(12 de diciembre de 2024) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicado 23-276810 VERSIÓN ÚNICA LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante Resolución No. 31242 del 17 de junio de 2024, esta Dirección de Investigaciones de Protección de Datos Personales resolvió: “(…)
ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, de OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860) por la vulneración al deber establecido en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
(…)”.
SEGUNDO: Que, la Resolución No. 31242 del 17 de junio de 2024 se notificó por medio de Aviso No. 11579 del 26 de junio de 2024 a la sociedad REFINANCIA S.A.S., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-276810-25 del 3 de julio de 2024.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 23-276810-26 del 10 de julio de 2024, la sociedad REFINANCIA S.A.S. interpuso recurso de reposición y en subsidio de apelación, junto con anexos, junto con anexos, en contra de la Resolución No. 31242 del 17 de junio de 2024, con fundamento en los siguientes motivos de inconformidad: “(…) 4.
FUNDAMENTOS DEL RECURSO PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA (…) En consecuencia, Refinancia SAS, adopto (sic) una serie de medidas desarrollas dentro de un plan de supervisión y revisión anual teniendo en cuenta las siguientes etapas: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” a). Fase de diagnóstico: apara (sic) el año 2021, nuestra entidad y a partir de de (sic) la orden administrativa indicada por este Ente de Control respecto de la queja de la señora (…) evaluó el estado de cumplimiento en el que se encontraba en materia de asegurar la rectificación de los datos de los titulares de la eliminacion (sic), así como asegurar su eliminación (sic) y borrado seguro, en ese entonces, identificando: (i) debilidades identificadas en la atención de consultas y reclamaciones;
(ii) Revisión de las tendencias y obligaciones legales que surjan con ocasión a la ley1581 del 2012. b). Fase de adecuación: a través de los hallazgos registrados en los resultados de las auditorias, nuestra entidad adopto (sic) diferentes políticas y procedimientos tendientes a garantizar, (i) Autorización de los titulares de los datos para su tratamiento(ii) (sic) finalidades para el tratamiento de los datos personales(iii)una (sic) estructura segura para la rectificación, eliminación (sic) y/o borrado seguro de los datos cuyo titular no tuviese relación contractual, autorización o nos hubiese revocado la autorización para el tratamiento de sus datos personales. c).
Fase de implementación: Previa aprobación de la alta dirección de la organización se procedió a efectuar los cambios correspondientes a fin de garantizar un resguardo seguro de las autorizaciones para el tratamiento de los datos personales de los titulares de la información, así como asegurar un sistema de rectificación, eliminación (sic) o borrado seguro de los datos de los titulares de los cuales no contamos con autorización para su tratamiento. d).
Fase de revisión: A partir de los resultados obtenidos en las diferentes auditorias, se estableció un programa de revisión anual tendiente a determinar el grado de avance frente a los compromisos adquiridos por nuestra entidad en pro de la efectiva salvaguarda de una adecuada protección de los datos personales de nuestros clientes, proveedores y/o Colaboradore so (sic) terceros vinculados con nuestra entidad.
Así las cosas, es claro que Refinancia SAS adoptó un sistema de mejora continua en base a una evolución consciente frente a posibles fallas que generaran un riesgo mayor de posibles vulneraciones a los titulares de la información Crediticia de cara al correcto tratamiento, rectificación y o eliminacion (sic) de los datos personales de los titulares, para efectos de demostrar las actualizaciones y adecuaciones realizadas por nuestra entidad, procedemos a compartir las diferentes políticas adecuadas para tal fin, como lo son: • Política para el tratamiento de los datos personales. • Aviso de privacidad de los datos personales. • Manual del ciclo de vida del dato. 5.
CRITERIOS Y PROPORCIONALIDAD DE LA MULTA Al respeto es preciso indicar que la discrecionalidad es un aspecto que faculta al ente sancionador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, pero debe explicarla para que el sancionado tenga la posibilidad de controvertirla. La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad, ello desdice del Estado Social de Derecho.
