(29 OCTUBRE 2020) “Por la cual se impone una sanción” Radicación 19-108627 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., identificada con Nit. 860.006.7979 por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.1 El titular manifiesta que después de solicitar la supresión de su información personal de las bases de datos de la sociedad GIROS Y FINANZAS, mediante comunicado del 29 de abril de 2019, la investigada le informó que no volvería a recibir ningún tipo de información por parte de ellos y que su información había sido retirada de su base de datos 1.2 Pese a lo anterior, señala que el 9 de mayo de 2019 recibió nuevamente un mensaje de texto, del cual anexa copia, a través del cual se le remita nuevamente información de contenido publicitario.
SEGUNDO: Que con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, y en particular las disposiciones contenidas en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma normatividad y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 24983 de 28 de junio de 2019, por medio de la cual se formularon cargos a la sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., con el fin de que se pronunciara sobre los hechos materia de investigación. La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente se comunicó de la misma actuación al denunciante.
TERCERO: Que mediante escrito radicado el día 2 de agosto de 2019, mediante radicado 19108627- 12, el representante legal de la sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., dio respuesta a la formulación de cargos informando lo siguiente: 3.1 Indicó que “(…) GIROS Y FINANZAS realizó el análisis correspondiente, iniciando el proceso tendiente para identificar el señor xxxxxxxx en la base de GIROS Y FINANZAS de prospección comercial como “no contactable” y así establecer un filtro adecuado que permitiera seguir tratando sus datos personales para la ejecución del contrato vigente, pero no para ser contactado para el envío de campañas comerciales.
Agotado el procedimiento descrito, el día 29 de abril, se le informó al peticionario que se había procedido con la eliminación de sus datos. Sin embargo, vale la pena aclarar que el funcionario encargado de la respuesta debió haber precisado en qué consistía su HOJA N 2, “Por la cual se impone una sanción” eliminación, ya que por lo explicado anteriormente no era del todo procedente la eliminación de su información personal.
Sin embargo, dado que para el día 10 de mayo, día en que se festeja el día de la madre en Colombia, se tenía programada con anticipación una campaña de ofrecimiento de cupos preaprobados por la entidad, desde el mes de abril, es decir, con anticipación se había alistado la base correspondiente a dicha campaña, se había hecho el análisis de riesgo que había arrojado cuales clientes eran aptos para el ofrecimiento de dichos cupos en la modalidad de preaprobados, para ser comunicada el día 09 de mayo vía mensaje de texto a los celulares de los clientes por lo que dada la programación anticipada del envío de dicha oferta de servicios, a pesar de que ya se había desplegado el procedimiento correspondiente par no contactar nuevamente al señor xxxxxxxx, de esa base de datos se omitió realizar el filtro del nombre del señor xxxxxxxx, razón por la cual el mensaje de texto le fue enviado a su teléfono móvil”. 3.2 Informó que “(…) Así las cosas, se tiene que entre el 29 de abril (fecha en que se comenzó a filtrar el nombre del señor xxxxxxxx como no contactable) hasta el 09 de mayo (fecha en que se contactó) pasaron 7 días hábiles, lapso en el que se presentó una falla en el proceso, por haberse alistado con anticipación para envío una de las bases de datos”. 3.3 De otro lado manifestó que, “Si bien, en el presente caso se presentó una falla en el proceso, es necesario poner de presente a esa Superintendencia que desde la expedición de la Ley 1581 de 2012 y sus Decretos reglamentarios, Giros & Finanzas ha implementado un programa de protección de datos personales denominado “Héroes al cuidado de los datos personales”, a fin de tratar los datos personales de sus clientes, proveedores, colaboradores, empleados y accionistas de una manera informada,, confiable y segura, razón por la cual, esta entidad está comprometida día a día con el fortalecimiento de los mecanismos que le permitan cumplir a cabalidad los principios rectores establecidos en la ley 1581 de 2012 y las demás obligaciones que en calidad de Responsables del Tratamiento de Datos Personales recaen sobre esta entidad financiera”. 3.4 Por lo anterior, solicita esta Superintendencia que “(…) en caso de que estime que hubo alguna infracción, aplique los criterios establecidos en el artículo 24 del Decreto 1377 de 2013, para graduar las sanciones en materia de protección de datos personales”. 3.5.
