha sido efectuada por el despacho daría lugar a entender que lo que da lugar a la aplicación del criterio de agravación es el solo hecho de la ocurrencia de la infracción como en efecto ha sucedido en la presente actuación- hecho este que además de desconocer la facultad del legislador para definir unas circunstancias atenuantes y/o de agravación de la sanción, daría lugar siempre a la aplicación del criterio señalado como agravante o peor aún al monto máximo de sanción prevista, lo que además de resultar contrario al sentido de la norma, a la voluntad del legislador y resulta ser contrario al debido proceso.

Además de que se ha aplicado este criterio sin tener en consideración que el mismo procede tanto como atenuante como agravante, ha señalado el despacho la aplicación de un criterio no consagrado por el legislador es así como ha indicado en la resolución objeto de este escrito lo siguiente: “También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa.” “Por la cual se resuelve un recurso de apelación” Es preciso señalar que contrario a lo indicado en la resolución objeto de esta solicitud la información financiera de las investigada no es un criterio fijado en la ley para la definición de la sanción, pues el artículo 24 de la ley 1581 de 2012 establece de forma clara los criterios de graduación aplicables.

Así entonces tenemos que los criterios aplicables a la graduación son los consagrados en artículo 24 de la ley De esta forma entonces los criterios aplicables para efectos de graduar la multa, al presente proceso eran los siguientes: “a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Resulta claro que contrario a lo indicado en la resolución objeto de esta solicitud, en el régimen aplicable a esta actuación no se encuentra en forma alguna definido como criterio para la graduación de la sanción el de la información financiera o balance general de la compañía o en general cualquier criterio relacionado con su tamaño, por lo que resulta evidente que en la forma en que se efectúo la argumentación y graduación de la sanción en el acto administrativo objeto de este recurso fue manifiesta su oposición a la ley, por lo que el mismo debe ser revocado por ser evidente su violación al principio de legalidad.

“Ahora en lo que respecta al atenuante aplicado ha señalado el despacho lo siguiente: 13.1.2 El reconocimiento o aceptación de la comisión de la infracción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada, en su comunicación del 24 de mayo de 2021, reconoció la comisión de infracción al deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015., indicando expresamente En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el cargo primero por la vulneración al deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. en (685 UVT), por lo cual la sanción quedará en un total de (344) unidades de valor tributario vigentes.” Sin embargo y pese a indicarse la aplicación de este criterio como atenuante no se explica en forma alguna como el despacho ha llegado a la suma a partir de la cual presuntamente aplica la reducción. (…) Es necesario señalar que el referido artículo 24 de la ley 1581 de 2012 indica frente a las sanciones en materia administrativa lo siguientes: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” Debe señalarse que la Corte Constitucional mediante sentencia C-181/2002 indicó: "También debe recordarse que según el principio de libertad configurativa del legislador, derivada de la competencia general que le otorga al Congreso el artículo 150 de la Constitución, la Ley está habilitada para diseñar y graduar las faltas y sanciones correspondientes dentro de un marco de respeto por los principios superiores".

(subrayas fuera del texto) “Por la cual se resuelve un recurso de apelación” En otro pronunciamiento la Corte mediante sentencia C-103/1997 indicó que: "quien expide la ley debe gozar de atribuciones suficientes -que a la vez comprometen su responsabilidad -para adecuar razonablemente las penas, según los diversos elementos que inciden en las conductas proscritas".

También la Corte Constitucional en sentencia C-1153/05 indicó: "El hecho de que el Legislador haya establecido un orden en la aplicación de las faltas indica que la ley sí señaló una escala de proporcionalidad de la sanción que debe aplicarse acorde con la gravedad de la falta. En este sentido, el Consejo Nacional Electoral no podría alterar el orden del catálogo sancionatorio, sino que debe acogerse al impuesto por el proyecto de ley, lo cual le confiere una escala de aplicación del régimen".

(subrayas fuera del texto) Por su parte en la C-507/2006 indicó: "El investigador disciplinario no es libre de calificar a su buen parecer las faltas que así se configuren sino que debe atenerse estrictamente a los criterios señalados por el Legislador extraordinario así como a los presupuestos generales que orientan el ejercicio de la función disciplinaria".

(subrayas fuera del texto) De acuerdo con estos pronunciamientos de la Corte el operador o aplicador de la sanción no tiene margen para realizar el juicio de proporcionalidad, y solo le está permitido cumplir con las disposiciones legales dispuestas por legislador en cuanto a las sanciones aplicables, así entonces tenemos que es claro que el orden en que deben ser aplicadas las sanciones atendiendo a la gravedad de la falta es aquel que ha sido fijado por el legislador sin que le esté permitido al operador desconocerlo; de esta forma tenemos que si el legislador ha fijado como sanción la multa y de ella la redacción de “hasta por el equivalente de dos mil (2.000) salarios mínimos” y luego ha fijado los criterios de graduación de la misma es claro que la indicación hasta evidencia que la multa podrá ser desde uno hasta los dos mil salarios mínimos.

De acuerdo con los ya citados pronunciamientos de la Honorable Corte Constitucional tenemos que las sanciones como han sido definidas por el legislador deben ser aplicadas en ese mismo orden, de esta forma y como quiera que para este régimen han sido fijadas de menor a mayor, así entonces tenemos que de aplicarse multa para la imposición de la multa debía comenzarse su graduación partiendo del tope mínimo y no máximo.

