(Julio 27 de 2023) “Por la cual se resuelve un recurso de apelación” VERSIÓN ÚNICA Radicación 19-78098 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, mediante Resolución No. 51177 del 1 de agosto de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra de la CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, de VEINTIDÓS MILLONES OCHOCIENTOS DOS MIL CUATROCIENTOS PESOS M/CTE ($ 22.802.400), equivalente a SEISCIENTAS (600) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención y;
(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención…” “ARTÍCULO SEGUNDO: ORDENAR a la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S., identificada con NIT 805.017.914-1, que dentro del término de los DOS (2) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones: • La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá adoptar las medidas necesarias, útiles y efectivas para garantizar que en el Tratamiento de la información de los Titulares, en particular los datos de naturaleza sensible, se garanticen los principios de acceso y circulación restringida y de seguridad, de los literales f) y g) del artículo 4 de la Ley 1581 de 2012, de manera que se evite la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de estos datos. • La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá incluir en la Política de Tratamiento de Datos Personales el correo electrónico y el número telefónico del Responsable. • La sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. deberá adoptar un manual interno que contenga las políticas y procedimientos de seguridad para prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales que están sujetos a su Tratamiento, de acuerdo con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.”
SEGUNDO. Lo anterior, en la medida en que la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S, realizó varias conductas violatorias de la Ley 1581 de 2012, entre ellas, compartió los datos personales de un titular, a un tercero no autorizado y se encontró demostrado que la misma no tenía documentada una política de seguridad; así como tampoco reportó dicho incidente de seguridad dentro del término establecido por la normatividad.
De igual manera se evidenció que la sociedad no tenía implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, especialmente los de naturaleza sensible, razón por la cual se impartieron unas órdenes.
TERCERO. Que CLÍNICA DE LA VISIÓN DEL VALLE S.A.S, a través de su apoderada (en adelante la RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 39 del radicado 19-78098 remitido el 23 de agosto de 2022. 1 la Resolución No. 51177 del 1 de agosto de 2022 fue notificada por aviso el 10 de agosto de 2022.
“Por la cual se resuelve un recurso de apelación”
CUARTO. Que, mediante Resolución No. 70161 del 7 de octubre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 51177 del 1 de agosto de 2022.
QUINTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia.
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este despacho confirmará el acto administrativo recurrido conforme a los argumentos que pasan a exponerse: 1. Respecto a la aplicación de los criterios de graduación Frente a este aspecto la recurrente se pronunció sobre cada uno de los criterios de graduación, razón por la cual se expondrá lo manifestado por la recurrente y posteriormente este Despacho procederá a pronunciarse.
Se aclara que de los seis (6) criterios establecidos en el artículo 24 de la Ley 1581 de 2012, el único criterio que la Dirección encontró aplicable fue el establecido en el literal a), es decir, que se agravó la sanción en la medida en que se encontró demostrado que hubo un daño o peligro a los intereses jurídicos tutelados. 1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados2 Al respecto la recurrente señaló que “no se presentó un daño a los intereses jurídicos de los usuarios o del usuario quejoso (…) toda vez que más allá de la queja del usuario dicho impase no fue utilizado para fines diferentes que informar al mismo usuario sobre un concepto técnico médico, que a la luz de la interpretación solamente un especialista medico puede entenderlo y explicarlo; es decir otras persona no podría interpretarlo para difamar o suponer una situación médica.” Es importante destacar que, en el ámbito del derecho sancionatorio, no es necesario que se produzca una lesión efectiva al bien jurídico tutelado para que se configure una infracción. Basta con la mera puesta en peligro o la posibilidad de causar daño para que el Estado pueda ejercer su facultad sancionatoria3.
En otras palabras, la materialización de un daño no es un requisito, sino que se debe demostrar que la infracción representó una amenaza real para el bien jurídico protegido. No obstante lo anterior, resulta relevante señalar que en el presente caso no solo se puso en peligro el derecho fundamental de habeas data de todos los titulares cuyos datos obran en custodia de la recurrente, sino que se materializó un daño al realizar tratamiento sin tener un manual interno de seguridad y no haber reportado el incidente de seguridad en el Registro Nacional de Bases de Datos (RNBD).