Finalmente señala que “Se adjunta manual de “clientes no contactables” en el cual se refuerza el proceso que asegura eliminar o no volver a contactar a clientes que han manifestado su voluntad en ese sentido”.
CUARTO: Que mediante Resolución No. 45156 del 11 de septiembre de 2019, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-108627, folios 1 a 105, con el valor legal que les correspondía y se decretó de oficio la siguiente prueba: “La sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., deberá aportar prueba que acredite técnicamente la supresión de los datos del titular para no realizar envío de información comercial, publicidad y/o prospección comercial, donde se evidencie la fecha exacta de supresión”, no obstante, la investigada guardó silencio.
QUINTO: Que mediante radicado 19-108627-18 del 13 de septiembre de 2019 la sociedad investigada anexó soporte de pago con el fin de acceder a copias del expediente.
SEXTO: Que mediante comunicaciones de fecha 13 de diciembre de 2019, radicados N° 19108627-22-1 y 19-108627-23-1, este Despacho corrió traslado a la sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., por el término de diez (10) hábiles para que, en caso de encontrarlo pertinente, presentara los alegatos de conclusión respectivos con fundamento en el artículo 48 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).
SÉPTIMO: Que dentro del plazo otorgado mediante comunicaciones de fecha 13 de diciembre de 2019 bajo radicados N° 19-108627-22-1 y 19-108627-23-1, la sociedad investigada mediante radicado 19-108627-26, presentó alegatos de conclusión reiterando lo señalado en los descargos. HOJA N 3, “Por la cual se impone una sanción”
OCTAVO: Que considerando que mediante radicado N° 19-108627-22 de fecha 13 de diciembre de 2019, este Despacho concluyó la etapa probatoria y corrió traslado para alegar de conclusión sin tener en cuenta que no se había atendido la solicitud presentada por la investigada el 13 de septiembre de 2019 bajo radicado 19-108627-18 consistente en copia de la totalidad del expediente, y en aras de garantizar el derecho de defensa, nuevamente se corrió traslado a la sociedad GIROS Y FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., mediante comunicación de fecha 10 de marzo de 2020, radicado N° 19-108627-28-1, por el término de diez (10) hábiles para que, en caso de encontrarlo pertinente, presentara los alegatos de conclusión respectivos con fundamento en el artículo 48 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).
NOVENO: Que mediante comunicación de fecha 30 de julio de 2020 bajo radicado N° 19-10862729 la sociedad investigada presentó alegatos de conclusión reiterando lo señalado en el escrito de descargos. Así mismo, aportó medio audiovisual mediante el cual enseña cómo se lleva a cabo el procedimiento para la eliminación de la información en la base de datos.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma normatividad y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones • Respecto al deber de Garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
HOJA N 4, “Por la cual se impone una sanción” Respecto al deber de Garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, este Despacho procederá a valorar los deberes que presuntamente fueron vulnerados y que fundamentaron el cargo formulado mediante Resolución N° 24983 de 28 de junio de 2019. En primer lugar, el literal a) del artículo 17 de la Ley 1581 de 2012 referente a “DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO” establece: “(…) a) Garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
(…)” Por su parte, el artículo 8 de la misma normatividad, relatico a “Derechos de los titulares”, en su literal e) señala: “(…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. (…)”.
Finalmente, el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015 referente a la revocatoria de la autorización y/o supresión del dato señala: “Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en base de datos. El responsable y encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido término legal respectivo, el responsable y/o el encargado, según el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”.
En el presente caso, el 10 de abril de 2019 el titular XXXXXX XXXXXX XXXXXXXX XXXXXX solicitó a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., identificada con el Nit. 860.006.797-9, la supresión de la información que reposaba en su base de datos de prospección comercial y mercadeo. En virtud de dicha solicitud, el 29 de abril de 2019 la investigada dio respuesta en los siguientes términos: (fl. 4).