Como se puede ver la norma que define la cuantía de las sanciones establece el tope máximo pero no establece en forma alguna un tope mínimo del que debe partirse para imponer este tipo de sanciones, lo que significa que puede ser impuesta una multa desde 1 hasta 2.000 salarios mínimos; en aplicación de los criterios fijados por el legislador esto es el orden de aplicación de la sanción se debe partir del mínimo y para llegar a la cuantía exacta de la sanción a imponer debe atenderse a criterios objetivos para graduar apropiadamente la sanción a imponer para que no suponga un incorrecto ejercicio de discrecionalidad y la aplicación de tales criterios debe encontrarse motivada en la actuación con el fin de que se puedan éstos verificar y tener claridad de la aplicabilidad de la sanción impuesta.

Revisada la sanción objeto de este recurso podemos presumir dada la cuantía que al efectuar la graduación de la multa el despacho partió del tope máximo para rebajarla hasta la cuantía fijada. Pero como ya ha quedado evidenciado en aplicación de los criterios fijados por la Corte Constitucional está claro que la forma de aplicarla debía ser la contraria, esto es, partir del tope mínimo y de ahí en aplicación de las circunstancias o criterios de graduación ir aumentando la cuantía, atendiendo a este procedimiento y considerando que se trato (sic) de una situación de carácter particular y concreto respecto de la quejosa tenemos que la multa en la presente actuación debía ser lo más cercana al tope mínimo posible.

Además de la aplicación de estos criterios, que llevarían una considerable reducción de la sanción impuesta, vale la pena que el despacho al revisar la graduación de la sanción tenga en cuenta otros criterios que respecto de la proporcionalidad de la sanción ha fijado la honorable Corte Constitucional; en así como mediante sentencia C-125/2003la corte indicó: "en cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad". Y en sentencia C-181/2002 expresó: "Con todo, de acuerdo con lo que se ha dicho, el operador jurídico debe abstenerse de proceder arbitrariamente y en cambio está obligado a ponderar las condiciones particulares de la falta para determinar la proporcionalidad de la medida …".

El criterio que debe entonces tener en cuenta el despacho al momento de resolver este recurso y revisar la sanción impuesta no es el de ver el tope máximo para señalar que la cuantía impuesta es inferior a la sanción permitida por el régimen, lo que debe tener en cuenta no es el límite máximo de su potestad sancionatoria sino las circunstancias reales y particulares de los hechos investigados, debiendo dar aplicación a los criterios de graduación consagrados en la ley, (…) De esta forma no solo indicando su aplicación como se hizo en la resolución objeto de este recurso sino dando efectiva aplicación a cada uno de esos criterios y teniendo en cuenta que el punto de partida para la aplicación de la sanción debe ser el tope mínimo y no el máximo la cuantía que debe arrojar necesariamente debe ser una notablemente inferior a la impuesta a mi representada, pues a ello llevaría la aplicación de estos criterios siguiendo el orden de graduación dispuesto por el legislador según las reglas ya expuestas.

En este punto vale la pena resaltar que ha señalado además el despacho en la resolución objeto del recurso lo siguiente: “Por la cual se resuelve un recurso de apelación” “Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección.” Vale la pena indicar que esta manifestación del despacho evidencia una equivocada interpretación de la norma pues pareciera entender que los criterios fijados por el legislador solo tienen la calidad de agravantes cuando lo cierto es que los mismos han sido calificados por el legislador con la doble condición de agravantes y atenuantes resultando los mismos siempre aplicables dependiendo de las circunstancias del caso ya sea para gravar o reducir la sanción impuesta.

Veamos la aplicación entonces de estos criterios al caso concreto: Afectación al bien jurídico tutelado: como se ha indicado los hechos objeto de la denuncia obedecieron a una situación de carácter particular y concreto respecto de la quejosa por lo que este criterio deberá ser aplicado como atenuante, además de que se han adoptado todas las medidas consagradas en el régimen y muchas más que se han reportado como las medidas de cumplimiento del principio de responsabilidad demostrada o accountability que acreditan la responsabilidad de mi representada y su compromiso en la protección del bien jurídico tutelado.

Beneficio económico obtenido: en lo que se refiere al beneficio económico como el despacho lo ha reconocido no se obtuvo beneficio alguno, por lo que esta causal debe ser aplicada como atenuante. Reincidencia en la conducta: además de que el mismo despacho reconoce que no se presentó mi representada cuenta con un sistema integral de protección de datos personales que hace que cada día se adopten más y mejores mecanismos para la garantía de los derechos de los titulares de los datos, razón por la cual esta circunstancia debe ser aplicada como atenuante en favor de mi representada.

Resistencia, negativa u obstrucción de la investigación: señala el despacho frente a este criterio “no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia” y en efecto mi mandante siempre se ha mostrado dispuesta a colaborar con la entidad y a suministrar toda la información que le sea requerida, además como se ha acreditado y reconocido por el despacho la investigada procedió a aceptar los cargos y además previo a ello adopto las medidas correctivas procedentes en aplicación del sistema integral de tratamiento de datos implementado, por lo que este criterio le debe ser aplicado como atenuante.

Renuencia o desacato a cumplir las ordenes (sic) impartidas: desde un inicio de la investigación se manifestó al ente investigador la disposición para implementar todas aquellas medidas que la entidad considerara necesarias para el cumplimiento de las obligaciones derivadas del régimen legal, al respecto incluso señala el despacho: “no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección”, siendo entonces esta otra causal que le deberá ser aplicada de forma favorable.