En este sentido, se ha comprobado que, en relación al Cargo Tercero objeto de sanción, la recurrente no contaba con una política de seguridad debidamente documentada. Este Hecho constituye una vulneración directa del derecho fundamental de habeas data de los titulares cuyos datos personales son tratados, en la medida en que la falta de documentación de las políticas de seguridad, procedimientos y procesos establecidos por la sociedad, pone en peligro la seguridad de los datos e impide cumplir de manera integral con el principio de seguridad en el tratamiento de los mismos. 2 Criterio de graduación establecido en el literal a) del artículo 24 de la Ley 1581 de 2012.
“(…) b. La conducta objeto de sanción administrativa debe ser antijurídica. Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la ‘…esencia de la infracción radica en el incumplimiento de la norma’, de allí que se sostenga que el reproche recae sobre ‘la mera conducta’.
En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) ‘la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración’.
El Consejo de Estado a través sentencia No. 20738 del 22 de octubre de 2012, Consejero Ponente Enrique Gil Botero) “Por la cual se resuelve un recurso de apelación” Asimismo, se constata que la sociedad presentó en etapa preliminar dos documentos que pretenden cumplir con la obligación mencionada: G-SI001 Guías de manejo y custodia de historias clínicas y PC-SI001 Manejo Integral de historias clínicas.
No obstante, es importante aclarar que tal como lo señaló la Dirección, dichos documentos se limitan exclusivamente al manejo de las historias clínicas, mientras que el deber en cuestión requiere la creación de un documento interno que englobe todas las medidas, políticas y procedimientos de seguridad establecidos por la sociedad, con el fin de cumplir íntegramente con el principio de seguridad, implementando tanto medidas técnicas, humanas y administrativas que sean necesarias para garantizar la protección de los datos personales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De igual manera, en relación al Cargo Cuarto, se constata y fue reconocido por la recurrente, que compartió los resultados de exámenes médicos de once (11) titulares, los cuales contenían datos personales sensibles, a un tercero no autorizado. Esta acción conllevó a la configuración de un incidente de seguridad, y en consecuencia, la sociedad estaba obligada a reportar dicho incidente en el Registro Nacional de Bases de Datos (RNBD) en un plazo máximo de quince (15) días hábiles a partir del momento en que se detectó el incidente.
Sin embargo, hasta la fecha en que se impuso la sanción, la sociedad aún no había cumplido con la obligación de reportar dicho incidente en el RNBD. De otro lado, en relación a lo manifestado por la recurrente acerca de que en el incidente no fueron compartidos los datos personales con fines distintos a informar sobre un concepto médico, el cual solo podría ser comprendido y explicado por un especialista médico, es importante aclarar que, independientemente de la finalidad con la cual se entregaron los datos personales al tercero o la complejidad de los datos de salud, la sociedad vulneró el derecho fundamental de los titulares al permitir que terceros accedieran al (i) nombre, (ii) número de documento de identificación, (iii) descripción del resultado del examen y;
(iv) diagnóstico. En consecuencia, se impartieron unas órdenes administrativas y se sancionó por no reportar el mencionado incidente dentro del término establecido. En virtud de lo expuesto con respecto a los dos cargos sancionados, es evidente que no solo se puso en peligro el derecho fundamental de todos los titulares cuyos datos obran en custodia de la recurrente, sino que la negligencia en el cumplimiento de los deberes objeto de estudio ocasionó un daño al interés jurídico tutelado. 1.2 El beneficio económico obtenido por el infractor o terceros;
La reincidencia en la comisión de la infracción; La resistencia, negativa u obstrucción a la acción investigadora; y La renuencia o desacato a cumplir las órdenes impartidas4 Al respecto la sociedad recurrente señaló que no obtuvo un beneficio económico, no hubo reincidencia en la comisión de la infracción, ha facilitado las pruebas y no ha obstruido la investigacción. Es necesario destacar que los criterios de graduación mencionados deben ser exclusivamente considerados como agravantes en la imposición de la sanción5 y que en la resolución objeto de recurso, la Dirección abordó de manera exhaustiva todos los criterios establecidos en el artículo 24 de la Ley 1581 de 2012 y determinó que solo resultaba aplicable el criterio establecido en el literal a).