(…) Conforme a lo anterior, es preciso indicar que a través de los procedimientos adecuando por nuestra entidad, constituyen una clara aplicación del Principio de responsabilidad demostrada, lo cual y la luz de los diferentes comunicados emitidos por esta superintendencia, rogamos a ustedes que ponderen dichas acciones como causal de atenuación frente a la sanción impuesta bajo los criterios de graduación de las sanciones establecidas en el artículo 19 de la Ley 1266 de 2008 (sic).
Sobre el particular y para el Proceso, es importante tener en cuenta lo siguiente: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” i. El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar: Es de aclarar que dentro de la investigación no se encontró que Refinancia hubiera obtenido beneficio económico alguno por la comisión de la supuesta infracción. En ese sentido, teniendo en cuenta que ni Refinancia ni ningún tercero obtuvieron beneficio económico alguno, el mismo se debe ser tenido en cuenta para atenuar la sanción impuesta. ii.
La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia: Frente a este criterio de graduación, se debe tener en cuenta que Refinancia se encuentra colaborando expresamente con esta Superintendencia en el presente Proceso, contestando de manera oportuna de lo cual se denota su buena fe y la ausencia de reticencia u obstrucción en la investigación por parte de Refinancia. Por lo tanto, teniendo en cuenta que, como se dijo, no hubo ningún tipo de negativa u obstrucción por parte de Refinancia en la investigación, este criterio debe ser tenido en cuenta para la atenuación de cualquier sanción que se pueda imponer a mi representada. iii.
El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento. iv.
La adopción de mecanismos y procedimientos tendientes a asegurar un adecuado cumplimiento de la norma legal que desarrollo el derecho fundamental al habeas data (Ley 1266 del 2008) (sic), en (sic) base a un adecuado desarrollo del principio de responsabilidad demostrada desplegada bajo los criterios establecidos por este Ente de Control y Vigilancia. (…)”.
En su escrito de recurso la sociedad REFINANCIA S.A.S. incluye un acápite de pretensiones y otro de solicitudes, los cuales se muestran a continuación: “2. Pretensiones PRIMERA: REPONER lo actuado y que se tenga en cuenta como causal de atenuación de la graduación de la sanción, las acciones implementadas por Refinancia SAS, bajo el despliegue del principio de responsabilidad demostrada, así como se tenga en cuenta los diferentes criterios de atenuación frente a una posible reducción de la sanción impuesta en la medida que esta sociedad no es reincidente del cargo sancionado, implemento procedimientos en pro de asegurar la correcta supresión de los datos personales, y finalmente la Compañía a (sic) presentado perdidas a nivel económico que impiden asumir una sanción de cuantía elevada que impacta directamente con poder seguir operando y brindando trabajo en Colombia.
SEGUNDA: Se gradué nuevamente la sanción interpuesta en la resolución recurrida, teniendo en cuenta como criterio de atenuación, el despliegue del principio de responsabilidad demostrada en Refinancia SAS. PRIMERA PETICIÓN SUBSIDIARIA: Se valoren las pruebas que se adjuntan al presente recurso, como medios probatorios, bajo la finalidad de demostrar la efectiva implementación del principio de responsabilidad demostrada en Refinancia SAS.
SEGUNDA PETICIÓN SUBSIDIARIA: Que se conceda el recurso de apelación en el evento en que el Recurso de Reposición interpuesto como principal sea resuelto de manera desfavorable. (…) SOLICITUDES “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 1. Se tenga en cuenta, los controles efectuados por nuestra compañía, en ocasión del principio de Accountability. y en consecuencia se incluyan como factores de atenuación de la multa. 2.
Se disminuya el valor de la sanción teniendo en cuenta que referente al asunto existen diferentes criterios de atenuación aplicables, para la lograr una disminución del valor de la sanción impuesta por esta Superintendencia. 3. Se tenga en cuenta la reducción de activos de Refinancia SAS resultado del impacto en el sector económico de la cobranza en Colombia del año 2023, lo que genera la imposibilidad de asumir la cuantía impuesta por la esta Autoridad y que impacta en la continuidad del negocio.”
CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad REFINANCIA S.A.S., este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los motivos de inconformidad expuestos por la recurrente se enmarcan en los siguientes puntos: (i) Frente al principio de responsabilidad demostrada, (ii) Frente a los criterios de graduación de las sanciones y el principio de proporcionalidad y (iii) Frente a las pretensiones y solicitudes. 5.1.