Aceptación expresa de la infracción: Finalmente en lo que a este criterio se refiere debe indicarse que la investigada además de haber estado presta a colaborar con el despacho reconoció su error no solo en el curso de la investigación sino además habiendo adoptado previo a los descargos las medidas correctivas del caso. Por otro lado y haciendo un estudio de los casos que este despacho ha investigado por conductas y decidido, relacionados con el régimen de datos personales, tenemos que se ha aplicado sanciones mucho más bajas que la aquí impuesta a mi mandante, incluso frente a afectaciones reales a los titulares y por afectaciones y violación a los derechos de un universo de personas en hechos de una gravedad notable, lo que evidencia la falta de proporcionalidad en la sanción impuesta a mi representada.

Es así como mediante resolución27650 de 2015 esa delegatura frente a la publicación en una pieza publicitaria del numero (sic) celular sin autorización del titular del dato por parte de Colombia Telecomunicaciones SA ESP quien distribuyó esta información en 700.000 mil copias decidió: “Imponer una sanción pecuniaria a la sociedad Colombia Telecomunicaciones S.A ESP identificada con el Nit (…) de seis millones cuatroscientos (sic) cuarenta y tres mil quinientos pesos ml (…) De igual manera mediante resolución 13681 de 2016 y frente al tratamiento de datos de carácter sensible pues estaban referidos a al goce efectivo de sus derechos políticos y a su opinión política, y sin contar con la autorización de los titulares para ello el responsable de los datos los divulgó a través de internet, la (…) Imponer una sanción a XXXX XXXXX XXXX XXXXXXX identificado con la cedula de ciudadanía (…) de SEIS MILLONES OCHOSCIENTOS NOVENTA Y CUATRO MIL QUINIENTOS CINCUENTA PESOS ML (…) “Por la cual se resuelve un recurso de apelación” En otro proceso mediante resolución 13790 de 2016, en el que el responsable de la información, sin contar con autorización para ello compartió con otros titulares los correos electrónicos sin ninguna medida de seguridad y allí la superintendencia decidió: Imponer al señor XXXXXX XXXXXXX XXXXXX XXXXX identificado con (…) de DIEZ MILLONES TRESCIENTOS CUARENTA Y UN MIL OCHOSCIENTOS VIENTICINCO PESOS (…) Mediante resolución 15339 de 2016, en el que el responsable de la información, sin contar con autorización para ello permitió el acceso a 2 millones de correos electrónicos sin ninguna medida de seguridad y allí la superintendencia decidió: Imponer al señor XXXX XXXXXXX XXXXXXX identificado con (…) de SEIS MILLONES OCHOSCIENTOS NOVENTA Y CUATRO MIL QUINIENTOS CINCUENTA PESOS ML (…) equivalente a DIEZ (10) salarios mínimos mensuales vigentes.” Como puede verse en estos casos en los que efectivamente se generó una afectación a una pluralidad de titulares, y en los que resultaba evidente el desconocimiento el régimen legal, en los que se violaron medidas de seguridad, y no existió un actuar diligente por parte del investigado, la Superintendencia decidió imponer sanciones notablemente menores que la que ha sido impuesta a mi representada quién contrario a las allí sancionadas ha demostrado ser respetuosa del régimen legal y de los derechos de los titulares de la información, y quien ha acreditado un actuar diligente y cuidadoso frente al régimen y una preocupación constante por la implementación de los deberes en la materia así como un mejoramiento continúo en el sistema para dar pleno cumplimiento al principio de responsabilidad demostrada, hecho este que evidencia la falta de proporcionalidad de la sanción que le ha sido impuesta.

En sentencia C-250 de 2012 la Corte Constitucional haciendo referencia al principio de igualdad, expuso: “Del principio de igualdad pueden a su vez ser descompuestos en cuatro mandatos: (i) un mandato de trato idéntico a destinatarios que se encuentren en circunstancias idénticas, (ii) un mandato de trato enteramente diferenciado a destinatarios cuyas situaciones no comparten ningún elemento en común, (iii) un mandato de trato paritario a destinatarios cuyas situaciones presenten similitudes y diferencias, pero las similitudes sean más relevantes a pesar de las diferencias y, (iv) un mandato de trato diferenciado a destinatarios que se encuentren también en una posición en parte similar y en parte diversa, pero en cuyo caso las diferencias sean más relevantes que las similitudes.

Estos cuatro contenidos tienen sustento en el artículo 13 constitucional, pues mientras el inciso primero del citado precepto señala la igualdad de protección, de trato y en el goce de derechos, libertades y oportunidades, al igual que la prohibición de discriminación; los incisos segundo y tercero contienen mandatos específicos de trato diferenciado a favor de ciertos grupos marginados, discriminados o especialmente vulnerables.” De igual manera en sentencia T-334 de 1998, la Corte Constitucional en cuanto a la observancia del principio de igualdad manifestó: “La observancia del principio en manera alguna implica que todas las decisiones de la administración en la aplicación de una norma deban ser necesariamente iguales; pues el dinamismo de los hechos y variedad de situaciones que sirven de sustento a la subsunción de las hipótesis legales puede dar lugar a diversos puntos de vista en la definición de la situación concreta.