Por lo tanto, en relación a los argumentos presentados por la recurrente, se evidencia que confirman la inaplicabilidad de los mencionados criterios, situación que fue debidamente constatada para la determinación de la sanción y, en consecuencia, no procede un análisis adicional. 1.3 El reconocimiento o aceptación expreso sobre la comisión de la infracción 4 Criterios de graduación establecidos en el literal b), c); d) y e) del artículo 24 de la Ley 1581 de 2012. 5 “2.23.3.
La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Corte Constitucional, Sentencia C-748 del 6 de octubre de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chaljub.
“Por la cual se resuelve un recurso de apelación” Finalmente, respecto al criterio atenuante de la sanción, la sociedad señaló “ratificamos la aceptación integral de la Resolución 51177 de 2022 para beneficio de nuestros usuarios y solicitamos el acompañamiento periódico de su Superintendencia o delegados a fin de mantener nuestro compromiso de Seguridad y Calidad en la atención, más allá de cumplir con lo básico fundamental de las normas.” Al respecto, es preciso aclararle al recurrente que el fundamentó de la imposición de la sanción, es el incumplimiento del deber de tener una política de seguridad y la omisión de registrar el incidente en el Registro Nacional de Bases de Datos (RNBD), por lo tanto, al haber reconocido solamente la remisión indebida de la información al correo del denunciante, se configuró la aceptación de la conducta de manera incompleta, por lo que no se daría el presupuesto que exige el allanamiento, acerca de que el mismo sea expreso y abarque la totalidad de las conductas cometidas.
Dicho de otra manera, como no fueron expresamente aceptadas por la sociedad recurrente, las demás conductas cometidas, antes de la aplicación de la sanción, se descarta cualquier posibilidad de aplicar el atenuante y, por ende, de modificar el monto de la misma. Por otro lado, en el mismo argumento la recurrente manifestó que “(…) más allá de ser una sanción se convierte en un documento de auditoria para el mejoramiento continuo de la Calidad y Seguridad de la atención del Usuario”, por lo tanto, se ratificarán las órdenes impartidas, dado que se ha constatado que la sociedad ha aceptado lo dispuesto en el artículo segundo de la resolución impugnada. 2.
Respecto al monto de la sanción y la proporcionalidad de la misma De otro lado, la sociedad solicitó la disminución del monto de la sanción señalando lo siguiente: “(…) Nuestra Institución de Salud como una gran mayoría de las Instituciones Prestadoras de Salud nos vimos gravemente afectados por la devastadora situación de COVID, lo cual afectó notoriamente nuestros ingresos y en general los estados Financieros de la Empresa durante el año 2020 y 2021; siendo hacia el mes de abril de 2022 donde hemos iniciado el mejoramiento y recuperación financiera antes anotada.
Si bien aceptamos que merecemos afrontar con una sanción por los errores y brechas identificadas en la Investigación; acudimos a Ustedes para que esta sanción no resulte excesiva en rigidez frente a todo lo argumentado por nosotros y no afecte aún más los estados financieros actuales. Por todo, rogamos a Usted sea revisado el monto de la Sanción económica impuesta a la CLINICA DE LA VISION DEL VALLE S.A.S, a fin de que se disminuya ese rubro o valor teniendo en cuenta que hemos aceptado y estamos en el proceso de corrección de todas las observaciones y ordenes impartidas por su Despacho.” El artículo 23 de la Ley 1581 de 2012 confiere a la Superintendencia de Industria y Comercio la facultad de imponer sanciones a los Responsables o Encargados del tratamiento de información. Estas sanciones pueden ser en forma de multas, que tendrán un carácter tanto personal como institucional.
La cuantía máxima de estas multas puede alcanzar hasta el equivalente a dos mil (2000) salarios mínimos mensuales legales vigentes al momento en que se impone la sanción6. Dichas sanciones se aplicarán en casos de violación a la ley de protección de datos, así como por la inobservancia de órdenes e instrucciones impartidas por la Superintendencia. Es importante destacar que la imposición de estas sanciones busca garantizar el adecuado manejo y protección de los datos personales, fomentando el cumplimiento de las disposiciones legales en esta materia.