Frente al principio de responsabilidad demostrada En su escrito de recurso, la sociedad REFINANCIA S.A.S. hace alusión a los postulados de la Responsabilidad Demostrada, aseverando a ese respecto que ha venido implementando y consolidando una serie de herramientas y procedimientos para tal fin. En referencia a lo expuesto por la sociedad recurrente, conviene precisar lo siguiente: Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en el Capítulo III del Decreto 1377 del 27 de junio de 2013 incorporado en el Decreto Único 1074 de 2015, reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada, así como los artículos 2.2-2.25-6-1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implican que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica sean reales y efectivos.
Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (accountability). El término “accountability”, en sus diferentes acepciones, ha sido entendido en materia de protección de datos personales como el modo en que una organización debe cumplir, en el ejercicio práctico, las regulaciones sobre el tema, y la manera en que debe acreditar que lo puesto en práctica es útil, pertinente y eficiente.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” mismo dependerá del compromiso real de todos los miembros de una compañía. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, lleva a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas, Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006, la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo (sic) redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”. 1 El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección y garantía de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De esta manera, por iniciativa propia, adopten en la teoría y materialicen en la práctica, medidas estratégicas idóneas y suficientes, que, sometidas a procesos de evaluación permanente y mejoramiento constante, permitan garantizar: (i) los derechos de los titulares de los datos personales y (ii) una gestión respetuosa de los derechos humanos. Aunque no es la instancia para explicar nuevamente los aspectos mencionados en la Resolución 10720 del 11 de marzo de 2020 en referencia a este principio, es destacable que este se articula con el concepto de “compliance”, debido a que hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos.” 2 Precisado lo anterior, retomando el caso objeto de análisis, la sociedad REFINANCIA S.A.S. considera que este Despacho no tuvo en cuenta las acciones desarrolladas e implementadas por la compañía para garantizar el debido tratamiento de los datos personales; lo cual, a su juicio, debe repercutir en una disminución de la sanción pecuniaria impuesta por esta Dirección, mediante Resolución No. 31242 del 17 de junio de 2024.
Motivos de inconformidad que de ninguna manera desestiman el cargo único por el cual impuso una sanción pecuniaria a la sociedad REFINANCIA S.A.S., ni pueden considerarse como un criterio de atenuación de dicha sanción. En ampliación de lo anterior, conviene referirnos a al deber analizado en la parte considerativa de la Resolución No. 31242 del 17 de junio de 2024, así como a los puntos centrales de la decisión material adoptada en dicho acto administrativo, así: En relación con el cumplimiento del deber de realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012, el Despacho analizó los hechos ocurridos en el caso de la Titular y encontró que se vulneró su derecho de Habeas Data al no eliminar sus datos personales, pues la titular realizó la solicitud desde el día 4 de abril de 2019; y aun cuando la sociedad conocía esta petición, continuó realizando tratamiento sobre los datos de la titular; razón por la cual, la titular tuvo que solicitar en repetidas ocasiones que su número celular fuera eliminado de las bases de datos de la compañía. Cfr. Red Iberoamericana de Protección de Datos.
Grupo de Trabajo Temporal sobre Autorregulación y Protección de Datos Personales, del 05 de mayo de 2006. Visto en: World Comñiance Association (WCA). http://www.worldcomñianceassociation.com. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ante la renuencia continuada de la sociedad recurrente de eliminar los datos, esta Superintendencia tuvo que impartir una orden administrativa, por medio de la Resolución No. 39520 del 23 de junio de 2022, encaminada a que se eliminara el número celular de la Titular, con el fin de que no se realizara tratamiento sobre este dato.
Ahora bien, la sociedad recurrente afirma que al momento de imponer la sanción pecuniaria este Despacho no tuvo en cuenta las medidas desarrolladas e implementadas por REFINANCIA S.A.S. dentro del plan y supervisión anual. Sin embargo, pasa por alto la sociedad investigada que este Despacho sí hizo referencia a dichas medidas en la parte considerativa de la Resolución No. 31242 del 17 de junio de 2024, pues estableció claramente que, de ninguna manera se desconocen las medidas adoptadas e implementadas por parte de la sociedad con el fin de dar cumplimiento a sus deberes.