Es más, puede existir divergencia de interpretación en las normas por los distintos funcionarios encargados de ejecutarlas; inclusive el funcionario puede variar su criterio sobre la forma en que ha venido interpretando una determinada disposición. En consecuencia, lo que importa, con miras a asegurar la vigencia del principio, es que las interpretaciones que se apartan de un precedente administrativo se justifiquen en forma razonada y suficiente para que el trato diferente sea legítimo.” (Negrillas y subrayas fuera de texto).

Pese a la claridad del pronunciamiento de la Corte y como quiera que frente a comportamientos realmente graves con afectación de un numero (sic) importante de titulares, en un caso de ellos más de 2.000, en otro de ellos mediante la divulgación de los datos de un titular en 700.000 copias de una pieza publicitaria, habiendo sido impuestas sanciones en cuantías notablemente inferiores de la impuesta a mi representada quien ha obrado de forma diligente, cuidadosa del cumplimiento de los deberes consagrados en el régimen, y siempre protectora de los derechos de los titulares, y en un caso donde resulta cuestionable la comisión de la infracción pues ella se deriva no del hecho sino de la valoración probatoria pues se ha acreditado la adopción de todas las medidas para contar con la autorización para el tratamiento de los dato obtenidos con anterioridad a la entrada en vigencia de la norma, sin embargo el despacho ha considerado que estas pruebas no son suficientes pues señala que no demuestran el recibo del correo por parte del quejoso; de esta forma terminó siendo impuesta a mi mandante una cuantía notablemente mayor que las impuestas a otros sancionados frente a verdaderas infracciones al régimen y reales afectaciones al bien jurídico tutelado, de esta forma y ante esta situación debió el despacho justificar de forma razonada y suficiente el trato diferente con mi mandante, mas aún en el presente caso donde como se evidenció los criterios de graduación se cumplían de forma favorable a mi representada mientras que en los casos de sanciones menores dichos criterios no aplicaban, habiendo sido impuestas sanciones mucho menores que la impuesta a mi representada.

Con esto se evidencia no solo una vulneración al principio de igualdad y de legalidad de acuerdo a lo expuesto a lo largo de este escrito, sino también al principio de proporcionalidad, por lo que con el mayor respeto solicito al despacho la revisión de la decisión objeto de este recurso. “Por la cual se resuelve un recurso de apelación” PETICIÓN. Con fundamente en todo lo anterior expuesto, como quiera que se acredito el cumplimiento de las medidas para el cumplimiento del principio de responsabilidad demostrada, que se prestó colaboración a la autoridad y se manifestó voluntad de adoptar las medidas que se consideraran convenientes solicito muy respetuosamente a su Despacho se sirva REVOCAR la Resolución objeto del presente recurso y en su lugar se proceda al archivo de la investigación. En caso contrario, y en subsidio de la anterior petición, solicito muy atentamente a su Despacho reducir la sanción impuesta a mi representada en consideración al Principio de Proporcionalidad de la Sanción antes mencionado, todo de conformidad con las razones expuestas en el presente escrito.

TERCERO. De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO:

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE PROTECCIÓN DE DATOS PERSONALES. DELEGADO PARA LA El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (Modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo”.

2. ACCESO AL EXPEDIENTE DIGITAL. Indicó la RECURRENTE en su escrito lo siguiente: “En primer lugar resulta necesario llamar la atención del despacho frente a la violación a mi representada del derecho de defensa y acceso a la información y es que como se indicó en el escrito de descargos pese a haber solicitado el acceso al expediente -incluso con anterioridad al momento de la formulación del pliego de cargos- el mismo no ha sido concedido, razón por la cual no había sido posible para mi representada ni para la suscrita verificar la información aportada por la quejosa, pues la misma no fue entregada a la investigada al momento de la formulación del requerimiento de información previo a la apertura formal de la investigación administrativa” Conforme a lo anterior, este Despacho procedió a verificar el Sistema de Trámites de la Entidad, encontrando que efectivamente mediante los Oficios 20-464906-06 del 22 de febrero de 2021, 20464906-07 del 24 de febrero de 2021 y 20-464906-08 del 24 de febrero de 2021, INVERSIONES JALBOR solicitó a esta Superintendencia el ingreso al expediente digital, con el fin de ejercer su derecho a la defensa.

Como respuesta a las anteriores solicitudes la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas mediante el oficio No. 20-464906-10 del 4 de marzo de 2021, dio respuesta a las citadas solicitudes, indicándole a la sociedad investigada los pasos que debía seguir para ingresar al Sistema y así verificar el expediente. 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

“Por la cual se resuelve un recurso de apelación” Posteriormente, mediante oficio No. 21-225654 del 3 de junio de 2021, INVERSIONES JALBOR solicita nuevamente el acceso al expediente digital No. 20-464906. Como respuesta, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas, mediante comunicación 20-464906-22 del 21 de junio de 2021, le informa que se ha habilitado su ingreso en el sistema.

Así: De conformidad con lo anteriormente indicado, encuentra el Despacho que, en dos oportunidades se concedió acceso al expediente digital, por lo que, contrario a lo argumentado en el escrito de apelación, esta Superintendencia no vulneró el derecho de defensa de la sociedad investigada.