HOJA N 5, “Por la cual se impone una sanción” No obstante lo anterior, el día 9 de mayo de 2019, el señor XXXXXX XXXXXX XXXXXXXX XXXXXX, recibió el siguiente mensaje de texto en su celular: (fl. 3) Por lo anterior, este Despacho mediante Resolución N° 24983 de 28 de junio de 2019 2, formuló un cargo a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. por el presunto incumplimiento de los deberes contenidos en literal a) del artículo 17 de la Ley 1581 de 2012, del literal e) del artículo 8 de la misma ley y, el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.
Así mismo, ordenó a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., que dentro del término de cinco (5) días hábiles siguientes a la notificación de dicho acto administrativo, adelantara el procedimiento pertinente para que eliminara la información del señor XXXXXX XXXXXX XXXXXXXX XXXXXX, almacenada en la base de datos de prospección comercial y mercadeo.
Así, mediante escrito de fecha 23 de julio de 2019, radicado bajo el N° 19-108627-9, GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., allega certificación en la cual manifiesta: (fl. 21) “Que el señor XXXXXX XXXX XXXXXXXX XXXXX identificado con cédula de ciudadanía No. x.xxx.xxx, no se encuentra dentro de las bases de datos de prospección comercial mercadeo de GIROS & FINANZAS C.F. S.A.” Ahora bien, la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., en su escrito de descargos argumentó que teniendo en cuenta que la solicitud presentada por el titular versaba sobre la eliminación total de la información que reposaba en su base de datos, no era posible acceder de manera totalmente favorable a lo requerido, en virtud del contrato de apertura de crédito que aún existe entre el titular y la citada sociedad.
Así, el 29 de abril de 2019, GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., dio respuesta al peticionario, informando que se había procedido con la eliminación de sus datos. No obstante, señala que, por omisión del funcionario encargado de emitir dicha respuesta, no se hizo claridad en qué consistía la eliminación, pues no era posible la eliminación total de la información del titular en razón al contrato referido, dado que era necesario precisar que la eliminación de la información solo procedía para que no fuera contactado con fines comerciales o publicitarios. 2 Obrante a folio 8 y 9 HOJA N 6, “Por la cual se impone una sanción” Pese a lo anterior, la investigada manifiesta que con ocasión de la celebración del día de la madre, desde el mes de abril tenía programada una campaña de ofrecimiento de cupos preaprobados por la entidad, por lo que aun cuando se había iniciado el proceso correspondiente para no contactar nuevamente al señor XXXXX XXXXXX, se omitió eliminar su nombre en la base de datos que se generó para realizar dicha campaña. En este orden de ideas, se encuentra plenamente demostrado que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., en calidad de Responsable del Tratamiento, hizo caso omiso a la solicitud presentada por el señor XXXXXX XXXXXX XXXXXXXX XXXX, como quiera que no eliminó sus datos personales de la base de datos utilizada para contacto con fines comerciales.
En este punto, la investigada en su escrito de descargos sostiene que: “entre el 29 de abril (fecha en que se comenzó a filtrar el nombre del señor xxxxxx como no contactable) hasta el 09 de mayo (fecha en que se contactó) pasaron 7 días hábiles, lapso en el que se presentó una falla en el proceso, por haberse alistado con anticipación para envío una de las bases de datos”3.
Contrario a lo que afirma la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., no puede entenderse que los datos personales del titular solo estuvieron expuestos por un lapso de 7 días, como quiera que, a la fecha, aun no se tiene certeza si la información del señor XXXXXX XXXXXX XXXXXXXX XXXX fue efectivamente eliminada o no para fines comerciales.
En efecto, con ocasión de la decisión contenida en la Resolución N° 24983 de 28 de junio de 2019 proferida por este Despacho, la investigada allegó al expediente certificación en la cual da cuenta que el titular no se encuentra en las bases de datos de prospección comercial y mercadeo de GIROS Y FINANZAS, sin embargo, la misma no garantiza que la información haya sido eliminada o que en efecto, se hayan tomado las medidas necesarias para que no se contactara al titular para el envío de prospección publicitaria o comercial.