Sin embargo, deben tenerse en cuenta las siguientes cuestiones: - Las medidas y políticas mencionadas por la sociedad recurrente fueron implementadas con ocasión del incumplimiento que se presentó en el caso de la Titular; esto quiere decir que, estas medidas fueron implementadas con posterioridad a la ocurrencia de los hechos que nos competen en este caso y se efectuaron con la finalidad de dar cumplimiento a los deberes que le asisten como encargado del tratamiento. - Queda claro para este Despacho que el incumplimiento del deber de realizar oportunamente la actualización, rectificación o supresión de los datos, en los términos de la ley estatutaria y sus disposiciones reglamentarias, se configuró en la medida en que la solicitud de la titular no fue atendida, la titular insistió en su petición y, finalmente, fue hasta que esta Superintendencia impartió una orden administrativa que la sociedad recurrente procedió a eliminar el dato.
Adicionalmente, la sociedad recurrente reconoció expresamente que la vulneración al derecho de Habeas Data de la Titular sí se configuró. - La implementación de las medidas necesarias para dar cumplimiento a la Ley 1581 de 2012 y el desarrollo del principio de responsabilidad demostrada no puede ser considerada como un atenuante en la imposición de la sanción pecuniaria, como se analizará en líneas siguientes.
Así pues, independientemente de que la sociedad cuente con una serie de mecanismos adoptados e implementados en materia de datos personales; en el ejercicio práctico no acreditó, en lo corrido del trámite administrativo de la referencia, el cumplimiento del deber establecido en la Ley Estatutaria 1581 de 2012 en relación con los hechos materia de investigación. Pues, tal y como se ha expuesto, sus procedimientos y políticas internas no impidieron que la Titular se viera avocada a solicitar en repetidas ocasiones que su número celular fuera eliminado de las bases de datos de la compañía. Eliminación que finalmente se dio no precisamente por las acciones coordinadas y expeditas de la sociedad investigada, sino por la intervención de esta Superintendencia. 5.2.
Frente a los criterios de graduación de las sanciones y el principio de proporcionalidad La sociedad recurrente considera que la sanción impuesta por medio de la Resolución No. 31242 del 17 de junio de 2024 no es proporcional, solicita que se apliquen los criterios de atenuación y que la sanción sea graduada nuevamente teniendo en cuenta que se dio cumplimiento el principio de responsabilidad demostrada.
En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “(…)
OCTAVO: Imposición y graduación de la sanción (…) 8.1.1. Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012 De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infración (sic) al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de moso (sic) que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado que la sociedad REFINANCIA S.A.S. actuó negligentemente al no atender las solicitudes de eliminación de datos realizadas por la Titular (…) durante el periodo de tiempo comprendido entre el 2019 y el 2021.
Razón por la cual, tuvo que mediar una orden administrativa impartida por esta Superintendencia, para que la sociedad REFINANCIA S.A.S. procediera con la eliminación de la información de la Titular de sus bases de datos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En consecuencia, esta Dirección impondrá una multa de CIENTO SETENTA (170) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DIECINUEVE MIL SETECIENTAS VEINTE (19.720) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a DOSCIENTOS QUINCE MILLONES NOVECIENTOS CINCUENTA Y TRES MIL SETECIENTOS VEINTE PESOS M/CTE ($215.953.720), por la violación a lo dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
(…) 8.1.3. Literal f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará, respecto cargo único, toda vez que la sociedad REFINANCIA S.A.S, en su escrito de alegatos de conclusión radicado el 5 de diciembre de 2023 bajo el número 23-276810-16, reconoció la comisión de la infracción en los siguientes términos: “(…)
5. FRENTE AL UNICO CARGO Sobre la presunta vulneración en su condición de Encargado del tratamiento, del deber de garantizar el pleno y efectivo ejercicio del derecho de Habeas Data, consagrado en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem, así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 me permito manifestar lo siguiente: 6.
Allanamiento expreso En representación de Refinancia SAS me allano expresamente al CARGO ÚNICO formulado en la presente investigación realizada por esta Superintendencia. Teniendo en cuenta lo anterior, solicitamos de manera respetuosa a la Superintendencia que se tengan en cuenta los criterios de graduación de las sanciones establecidas en el artículo 24 de la Ley 1581 de 2012.