Asimismo, se pretende disuadir cualquier acción que pueda comprometer la privacidad y seguridad de los datos de los titulares. En el caso que nos ocupa, se ha evidenciado claramente la negligencia por parte de la recurrente, en la medida en que se comprobó que llevó a cabo el tratamiento de datos personales sin contar con una política de seguridad debidamente implementada y documentada.
Además, la empresa reconoció la ocurrencia de un incidente de seguridad que tuvo un impacto directo en el derecho fundamental de habeas data de once (11) titulares, cuya información personal y sensible fue accedida por un tercero no autorizado y aún más preocupante es que la recurrente no informó este incidente dentro del plazo establecido en el Registro Nacional de Bases de Datos (RNBD), lo que 6 Artículo 23 Ley 1581 de 2012 literal a).
“Por la cual se resuelve un recurso de apelación” habría permitido a la autoridad verificar la situación y tomar, de ser necesario, las medidas pertinentes para proteger los derechos de los titulares afectados. En consecuencia, el monto de la sanción es proporcional a la vulneración y el incumplimiento de los deberes en cita y la evidencia demuestra que la sanción impuesta es justificada, dada la grave negligencia y falta de diligencia por parte de la recurrente en el cumplimiento de sus deberes y responsabilidades en materia de protección de datos personales.
Así mismo, la finalidad de la sanción pecuniaria, va encaminada a que las empresas y organizaciones reconozcan la importancia de implementar y mantener, tanto políticas sólidas de seguridad de la información, con el objetivo de salvaguardar la privacidad y los derechos de los titulares de datos personales, como de utilizar la herramienta del reporte de incidentes, para que las autoridades competentes puedan tomar medidas rápidas y efectivas para proteger los intereses de los afectados.
Por todo lo anterior, se aclara que la Delegatura, después de analizar minuciosamente el caso, el material probatorio y los argumentos presentados por la recurrente, concluyó que el único criterio agravante aplicable en este caso, es el establecido en el literal a) del artículo 24 de la Ley 1581 de 2012. Asimismo, para determinar el monto de la sanción, consideró diversos factores como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, la duración de la misma en el tiempo, la cantidad de titulares afectados, los deberes incumplidos y la negligencia de la investigada.
Por lo tanto, se evidencia que todo esto se ha evaluado, en congruencia con los principios de proporcionalidad y razonabilidad, asegurando que la sanción resulte disuasoria pero no confiscatoria. Es importante aclarar que las afirmaciones sobre haber sido afectada financieramente por la pandemia COVID-19 y estar en proceso de recuperación desde abril del presente año, no fueron respaldadas con pruebas financieras ni contables.
Finalmente, resulta pertinente resaltar lo siguiente: I. La multa impuesta a CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. ($ 22.802.400), corresponde al 1.14% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012). II. El monto de dicha sanción es el resultado del análisis y del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa por el incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento.
III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados.
IV. Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales. V. Según la Declaración Universal de los Derechos Humanos7, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto a éstos es un elemento esencial de la democracia8. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. VI. Las sanciones no pueden ni deben tratarse como una cuestión insignificante, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión a los derechos 7 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 8 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se resuelve un recurso de apelación” humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales Por consiguiente, este Despacho considera que la sanción impuesta es proporcional, en consideración a los hechos que le sirvieron de causa y a la motivación del acto administrativo recurrido encontrando su justificación en la naturaleza de las normas violadas y en el límite dado por el legislador en el 23 de la Ley 1581 de 2012. 3.
Caducidad de la facultad sancionatoria Finalmente, la recurrente invocó el artículo 52 de la Ley 1437 de 2011 señalando que “el hecho ocurrido se encuentra radicado en la Superintendencia de Industria y Comercio con el Nro. 1978098-00000 de 2 de abril de 2019, y la Resolución por la cual se impone una sanción se expidió el 1 de agosto de 2022 bajo el número 51177, a lo que en tiempo ya han trascurrido 3 años y 4 meses de haberse ocurrido el hecho, y dicho acto fue notificado por aviso nro. 18469 el día 9 de agosto de 2022.” Respecto de la caducidad de la facultad sancionatoria, el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo establece: “Artículo 52.
Caducidad de la facultad sancionatoria. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. (…)”.(resaltado fuera del texto) Frente a esto, este Despacho concuerda con lo señalado por la Dirección, al indicar: “Al respecto, es necesario hacer hincapié en que la caducidad de la facultad sancionatoria no se empieza a contabilizar desde que esta Superintendencia tiene conocimiento de los hechos por la denuncia presentada, sino desde que se comete la infracción y en caso de ser continuada la infracción, desde que cese el incumplimiento.
En este orden de ideas, es claro que no ha operado la facultad sancionatoria respecto de ninguno de los cargos por los que se sancionó a la recurrente mediante la Resolución No. 51177 de 2022, por cuanto: (i) Respecto del desconocimiento del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la norma en mención, la sociedad CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. no demostró que ha adoptado un Manual Interno de Políticas de Seguridad, por lo cual la infracción no ha cesado y en consecuencia no ha iniciado la contabilización del término de caducidad de la facultad sancionatoria de esta entidad.
(ii) Respecto de la vulneración del deber contemplado en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la norma en mención, no acreditó que ha reportado en el RNBD el incidente de seguridad causado el 20 de noviembre de 2018, correspondiente al envío de información sensible sobre la salud de 11 Titulares de la información a un tercero no autorizado, por lo que la infracción no ha cesado y en consecuencia no ha iniciado la contabilización del término de caducidad de la facultad sancionatoria de esta entidad.” En consecuencia, es evidente que la conducta sancionada, es decir, la falta de una política de seguridad y la omisión de reportar el incidente en el RNBD, no había cesado para la fecha de imposición de la sanción, lo que implica que aún no ha operado la caducidad de la facultad sancionatoria y en consecuencia, los argumentos presentados frente a la caducidad de la facultad sancionatoria no son de recibo por parte de este Despacho.
De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución No. 51177 del 01 de agosto de 2022. “Por la cual se resuelve un recurso de apelación” 4. Conclusiones a) Se confirmó que CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. infringió las normas sobre protección de datos personales consagradas en el literal k) y n) del artículo 17 de la Ley 1581 de 2012, en la medida que realiza tratamiento de datos personales sin tener una política de seguridad y pese a reconocer y aceptar la ocurrencia de un incidente de seguridad, omitió reportarlo en el Registro Nacional de Bases de Datos, vulnerando de esta forma las normas de protección del derecho constitucional de habeas data. b) La multa impuesta a CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. ($ 22.802.400), corresponde al 1.14% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012). c) El agravante contenido en el literal a) del artículo 24 de la Ley 1581 de 2012 fue tenido en cuenta al momento de calcular la sanción en la medida en que se demostró que la sociedad vulneró el derecho fundamental de once (11) titulares al no reportar el incidente dentro del término legal establecido, impidiendo a la autoridad tomar las medidas necesarias para proteger el derecho de manera oportuna.
De igual manera puso en peligro el derecho de todos los titulares cuyos datos obran bajo su custodia al tratarlos sin tener una política de seguridad. d) Para que opere la aplicación del criterio de atenuación contenido en el literal f) del artículo 24 de la Ley 1581 de 2012, la sociedad debe haber aceptado expresamente la comisión de la infracción de manera previa a la imposición de la sanción. En el caso bajo estudio la sociedad aceptó la ocurrencia del incidente de seguridad pero no aceptó no tener una política de seguridad o haber omitido registrar el incidente en el RNBD. e) No operó la caducidad de la facultad sancionatoria en la medida en que las conductas sancionadas corresponden a conductas continuadas, y en consecuencia, el término para que opere la caducidad se cuenta desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 51177 de 1 de agosto 2022, de conformidad con lo establecido en el presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. identificada con el NIT. 805.017.914-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., julio 27 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.07.27 15:52:03 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ “Por la cual se resuelve un recurso de apelación” Proyectó: HFTM Revisó: AVJ Aprobó: CAPR NOTIFICACION: Investigada: Identificación: Representante legal: Identificación: Apoderada especial: Identificación: Dirección: Ciudad: Correo electrónico: CLÍNICA DE LA VISIÓN DEL VALLE S.A.S. NIT 805.017.914-1 Bertha Lucy González González C.C. No. 31.882.844 Sonia Patricia Vallejo Castillo C.C. No. 59.827.579 Calle 22 Norte # 4N – 23 Cali, Valle del Cauca contabilidad2@clinivisionvalle.com