3. DEL DEBER DE SOLICITAR Y CONSERVAR LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR. El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. En desarrollo de lo anterior, el literal b) del artículo 17 la Ley 1581 de 2012 le impone a los Responsables del Tratamiento de Datos Personales el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

Respecto de la autorización para el tratamiento de datos personales, el artículo 9 de la mencionada Ley, dispone: ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: “Por la cual se resuelve un recurso de apelación” “Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.1 Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los titulares de datos personales para el Tratamiento de los mismos”. Frente a las citadas normas, sostuvo la RECURRENTE que, en el caso particular de su representada no es posible la aplicación de las mismas, teniendo en cuenta que el hecho que generó la misma, ocurrió en el año 2010.

Sobre este punto, en el escrito de apelación, indicó la RECURRENTE lo siguiente: “Resulta necesario en este punto resaltar el hecho de que la relación comercial entre mi representada y la quejosa data de los años 2009 y 2010, siendo el 2010 el año al que corresponde la obligación objeto de cobro a la denunciante, lo anterior resulta de la mayor relevancia para los hechos de esta investigación, pues no puede perderse de vista el hecho de que las autorizaciones otorgadas por la quejosa y respecto de las cuales se tiene el registro expreso -como lo solicitó el despacho desde el requerimiento de información- son anteriores a la expedición y entrada en vigencia de la ley 1581 de 2012 por lo que no es dable exigir que las mismas cuenten con unos requisitos inexistentes al momento de su otorgamiento, además y como se indicó en el escrito de respuesta al requerimiento del despacho, dichas autorizaciones fueron otorgadas a la luz de la ley 1266 de 2008”.

Pues bien, de la queja presentada por la señora Xxxxx Xxxxxxxxx Xxxxxxx Xxxxxxx, contra INVERSIONES JALBOR, se extrae lo siguiente: “me gustaría saber donde puedo imponer un derecho de petición a la empresa INVERSIONES JALBOR S A (…) la cual me ha perjudicado a nivel laboral, porque enviaron una carta de demanda a la empresa para la cual trabajo y debido es muy posible que terminen contrato en cualquier momento, Según tengo entendido ese tipo de correspondencia debe ser enviada a m domicilio no a la empresa, porque en ese caso violaron la ley de protección de datos (Ley 1581 de 2012) (Ley Estatutaria No. 184 de 2010), como es posible que investiguen a tal punto de enviar cartas demandas a mi lugar de trabajo”.

Frente a la citada queja, la Representante Legal de INVERSIONES JALBOR, mediante Oficio No. 20-464906-09 de fecha 26 de febrero de 2021, informó a esta Superintendencia lo siguiente: “De la relación con la quejosa y las acciones adoptadas por la compañía: El día 20 de Septiembre del año 2010, la señora XXXXX XXXXXXXXX XXXXXXX, retiró bajo la modalidad de venta a plazos, en nuestra tienda FULL HOGAR un equipo celular Marca Ericson Referencia W380 por valor de $768.400, habiendo sido concedido un plazo para pago mediante 17 cuotas quincenales.

Como Respaldo de la obligación pendiente de pago, la señora Xxxxxx en conjunto con un codeudor, suscribió pagaré y carta de recibo del producto, documentos estos que cuentan con la correspondiente autorización para consulta y reporte a centrales. Que como puede verse, el texto de la autorización para la consulta y reporte a centrales de riesgos se encuentra contenido en ambos documentos en los siguientes términos: Pagaré: “Autorizo expresamente a Inversiones Jalbor SAS para que la información suministrada en el presente documento, que tiene carácter estrictamente personal y comercial, sea consultado y verificado con terceras personas incluyendo los bancos de datos.

Igualmente para que la misma sea usada y puesta en circulación con fines estrictamente comerciales. También autorizo expresamente para que en el caso de incumplimiento de la(s) obligación(es), sea reportado al banco de datos de FENALCO (Procrédito) o cualquier otro.” Carta de recibo del bien: “7. En nuestra condición de DEUDOR y CODEUDOR autorizamos al ALMACEN FULL HOGAR, para que con fines estadísticos y comerciales consulte, reporte e informe nuestro comportamiento comercial, hábitos de pago, manejo de crédito, saldo de mis obligaciones y tiempo de mora, a quienes tuvieran interés legítimo en ella. 8.

En caso de atraso injustificado en el pago de las cuotas somos consientes (sic) del cobro de intereses de mora que debe realizar el almacén.” “Por la cual se resuelve un recurso de apelación” Como quiera que tanto la quejosa como su codeudor, incumplieron en la obligación de pago del precio pactado por el equipo ya identificado, razón por la cual la compañía que represento inició las gestiones necesarias para el cobro de la ya mencionada obligación. Es importante en este caso entonces aclarar al despacho, que como se muestra con los documentos que se adjuntan con este escrito, el tratamiento que se ha dado a los datos de la quejosa lo ha sido en virtud de la obligación de crédito o deuda adquirida con la sociedad que represento y en aplicación de la ley 1266 de 2008 (…) Sin perjuicio de lo indicado respecto de la ley 1266 de 2008, es importante en todo caso indicarle al despacho que la sociedad que represento cuenta con un sistema integral para el tratamiento de los datos personales a su cargo, sistema que ha sido implementado con el fin de dar cumplimiento a las obligaciones propias del régimen de protección de datos personales, los derechos de los titulares y para asegurar el cumplimiento del principio de responsabilidad demostrada.

Lo anterior resulta de la mayor relevancia para los hechos objeto de esta denuncia pues recibida la misma -como quiera que la quejosa no ha formulado derecho de petición, reclamo o solicitud alguna a la sociedad- ya que una vez recibido este requerimiento se procedió de forma inmediata a verificar los hechos objeto de la denuncia, habiendo podido identificar que lo sucedido respecto de la quejosa ocurrió en el proceso de cobro de la obligación ya señalada.

(destacamos) Tal y como se muestra con los documentos que se aportan con este escrito, con el fin de que el cupo le fuera otorgado el cupo (sic), la solicitante suministró a la compañía su información personal incluyendo, además de las referencias personales y comerciales, la información relativa a su lugar de trabajo, esta misma información por su parte fue suministrada por su codeudor XXXXXXXXX XXXX XXXXXXX; con el fin de obtener el pago de la obligación insoluta y con una elevada mora, el personal de cartera en atención a que la quejosa no cumplió con su obligación de pago y no daba respuesta a los llamados de la sociedad, procedió como en efecto podía hacerlo a requerir el pago de su deudor solidario, en este contacto el deudor solidario informó al personal de cartera que suministraría los datos actualizados de la quejosa a fin de que la misma fuera contactada para el proceso de pago, fue así como indicó que la misma trabajaba en coordiutil, como quiera que se trata de una empresa cuya información se encuentra publicada en redes sociales, el personal de cartera procedió a comunicarse con dicha compañía con el fin de localizar allí a la deudora”.

(Destacamos) De conformidad con lo anteriormente indicado, encuentra el Despacho, que, si bien es cierto existe una autorización para el tratamiento de datos personales otorgada por parte de la quejosa, ésta únicamente hace relación al dato financiero de acuerdo con el objeto y ámbito de aplicación de la Ley 1266 de 2008. Ahora, debe tener en cuenta la RECURRENTE que, para el momento en que se realizó la primera gestión de cobro (2020), INVERSIONES JALBOR debía contar con la autorización de que trata la Ley 1581 de 2012, en la medida que para ese momento ya se encontraba vigente la norma.

Efectivamente, INVERSIONES JALBOR, en su calidad de Responsable 3, de conformidad con lo establecido en el artículo 28 de la Ley 1581 de 20124, debió adecuar todos sus procedimientos referentes al tratamiento de datos personales a la citada norma, por lo que, para los efectos de realizar la gestión de cobro, como se dijo, debía contar con la respectiva autorización. Así las cosas, y en la medida que los argumentos presentados no están llamados a prosperar, este Despacho procederá a confirmar la sanción impuesta.

4. DEL DEBER DE INFORMAR AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA. Establece el literal c) del artículo 17 de la Ley 1581 de 2012, lo siguiente:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

Así mismo, el artículo 12 de la misma norma, indica: 3 El literal e) del artículo 3 de la Ley 1581 de 2012, define al Responsable de Tratamiento de Datos Personales así: e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; 4 ARTÍCULO

28. RÉGIMEN DE TRANSICIÓN. Las personas que a la fecha de entrada en vigencia de la presente ley ejerzan alguna de las actividades acá reguladas tendrán un plazo de hasta seis (6) meses para adecuarse a las disposiciones contempladas en esta ley. “Por la cual se resuelve un recurso de apelación” “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. A su vez, el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, establece: “Artículo 2.2.22.25.2.1. Recolección de los datos Personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la Ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimiento usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. (destacamos) En relación el principio de finalidad, la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó: “Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.

La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas.

En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado.

En la Sentencia C-1011 de 2008[228]5, la Corporación reiteró la importancia de la existencia de unos criterios razonables sobre la permanencia de datos personales en fuentes de información. Además, sostuvo que este periodo se encuentra en una estrecha relación con la finalidad que pretende cumplir. Así, a partir del estudio de la jurisprudencia, construyó una doctrina constitucional comprehensiva sobre la caducidad del dato negativo en materia financiera y concluyó que dentro de las prerrogativas mismas del derecho al habeas data, se encuentra esta garantía, como una consecuencia del derecho al olvido.

Sobre el particular observó la providencia: “De acuerdo con lo señalado en el artículo 15 Superior, la Corte identifica como facultades que conforman el contenido del derecho al hábeas data, las de (i) conocer la información personal contenida en las bases de datos, (ii) solicitar la actualización de dicha información a través de la inclusión de nuevos datos y (iii) requerir la rectificación de la información no ajustada a la realidad.

Junto con las prerrogativas expuestas, la Corte, habida cuenta los precedentes jurisprudenciales anteriores que señalaban la necesidad de establecer un límite al reporte 5[228] M.P. Jaime Córdoba Triviño “Por la cual se resuelve un recurso de apelación” financiero negativo, estableció un nuevo componente del derecho al hábeas data, la de la caducidad del dato negativo.” (…) La Corte reitera que los procesos de administración de datos personales de contenido crediticio cumplen un propósito específico: ofrecer a las entidades que ejercen actividades de intermediación financiera y, en general, a los sujetos que concurren al mercado, información relacionada con el grado de cumplimiento de las obligaciones suscritas por el sujeto concernido, en tanto herramienta importante para adoptar decisiones sobre la suscripción de contratos comerciales y de crédito con clientes potenciales.

Esta actividad es compatible con los postulados superiores, pues cumple con propósitos legítimos desde la perspectiva constitucional, como son la estabilidad financiera, la confianza en el sistema de crédito y la protección del ahorro público administrado por los establecimientos bancarios y de crédito. Es precisamente la comprobación acerca de la finalidad específica que tienen los operadores de información financiera y crediticia la que, a su vez, permite determinar los límites al ejercicio de las actividades de acopio, tratamiento y divulgación de datos.” (Resaltado fuera del texto) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos.