Sobre el particular y para el Proceso (sic), es importante tener en cuenta lo siguiente: (…) ii. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar: En lo que tiene que ver con este criterio, aclaramos que por parte de Refinancia efectivamente sí hubo reconocimiento en lo que tiene que ver con el allanamiento que se realiza en virtud de este documento.
(…).” En consecuencia, el valor de la multa por la vulneración al deber previsto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 inicialmente tasada se reducirá en OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860).
En conclusión de lo expuesto en el presente acápite, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de OCHENTA Y CINCO (85) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL OCHOCIENTAS “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” SESENTA (9.860) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860), por la violación a lo dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma; así como con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
(…)”. Así pues, tal como fue transcrito, se demostró a lo largo de la presente investigación de manera inequívoca la comisión de la infracción al deber dispuesto en el literal c) del artículo 18 de la Ley 1581 de 2012, en la medida en que la sociedad REFINANCIA S.A.S. actuó negligentemente al no atender la solicitud de supresión incoada por la Titular.
Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo 24 de la Ley 1581 de 2012 se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales a), b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción; mientras que el criterio relacionado en el literal f) es el único criterio atenuante establecido por la ley.
Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, estableció lo siguiente: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución. (…)”.
Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no se encontró una reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, se tiene que el mismo si fue aplicado en la graduación de la sanción, pues la sociedad REFINANCIA S.A.S. reconoció expresamente la comisión de la infracción; razón por la cual la sanción pecuniaria fue disminuida, como se estableció en la Resolución No. Resolución No. 31242 del 17 de junio de 2024.
Ahora bien, este Despacho resalta que la implementación del principio de responsabilidad demostrada no se contempla como un atenuante en la graduación de la sanción, puesto que el único criterio de atenuación se encuentra contenido en el literal f) del artículo 24 de la Ley 1581 de 2012 y este fue efectivamente aplicado en la sanción pecuniaria impuesta.
Así, en el caso particular de la sociedad investigada, se pudo determinar una sanción que se encuentra ajustada a derecho, donde se tuvo en cuenta la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” infracción al deber contemplado en el literal c) del artículo 18 de la Ley 1581 de 2012. En relación con lo anterior, la Corte Constitucional en sentencia C-699 de 2008, precisó: “(…) Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;
(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.
(…).3 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios mínimos legales mensuales vigentes, impuso como sanción, inicialmente, la suma de DOSCIENTOS QUINCE MILLONES NOVECIENTOS CINCUENTA Y TRES MIL SETECIENTOS VEINTE PESOS M/CTE ($215.953.720), equivalentes a DIECINUEVE MIL SETECIENTAS VEINTE (19.720) UNIDADES DE VALOR BÁSICO.
Sin embargo, al aplicar el criterio de atenuación dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012, la multa fue reducidas, quedando tasada en un total de CIENTO SIETE MILLONES NOVECIENTOS SETENTA Y SEIS MIL OCHOCIENTOS SESENTA PESOS M/CTE ($107.976.860), equivalentes a NUEVE MIL OCHOCIENTAS SESENTA (9.860) UNIDADES DE VALOR BÁSICO, de conformidad con lo dispuesto en el artículo 23 de la Ley 1581 de 2012, el cual establece, que: “Artículo 23.
Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; Cfr. Corte Constitucional, sentencia C-699/08, M.P. Alberto Rojas Ríos.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; (…).” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”4 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005: “(…) La proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos.
(…)”. 5 Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso donde la sociedad investigada no realizó oportunamente la actualización, rectificación o supresión en los términos de la ley, como quedó establecido anteriormente.
Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
Consejo de Estado, Sala Contenciosa Administrativa – Sección Primera, Sentencia Nº. 25000-23-24-0002005-01325-01 del 26 de noviembre de 2015, Magistrado Ponente Roberto Augusto Serrato Valdés. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en el literal c) del artículo 18 de la Ley 1581 de 2012.