En efecto, mediante Resolución N° 45156 de 11 de septiembre de 2019, este Despacho incorporó las pruebas obrantes en el expediente de la referencia (folio 1 al 105) y decretó una prueba de oficio consistente en que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., debía allegar prueba técnica de la supresión de los datos del titular, que evidencie la fecha exacta de la eliminación, no obstante, la investigada no aportó ninguna prueba al respecto.
En resumen, el ejercicio del derecho de supresión de la información que de forma clara y suficiente realizó el señor XXXXXX XXXXXX XXXXXXXX XXXXXX a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., fue desatendido por parte de la investigada, por lo cual se concluye que se encuentra probado su actuar negligente en el cumplimiento del deber consistente en eliminar la información del titular de su base de datos para fines publicitarios o de prospección comercial, razón suficiente para imponer la correspondiente sanción. 11.3 El principio de Responsabilidad Demostrada – Accountability En los descargos presentados mediante oficio con número de radicado 19-108627- 12 del 2 de agosto de 2019, GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. señala que ha implementado un programa de protección de datos personales denominado “"Héroes al cuidado de los datos personales", respecto a lo cual este Despacho, en primera instancia, precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento y; (iv) los riesgos potenciales que el tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar los Responsables, dispuso: 3 Obrante a folio 58 HOJA N 7, “Por la cual se impone una sanción” “Artículo 2.2.2.25.6.2.
Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.
La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” Ahora bien, continuando con el análisis del escrito presentado, la sociedad investigada argumenta que su programa de protección de datos personales está compuesto por capacitaciones constantes al personal de la entidad, la celebración del día internacional de protección de datos personales en donde se realizan actividades lúdicas, obras de teatro, conferencias y entrega de souvenirs para los puestos de trabajo que recuerdan los principios de la ley.
Sobre el particular, la sociedad investigada junto con el escrito de descargos 19-108627-12-4, aporta como prueba una serie de fotografías de fecha 5 de febrero de 2019 sobre las campañas y capacitaciones que han realizado como se aprecia a continuación: HOJA N 8, “Por la cual se impone una sanción” De igual modo, la investigada indica que el Oficial de Protección de Protección de Datos Personales y la Directora Jurídica de la entidad se han certificado como Expertos Certificados en Protección de Datos, emitido por el Institute of Audit y adjuntan dos fotografías de los certificados emitidos el 20 de enero de 2019 y 18 de junio de 2019, como se aprecia a continuación: HOJA N 9, “Por la cual se impone una sanción” Adicional a todo lo anterior, el 31 de julio de 2020, la investigada aportó un video 19-108627-29-5 donde demuestra el procedimiento adoptado por los empleados para atender la solicitud de los titulares de no ser contactados en el futuro.
Conforme a lo anterior, esta Delegatura encuentra que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A, con anterioridad a la ocurrencia de los hechos materia de investigación, ha adoptado una serie de medidas, políticas y procedimientos suficientes, idóneas y adecuadas, dirigidos a proteger el derecho fundamental de habeas data, cumpliendo de forma material y real con la legislación vigente en materia de hábeas data, específicamente respecto del deber de “garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.
Por lo que se tomará como atenuante de responsabilidad, de acuerdo a lo establecido en el Artículo 2.2.2.25.6.2. “La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”
DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
HOJA N 10, “Por la cual se impone una sanción” b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional4.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 11, “Por la cual se impone una sanción” las garantías del artículo 29 Constitucional5 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta. Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).
De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 6 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros7. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la 5 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 6 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 7 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N 12, “Por la cual se impone una sanción” conciencia de la humanidad”8. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia9.
La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2310 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: 8 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 9 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 10Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 13, “Por la cual se impone una sanción” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados12.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada desatendió la solicitud presentada por el señor XXXXXX XXXXXX XXXXXXXX XXX, y pese a que el 23 de julio de 2019, la sociedad manifiesta que realizó la respectiva eliminación de la información, no acreditó de modo alguno que haya suprimido los datos del titular para que no se le enviara información comercial o publicitaria, o establecido los mecanismos necesarios para evitar el uso de sus datos personales para los fines previamente mencionados.