En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos”. Así las cosas, sólo podrá ser recolectada aquella información que sea imprescindible para cumplir con la finalidad del tratamiento, la cual deberá ser informada de manera clara y expresa al titular de la información al momento en que es otorgada la autorización. En este orden de ideas, los deberes de solicitar la autorización previa al tratamiento de los datos y el de informar la finalidad para la cual son recolectados, se encuentran estrechamente relacionados, en la medida que el titular autoriza el tratamiento de su información de acuerdo con la finalidad que se le vaya a dar a la misma.

Al mismo tiempo deberá informársele al titular respecto de los derechos que le asisten. Al no existir una prueba con la que pueda este Despacho determinar que INVERSIONES JALBOR haya obtenido la autorización previa y en consecuencia informado sobre la finalidad por la cual fue otorgada, se confirmará la sanción impuesta.

5. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”19. Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 6, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “Potestad sancionatoria”, la Corte Constitucional ha señalado: 6 ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

“Por la cual se resuelve un recurso de apelación” “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.”7 En el mismo sentido, y en relación con los principios8 señalados, dicha corporación por medio de la Sentencia C-948 de 2002 manifestó: “En la doctrina[36]9se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta[37] 10 ), de proporcionalidad o el denominado non bis in ídem”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”11. Por lo tanto, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal.

En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”12.

Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia C – 748 de 2011 sostuvo: 7 Corte Constitucional. Sentencia C-748 de 2011 8 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 9 [36] Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 10 [37] Ver Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. 11 [203] Sentencia C-406 de 2004. 12 Sentencias C-827 de 2001 y C-343 de 2006. “Por la cual se resuelve un recurso de apelación” “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

(Negrilla fuera de texto) Se concluye entonces que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del Tratamiento de la información. Así las cosas, en el caso bajo estudio, se dan los presupuestos requeridos para determinar que la conducta desplegada por INVERSIONES JALBOR vulneró las normas de protección del derecho de habeas data relacionadas con los deberes de solicitar la autorización e informar sobre la finalidad de la recolección de la información. Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 constitucional13.. Esos criterios, según la Sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f).

Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de Datos personales debe analizar los criterios de graduación que sean pertinentes o, como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se usan en el caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.

Es necesario igualmente precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada ley14.

Ese efecto negativo tiene como finalidad no solo sancionar por violar las leyes sino promover y garantizar el cumplimiento del 13 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 14 El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.

(negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.

En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) “Por la cual se resuelve un recurso de apelación” Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental a la Protección de Datos Personales, entre otros15.

Frente a la aplicación del literal f) del artículo 24 de la Ley 1581 de 2012, indicó la Dirección de Investigación de Protección de Datos Personales lo siguiente: “Como se ha expuesto la sociedad INVERSIONES JALBOR S.A.S., infringió los siguientes deberes que le asisten en calidad de Responsable del tratamiento de datos en virtud de la Ley Estatutaria: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, al no conservar la autorización previa otorgada por la Titular en los términos exigidos por la ley 1581 de 2012.

En consecuencia, se impondrá una sanción pecuniaria de VENTICUATRO MILLONES NOVECIENTOS SETENTA Y NUEVE MILLONES (SIC) NOVECIENTOS CUATRO MIL (SIC) PESOS M/CTE ($ 24.979.904) equivalente a SEISCIENTOS OCHENTA Y OCHO (688) Unidades de Valor Tributario vigentes. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, al no haber informado a la Titular la finalidad del tratamiento de los datos recolectados.

En consecuencia, se impondrá una sanción pecuniaria de VENTICUATRO MILLONES NOVECIENTOS SETENTA Y NUEVE MILLONES (SIC) NOVECIENTOS CUATRO MIL (SIC) PESOS M/CTE ($ 24.979.904) equivalente a SEISCIENTOS OCHENTA Y OCHO (688) Unidades de Valor Tributario vigentes. 13.1.2 El reconocimiento o aceptación de la comisión de la infracción: El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada, en su comunicación del 24 de mayo de 2021, reconoció la comisión de infracción al deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015., indicando expresamente En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el cargo primero por la vulneración al deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. en (685 UVT), por lo cual la sanción quedará en un total de (344) unidades de valor tributario vigentes”.

Conforme a lo anterior, frente a los argumentos presentados por parte de la RECURRENTE, la Dirección de Investigación de Protección de Datos Personales, da aplicación al citado literal f), disminuyendo de 685 a 344 Unidades de Valor Tributario impuestas por la vulneración de cada uno de los deberes relacionados. Aspecto sobre el cual este Despacho no tiene objeción alguna.

La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de Datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el en el artículo 15 de la Constitución Política Nacional, y que, en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana; el buen nombre; la intimidad; etc.

Del mismo modo, la vulneración del Derecho Fundamental a la Protección de Datos Personales no solo afecta los derechos de una persona en particular, sino que, pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad. De conformidad con lo indicado, las sanciones impuestas son proporcionales si se tiene en cuenta que el monto límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes.

Para el caso concreto, la multa impuesta a INVERSIONES JALBOR corresponde al 2.06% del citado límite. 15 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de apelación” Finalmente, resulta pertinente resaltar lo siguiente: a) La multa de $37.469.856, equivale al 2.06% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). b) El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. c) La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. d) Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales.

Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. e) La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia17. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

6. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES Y “COMPLIANCE” EN EL La regulación colombiana le impone al Responsable del Tratamiento la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”18.

Adicionalmente, los Responsables o Encargados del Tratamiento no son dueños de los Datos personales que reposan en sus Bases de Datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los Titulares de los Datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. 16 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 18 Cfr. Corte Constitucional, sentencia T-227 de 2003 la cual se puede consultar en: “Por la cual se resuelve un recurso de apelación” El artículo 2619 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar que puso en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (Accountability)”20. El término “Accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012, son las siguientes: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –Accountability- demanda implementar acciones de diversa naturaleza 21 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. 19 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 20 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 21 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos.

“Por la cual se resuelve un recurso de apelación” En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 22.

(Destacamos). El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los Titulares de los Datos personales y su gestión siempre sea respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los anteriores aspectos mencionados en la guía23, ponemos de presente que el principio de responsabilidad demostrada se articula con el concepto de “Compliance” en la medida que este hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”24.

También se ha afirmado que “Compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”25. Adicionalmente, se precisa que ya no vale solo intentar cumplir la ley sino que las organizaciones deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de Compliance26. Por tanto, las organizaciones deben “implementar el Compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “Accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del Compliance y buena parte de lo que implica el principio de responsabilidad demostrada (Accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”27 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”28. 7.

DEL EXHORTO. En lo que tiene que ver con el EXHORTO, éste se configura como una invitación a que, se realicen las actividades necesarias para que se adopten medidas efectivas para prevenir el incumplimiento de la Ley 1266 de 2008. En efecto, exhortar significa “incitar a alguien con palabras a que haga o deje de hacer algo” 29. Así las cosas, el exhorto no es una orden ni una sanción, sino una cordial y respetuosa sugerencia para que una persona voluntariamente proceda de determinada manera o se abstenga de hacer algo. 22 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “Accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 23 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 24 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) 25 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de Compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 26 Idem 27 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

Págs 16-18 28 Ibid. P 16 29 Cfr. Real Academia Española (RAE). Diccionario de la lengua española: https://dle.rae.es/exhortar (Última consulta: 16/XII/2019) “Por la cual se resuelve un recurso de apelación” Dado lo anterior, el exhorto no solo se ajusta a la ley, sino que es consistente con la Constitución. 8. CONCLUSIÓN. Sin perjuicio de lo establecido, se accederá a las pretensiones de la RECURRENTE, por, entre otras, las siguientes razones: 1.

La sociedad INVERSIONES JALBOR infringió las normas sobre protección de datos personales señaladas en el acto administrativo recurrido, en su calidad de Responsable. 2. En la presente actuación administrativa, si bien es cierto existe una autorización para el tratamiento de datos personales otorgada por la quejosa, ésta únicamente hace relación al dato financiero de acuerdo con el objeto y ámbito de aplicación de la Ley 1266 de 2008. 3.

Para el momento en que se realizó la primera gestión de cobro (2020), INVERSIONES JALBOR debía contar con la autorización de que trata la Ley 1581 de 2012, en la medida que para ese momento ya se encontraba vigente la norma. 4. Efectivamente, INVERSIONES JALBOR, en su calidad de Responsable, de conformidad con lo establecido en el artículo 28 de la Ley 1581 de 2012, debió adecuar todos sus procedimientos referentes al tratamiento de datos personales a la citada norma, por lo que, para los efectos de realizar la gestión de cobro, debía contar con la respectiva autorización. 5.

La Dirección de Investigación de Protección de Datos Personales, dio aplicación al literal f) del artículo 24 de la Ley 1581 de 2012., en la medida que la sociedad investigada aceptó la comisión de la falta. 6. La multa impuesta mediante la Resolución No. 78282 del 30 de noviembre de 2021 ($37.469.856) equivale al 2.06% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).

De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 78282 del 30 de noviembre de 2021. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR la Resolución No. 78282 del 30 de noviembre de 2021, de conformidad con lo establecido en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad INVERSIONES JALBOR S.A.S., identificada con Nit. 811.043.214-6 a través de su representante legal o apoderado o quien haga sus veces, en calidad de investigada, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO: COMUNICAR la presente decisión a la señora XXXXX XXXXXXXXX XXXxxXXXX, identificada con la cédula de ciudadanía No. x.xxx.xxx.xxx, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO: INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., agosto 9 de 2022 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), Firmado digitalmente por CRISTINA CRISTINA RODRIGUEZ CORZO 2022.08.09 15:24:20 RODRIGUEZ CORZO Fecha: -05'00' CRISTINA RODRÍGUEZ CORZO NTL “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: INVERSIONES JALBOR S.A.S. Nit. 811.043.214-6 ANDREA BUILES ORTEGA C.C. 43.869.019 Calle 50 No. 53 – 65 Medellín (Antioquia) contabilidad1@fullhogar.com.co Apoderada Especial: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo Electrónico: XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX COMUNICACIÓN: Titular de la Información: Señor: Identificación: Dirección: Ciudad: Correo Electrónico: XXXXX XXXXXXxxxxXXX XXXXXXX C.C. X.XXX.XXX.XXX Xxxxx xx No. xxX – xx Xxxxxxxx (Xxxxxxxxx) xxxxxxxxxxxxxxxxxxxxx