Así las cosas, este Despacho confirmará la sanción pecuniaria impuesta. 5.3. Frente a las pretensiones y solicitudes En su escrito de recurso la sociedad REFINANCIA S.A.S. incluye un acápite de pretensiones y otro de solicitudes, los cuales se muestran a continuación: “2. Pretensiones PRIMERA: REPONER lo actuado y que se tenga en cuenta como causal de atenuación de la graduación de la sanción, las acciones implementadas por Refinancia SAS, bajo el despliegue del principio de responsabilidad demostrada, así como se tenga en cuenta los diferentes criterios de atenuación frente a una posible reducción de la sanción impuesta en la medida que esta sociedad no es reincidente del cargo sancionado, implemento procedimientos en pro de asegurar la correcta supresión de los datos personales, y finalmente la Compañía a (sic) presentado perdidas a nivel económico que impiden asumir una sanción de cuantía elevada que impacta directamente con poder seguir operando y brindando trabajo en Colombia.
SEGUNDA: Se gradué nuevamente la sanción interpuesta en la resolución recurrida, teniendo en cuenta como criterio de atenuación, el despliegue del principio de responsabilidad demostrada en Refinancia SAS. PRIMERA PETICIÓN SUBSIDIARIA: Se valoren las pruebas que se adjuntan al presente recurso, como medios probatorios, bajo la finalidad de demostrar la efectiva implementación del principio de responsabilidad demostrada en Refinancia SAS.
SEGUNDA PETICIÓN SUBSIDIARIA: Que se conceda el recurso de apelación en el evento en que el Recurso de Reposición interpuesto como principal sea resuelto de manera desfavorable. (…) SOLICITUDES 1. Se tenga en cuenta, los controles efectuados por nuestra compañía, en ocasión del principio de Accountability. y en consecuencia se incluyan como factores de atenuación de la multa. 2.
Se disminuya el valor de la sanción teniendo en cuenta que referente al asunto existen diferentes criterios de atenuación aplicables, para la lograr una disminución del valor de la sanción impuesta por esta Superintendencia. 3. Se tenga en cuenta la reducción de activos de Refinancia SAS resultado del impacto en el sector económico de la cobranza en Colombia del año 2023, lo que genera la imposibilidad de asumir la cuantía impuesta por la esta Autoridad y que impacta en la continuidad del negocio.” Teniendo en cuenta lo expuesto en el presente acto administrativo, esta Dirección no encuentra procedente conceder lo pretendido y solicitado por la sociedad recurrente y mantendrá el sentido material de la decisión adoptada mediante la Resolución No. 31242 del 17 de junio de 2024.
No obstante lo anterior, es menester realizar un pronunciamiento especial frente a la parte final de la primera pretensión y a la tercera solicitud, así: La potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Encargados de los Datos la mayor diligencia en su actuar.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Aunado a lo anterior, este Despacho tuvo en cuenta el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. De ahí que la sanción pecuniaria impuesta es insignificante para el tope establecido en la norma, ya que porcentualmente la sanción fue del 7,92% del rango previsto permitido por la Ley 1581 del 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada, ni compromete la continuidad de las operaciones de la sociedad REFINANCIA S.A.S. En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
SEXTO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmará la decisión material adoptada mediante la Resolución No. 31242 del 17 de junio de 2024.
SÉPTIMO: CONCLUSIONES Con fundamento en lo expuesto, se encuentra suficientemente acreditado que: - La graduación de la sanción no obedece a una decisión caprichosa de esta Dirección, sino que se realiza con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto. - El único criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012 fue aplicado en la graduación de la sanción impuesta mediante Resolución No. 31242 del 17 de junio de 2024, puesto que la sociedad reconoció la comisión de la infracción, de conformidad con los preceptos legales previstos para el efecto.
OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, con el correo electrónico de notificación judicial notificacionesjudiciales@refinancia.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 23-276810. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 31242 del 17 de junio de 2024, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2. CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3. NOTIFICAR a la sociedad REFINANCIA S.A.S., identificada con NIT. 900.060.442-3, a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 12 de diciembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.12.12 16:11:21 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: MG Revisó: MF Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: REFINANCIA S.A.S. NIT. 900.060.442-3 KENNETH MENDIWELSON VALCARCEL C.C. 79.598.884 Carrera 7 No. 32-33, piso 6 Bogotá D.C. notificacionesjudiciales@refinancia.co