En consecuencia, considerando que resulta claro para esta Dirección que GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., faltó a su deber de proteger el derecho fundamental de habeas data, respecto a la vulneración del deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ibídem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá una multa equivalente a cuatro mil quinientas (4.500) Unidades de Valor Tributario13 (UVT). 12.1.2 Respecto del principio de Responsabilidad demostrada De acuerdo a la verificación realizada por esta Dirección del material probatorio obrante en el expediente, en el numeral 11.3 del presente acto administrativo, se encontró que la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. previamente a la ocurrencia de los hechos objeto de denuncia, había implementado el principio de responsabilidad demostrada respecto del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 “a) Garantizar al titular en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, encontrando (i) una estructura administrativa proporcional al tamaño empresarial del responsable (ii) mecanismos internos, herramientas, entrenamiento y programas de educación para implementar las políticas relacionadas con el deber bajo estudio, y (iii) procedimientos para la atención y respuesta de PQR de los titulares. 11 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 12 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.
En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 13 De acuerdo con la Resolución 84 del 28 de noviembre de 2018 expedida por la Dirección de Impuestos y Aduanas Nacionales, DIAN, el valor de la UVT para el año 2020 será de 35.607 pesos.
HOJA N 14, “Por la cual se impone una sanción” Por lo mencionado anteriormente, se atenuará el monto de la sanción mil setecientos (1.700) UVT de acuerdo con el inciso final del Artículo 2.2.2.25.6.2. “La verificación por parte de la el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Por otro lado, el criterio de atenuación de la sanción señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de la infracción.
DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: (i) La sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., desatendió la solicitud presentada por el titular XXXXXX XXXXXX XXXXXXXX XX consistente en suprimir sus datos personales de la base de datos. (ii) Pese a que la sociedad investigada manifestó que eliminó de su base de datos la información del titular, no acreditó por ningún medio la supresión efectiva de dicha información y a la fecha no se tiene certeza de la fecha de supresión de los datos del titular de las bases de datos de la sociedad para fines publicitarios o comerciales, pese a que se decretó que se aportara prueba técnica de la supresión. (iii) Con dicha conducta, la investigada en calidad de Responsable del Tratamiento, incumplió con el deber de garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data.
(iv) La sociedad investigada, previamente a la ocurrencia de los hechos, acreditó haber implementado el principio de responsabilidad demostrada respecto del deber objeto de estudio, y en consecuencia se disminuyó la sanción en un 37.7%. (v) En consecuencia, se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015 en concordancia con el literal a) del artículo 17 de la Ley 1581 de 2012.
En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., identificada con el Nit. 860.006.797-9 de NOVENTA Y NUEVE MILLONES SEISCIENTOS NOVENTA Y NUEVE MIL SEISCIENTOS PESOS M/CTE ($99.699.600), equivalente a DOS MIL OCHOCIENTOS (2.800) Unidades de Valor Tributario UVT, por la violación a lo dispuesto en literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ibídem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a HOJA N 15, “Por la cual se impone una sanción” nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a la sociedad GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A., identificada con el Nit. 860.006.797-9, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO TERCERO: Comuníquese el contenido de la presente resolución al señor XXXXXX XXXXX XXXXXXXXXXXXXXX identificado con la cédula de ciudadanía No. Xxxxxxxxx.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.10.29 16:33:56 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ JBG/AMV HOJA N 16, “Por la cual se impone una sanción” NOTIFICACIÓN: Investigada: Entidad: GIROS & FINANZAS COMPAÑÍA DE FINANCIAMIENTO S.A. Identificación: Nit.: 860.006.797-9 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: xxxxxxxxxxxxxxxxxxxx Correo electrónico: notificacionesjudiciales@girosyfinanzas.com COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No.XXXXXXX Dirección: Carrera XXXXXXXXXXXXXXXXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXXXXXXXX