(05 NOVIEMBRE 2021) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 21-169384 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que el 21 de enero de 2019 el señor XXXX XXXXX XXXXXXX XXXXXX bajo el Radicado 19-012944-00 1 puso en conocimiento de esta Superintendencia una petición que interpuso a través de correo electrónico del 25 de agosto de 2018 ante las sociedades CARULLA NIZA, GRUPO ÉXITO S.A. y MIRO SEGURIDAD LTDA, por presuntas irregularidades en el tratamiento de sus datos personales.
SEGUNDO: Que la solicitud del peticionario contiene los siguientes hechos: 2.1. Informa que duda que la compañía MIRO SEGURIDAD LTDA al prestar sus servicios de seguridad privada en el almacén Carulla sede Niza cuente con manual interno de protección de datos personales y responsabilidad frente a los deberes de la Ley de Protección de Datos Personales. 2.2.
Manifiesta que presentó petición a la sociedad señalando que la compañía de seguridad Miro Seguridad Ltda., realiza seguimientos invasivos y contrarios a las buenas prácticas de seguridad estipuladas, así como también realiza tratamiento de datos personales sin el cumplimiento de la regulación correspondiente, contrariando los derechos fundamentales a la intimidad, al buen nombre y hábeas data. 2.3.
Indica que tanto el almacén Carulla como la empresa de seguridad MIRO SEGURIDAD LTDA realiza tratamiento de información sin que este hecho sea informado o consentido por el titular, dentro del cual incluyen un circuito cerrado de televisión; además manifiesta que no se le informa al titular de las políticas de datos personales ni que se está realizando la grabación de las mismas. 2.4.
Denuncia el incumplimiento a la Ley de hábeas data por pate de la sociedad MIRO SEGURIDAD LTDA, por no contar con un canal habilitado para las reclamaciones de protección de datos personales. 2.5. Indica que presentó reclamación a la sociedad investigada sin obtener respuesta a sus reclamaciones. 2.6. Solicita la supresión de sus datos, por cuanto asegura que la compañía Miro Seguridad LTDA, no cuenta con su autorización para el tratamiento de los mismos.
TERCERO: Que con base en los hechos expuestos por el peticionario, esta Dirección dentro del Radicado 19-12944 ordenó impartir una orden administrativa en contra de la sociedad MIRO SEGURIDAD LTDA identificada con Nit. 890.932.539-6, a través de la Resolución Nº 32070 del 26 de junio 2020.2, en la cual se consideró lo siguiente: Expediente Virtual.
Consecutivo Nº 1. Pág. 12 Expediente Virtual. Consecutivo Nº 1. Pág. 1 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 2, “(…) 6.2 Deber de los responsables y encargados del tratamiento de información de contestar las peticiones (literal j artículo 17 Ley 1581 de 2012). ( ) En el presente caso, el Titular allega copia de la petición formulada simultáneamente a las sociedades Carulla Niza, Grupo Éxito S.A., y Miro Seguridad Ltda. y mediante complemento de la información ( ) informa que cumplido el término respecto de la reclamación de protección de datos personales las empresas no dieron respuesta a la misma y frente a la solicitud de esta Superintendencia, de informar si el titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta aportar copia de la misma con su respectiva respuesta, la sociedad Miro Seguridad Ltda. guardó silencio, no obstante, dentro de la actuación radicada en esta Superintendencia con el No. 18- 215285 por los mismos hechos en la que se investiga a la sociedad Almacenes Éxito S.A., se solicitó explicación para que informara si el titular ha presentado una reclamación o petición, frente a lo cual, la sociedad Almacenes Éxito S.A., informó que el reclamante el 25 de agosto de 2018 presentó un derecho de petición ante uno de los almacenes de la marca Carulla en el cual hizo una serie de consultas y peticiones, con 5 peticiones o componentes centrales, a los cuales se les dio respuesta mediante oficio del 17 de septiembre de 2018 y enviado a través de correo electrónico el 18 de septiembre de 2018, ( ).
En ese orden de ideas este Despacho dentro de los anexos allegados encuentra la copia del derecho de petición adjuntado por el reclamante el cual consta en su página inicial con un sello de entregado sin identificar donde fue entregado y en la página final se encuentra firma manuscrita con fecha del 25 de agosto de 2018, por lo que atendiendo a lo manifestado por el titular en la queja vista a ( ), donde expresa que: ‘el reclamo no fue de recibo en la tienda Carulla NIZA, pues la gerente, no quiso recibírmelo en físico.
La firma que se encuentra en el documento de recibido, es de una cajera de Carulla, que muy amablemente me recibió el documento’. No obstante lo anterior, junto con la queja presentada el titular de la información remitió la queja al correo electrónico info@miroseguridad.com, tal y como se puede apreciar a continuación: En ese sentido, este Despacho observa que ese correo se encuentra dentro de la página web de la sociedad investigada y se encuentra disponible para solicitudes, quejas o reclamos, en consecuencia, no observa este Despacho la respuesta a la solicitud de explicaciones documento que permita establecer que la sociedad investigada respondió al derecho de petición enviado por el titular, y que posteriormente este Despacho remitió en el envío de la solicitud de explicaciones, por lo que se observa un posible incumplimiento al deber contenido en el artículo 15 de Ley 1581 de 2012.
Por lo que encuentra procedente impartir una orden con el fin de que el titular de la información reciba una respuesta completa, clara y de fondo.(…)”3 CUARTO: Que, con base en el material probatorio recaudado de manera preliminar, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N° 25010 del 29 de abril de 2021, resolvió iniciar investigación administrativa contra la sociedad MIRO SEGURIDAD LTDA (en adelante la investigada), identificada con Nit. 890.932.539-6, por la presunta violación de la norma sobre protección de datos personales, consagrada en particular en el numeral e) del artículo 18 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley.
En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.
QUINTO: Que, de conformidad con la certificación radicada bajo el número 21-169384-9 del 13 de mayo de 2021 expedida por la Secretaria General de la Superintendencia de Industria y Comercio, Expediente Virtual. Consecutivo Nº 1. Pág. 4-5 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 3, se le notificó a la investigada de forma electrónica el día 5 de mayo del 2021 la Resolución N°. 25010 del 29 de abril del 2021.
SEXTO: Que, dentro del término de quince (15) días hábiles para que la sociedad MIRO SEGURIDAD LTDA ejerciera su derecho de defensa y contradicción, esta presentó descargos el 25 de mayo del 2021 mediante radicado bajo número 21-169384-10 aduciendo lo siguiente: 6.1. Del punto 1.1. al 1.3. del escrito de descargos, la investigada realiza un recuento de los hechos denunciados por el titular y un recuento de los medios de prueba recaudados por este Despacho de manera preliminar, desde el contenido de la queja – consulta interpuesta por el titular, pasando por el requerimiento de información Nº 19-12944-3 realizado por esta Dirección, hasta la respuesta dada por la investigada a dicho requerimiento a través de escrito con Radicado 19-12944-4, en donde insiste en lo siguiente: “ (…) Es ALMACENES ÉXITO como responsable de la información y propietario del CCTV quien de manera autónoma define sus políticas de conservación y manejo de la información recolectada por medio de las cámaras de seguridad, sin que MIRO SEGURIDAD participe de tales definiciones o tenga copias o reproducciones de la información allí contenida.(…)” 6.2.
En el punto 1.4. del escrito de descargos, la investigada señala que no dio respuesta a la petición del titular al señalar lo siguiente: “(…) MIRO SEGURIRDAD no dio inicialmente respuesta directa al solicitante en tanto la solicitud como se indicó anteriormente fue enviada de manera genérica a distintos destinatarios, incluido la Superintendencia de Industria y Comercio, situación que dio lugar a la recta creencia que sería en tal ámbito donde deberían realizarse las distintas indicaciones.(…)” 6.3.
Del punto 1.5. a 1.9. del escrito de descargos, la investigada realiza un recuento de las decisiones administrativas adoptadas por esta Dirección dentro del Radicado 19-12944, entre las cuales hace énfasis en que el Responsable del tratamiento era ALMACENES ÉXITO a quien le correspondió cumplir la orden de suprimir los datos personales del titular, y que la investigada cumplió la orden administrativa de responder la petición del titular dentro del término que fijó esta Superintendencia. 6.4.
En el punto dos (II-CONDUCTAS INVESTIGADAS) del escrito de descargos, la investigada señala frente al cargo único formulado que la respuesta a la petición del titular se otorgó dentro del término de cinco días concedido por la Superintendencia a través del acto administrativo que resolvió el recurso de reposición, y que: “(…) la reclamación presentada por el señor XXXXXXX XXXXXX fue tramitada directamente a través de un procedimiento administrativo ante la Superintendencia de Industria y Comercio, sin que fuera posible determinar exactamente a quien se encontraba dirigida y frente a la cual MIRO SEGURIDAD dio las explicaciones correspondientes directamente a la Superintendencia. (…)” 6.5.
En el punto tres (III- FUNDAMENTOS ADICIONALES PARA QUE SE DESESTIMEN LOS CARGOS FORMULADOS), la investigada insiste en que existe un “hecho superado” por cuanto se dio respuesta dentro del término concedido por la Superintendencia dentro del trámite administrativo; y que en caso de proferir una eventual sanción, se deben tener en cuenta los criterios de graduación establecidos en la Ley 1437 de 2011 – CPACA.
SÉPTIMO: Que esta Dirección a través de la Resolución 54193 del 25 de agosto de 2021, ordenó la incorporación de los siguientes medios de prueba, y a su vez, corrió traslado por el término de diez (10) días hábiles para presentar alegatos de conclusión: 7.1. Resolución N° 32070 del 26 de junio del 2020 por la cual se imparte una orden administrativa. 7.2.
Queja presentada por el denunciante, junto con anexos, radicada bajo el número 19-012944 del 21 de enero 2019. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 4, 7.3. Requerimiento de información por parte del Grupo de Trabajo de Hábeas Data dirigida a la sociedad MIRO SEGURIDAD LTDA radicado bajo el número 19-012944-3 del 20 de marzo del 2019 7.4.
Respuesta junto con anexos por parte de la sociedad MIRO SEGURIDAD LTDA dirigida al Grupo de Trabajo de Hábeas Data radicado bajo el número 19-012944-4 del 9 de mayo del 2019. 7.5. Escrito de descargos junto con anexos presentado por la sociedad MIRO SEGURIDAD LTDA mediante radicado número 21-169384-10 del 25 de mayo del 2021, mediante el cual se adjuntan los siguientes documentos: 7.5.1.
Respuesta a derecho de petición, por parte de la sociedad MIRO SEGURIDAD LTDA dirigido al denunciante de fecha 18 de enero del 2021. 7.5.2. Documento con firma de recibido adjunto a respuesta a derecho de petición por parte de la sociedad MIRO SEGURIDAD LTDA dirigido al denunciante de fecha 18 de enero del 2021. 7.5.3. Archivo de correo por parte de la sociedad MIRO SEGURIDAD LTDA dirigido al denunciante de fecha 19 de enero del 2021. 7.5.4 Archivo de correo con asunto: Respuesta Derecho de Petición, por parte de la sociedad MIRO SEGURIDAD LTDA dirigido contactenos@sic.gov.co de fecha 30 de julio del 2020 7.5.5.
Recurso de reposición y en subsidio de apelación contra la Resolución Nº 32070 de 2020 de fecha 30 de julio del 2020, presentado por la sociedad MIRO SEGURIDAD LTDA. 7.5.6. Resolución N° 82806 del 31 de diciembre del 2020 por la cual se resuelve recurso de apelación, expedida por el Superintendente Delegado para la Protección de Datos Personales 7.5.7.
Resolución N° 53594 del 3 de septiembre del 2020 por la cual se resuelve recurso de reposición, expedida por el Director de Investigación de Protección de Datos Personales. 7.5.8. Estados financieros de la sociedad MIRO SEGURIDAD LTDA años 2018, 2019 y 2020.
OCTAVO: Que la Resolución 54193 del 25 de agosto de 2021, le fue comunicada a la investigada a través de su correo electrónico autorizado el 26 de agosto de 2021, conforme a la certificación con radicado 21-169384-15 del 9 de septiembre de 2021 expedida por la Secretaría General de la NOVENO: Que dentro del término establecido en la Resolución 54193 del 25 de agosto de 2021, la investigada presentó alegatos de conclusión a través de Radicado 21-169384-16 del 09 de septiembre de 2021 en donde reitera los argumentos expuestos en el escrito de descargos.
Sin embargo, como argumento nuevo expresa lo siguiente: “(…) Es importante señalar en primer lugar que la ley 1581 de 2012 establece en su artículo 16 como requisito de procedibilidad, que el titular o causahabiente sólo podrá elevar queja ante la reclamo ante el responsable del Tratamiento o Encargado del Tratamiento. Si se analiza juiciosamente el expediente, la reclamación presentada por el señor XXXXXXX XXXXXX a la Superintendencia, fue elevada obviando el requisito de procedibilidad mencionado toda vez que se interpuso directamente, a través de un procedimiento administrativo ante la El correo electrónico remitido el 28 de agosto no es una reclamación previa a MIRO SEGURIDAD sino realmente una verdadera queja a la Superintendencia para que investigara los sucedido (sic), lo cual dio lugar al procedimiento administrativo donde MIRO SEGURIDAD cumplió con todas las órdenes de la entidad.
Se trata de un correo de solicitud a la Superintendencia, no dirigido a agotar un requisito previo sino a que se iniciara una procedimiento sancionatorio, donde deberían realizarse las distintas “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 5, indicaciones, y por lo cual siguiendo el debido proceso MIRO SEGURIDAD dio las explicaciones correspondientes directamente a la Superintendencia como correspondía y en los términos preciso e la entidad.
(sic) (…)”
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.
DÉCIMO PRIMERO: Análisis del caso 11.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.” (Resaltado fuera del texto original) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 18 de la Ley 1581 de 2012 establece los deberes que les asisten a los Encargados del tratamiento respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el literal e) del artículo 18 de la Ley 1581 de 2012 en relación con el artículo 15 de la misma norma.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos denunciados ante esta Superintendencia, los argumentos de defensa expuestos por la investigada en su escrito de descargos y de alegatos, así como el conjunto de pruebas obrantes en el expediente. 11.2.
Valoración probatoria y conclusiones 11.2.1 Respecto de la condición de Encargado del Tratamiento Esta Dirección considera oportuno distinguir los conceptos de Responsable y Encargado del tratamiento, comoquiera que los mismos resultan relevantes para determinar la calidad en la que actúa la sociedad investigada MIRO SEGURIDAD LTDA. Por un lado, el literal d) del artículo 3 de la Ley 1581 de 2012 define al Encargado del Tratamiento de la siguiente manera: “Artículo 3°.
Definiciones. Para los efectos de la presente ley, se entiende por: (…) Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 6, d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;
(…)” En la Sentencia C-748 de 2011, mediante la cual se declaró la exequibilidad de la citada norma, se estableció la definición del Encargado del tratamiento de datos personales bajo el siguiente entendido: “(…) El encargado del tratamiento es quien realiza del tratamiento de datos personales por cuenta del responsable del tratamiento, quien, en cumplimiento de los principios de libertad y finalidad, al recibir la delegación para tratar el dato en los términos en que lo determine el responsable, debe cerciorarse de que aquel tiene la autorización para su tratamiento y que el tratamiento se realizará para las finalidades informadas y aceptadas por el titular del dato.
Si bien, en razón de la posición que cada uno de estos sujetos ocupa en las etapas del proceso del tratamiento del dato, es al responsable al que le corresponde obtener y conservar la autorización del titular, ello no impide al encargado solicitar a su mandante exhibir la autorización correspondiente y verificar que se cumpla la finalidad informada y aceptada por el titular de dato.(…) La anterior jurisprudencia expone a su vez el derecho al hábeas data de los titulares frente al tratamiento de sus datos personales, ejercido a través de los mecanismos de consultas y reclamos, y los deberes que se desprenden de ello en cuanto a los Encargados del tratamiento: “(…) Los artículos 14 y 15 del proyecto de ley regulan los mecanismos de consulta y reclamo del titular del dato o sus causahabientes al responsable o encargado del tratamiento, con el fin de hacer efectivo el derecho al hábeas data.
Se señala que: (i) los titulares o sus causahabientes podrán consultar la información personal del titular que repose en cualquier base de datos pública o privada; (ii) los responsables y encargados del tratamiento deben suministrar al titular toda la información contenida en la base de datos bien porque se tenga un registro individual o exista alguna asociada a su identificación;
(iii) el responsable y el encargado del tratamiento deben tener algún medio habilitado para que la consulta se pueda realizar, el cual debe permitir dejar prueba de ello; (iv) la consulta se debe resolver en un término máximo de 10 días hábiles a partir de la fecha de recibo de la solicitud; y (v) en el evento de no poder responderse en ese término, se le debe informar al titular sobre las razones.
De todas maneras la respuesta la debe recibir dentro de los 5 días siguientes al vencimiento del primer plazo. Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución, que en el caso en estudio se traduce en el derecho que tienen los titulares del hábeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades publicas o privadas, peticiones para establecer que información o datos poseen sobre ellos y los términos para atender las consultas.
El articulo 15 por su parte, regula los reclamos que puede efectuar el titular del dato o sus causahabientes al responsable o encargado del tratamiento con el fin de corregir, actualizar o suprimir la información contenida en la base de datos o cuando se considere que se ha incumplido con cualquiera de los deberes que les corresponde.(…)” Con base en lo anterior, es claro que el Encargado del tratamiento es la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento, y en virtud de esta calidad, la Ley le ha otorgado responsabilidades claras, concretas y precisas frente al titular del dato, encaminadas a garantizar el ejercicio pleno y efectivo del derecho al hábeas data.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 7, En esta medida, esta Dirección considera oportuno precisar que el cargo único formulado en contra de la sociedad MIRO SEGURIDAD LTDA se le atribuye en su condición de Encargado del Tratamiento, teniendo en cuenta que la investigada actuaba por cuenta de ALMACENES ÉXITO en su calidad de Responsable del Tratamiento, en virtud del contrato de prestación de servicios de vigilancia y seguridad privada que suscribieron dichas partes, razón por la cual se continuará con el análisis del cargo único formulado endilgado en contra de la investigada como Encargada del tratamiento. 11.2.2.
Respecto del deber de tramitar los reclamos formulados por los titulares en los términos establecidos en la Ley El literal e) del artículo 18 de la Ley 1581 de 2012, prevé un deber especial para los Encargados del tratamiento de los datos de los titulares de la información, el cual establece: “ARTÍCULO 18. Deberes de los Encargados del Tratamiento.
Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la presente ley. (…)” En este sentido, el artículo 15 de la misma norma establece el procedimiento que se le ha otorgado a los Encargados del tratamiento para atender los reclamos que los titulares interpongan ante ellos de la siguiente forma: “ARTÍCULO 15.
Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será́ tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá́ su reclamo, la cual en ningún caso podrá́ superar los ocho (8) días hábiles siguientes al vencimiento del primer término. (…)” A partir de las citadas normas, se establece que el Encargado del tratamiento deberá atender oportuna y debidamente los reclamos del interesado que sean puestos en su conocimiento.
Al respecto, esta Superintendencia en la Resolución 25010 de 2021 “Por la cual se inicia una investigación administrativa y se formulan cargos” señaló lo siguiente: “(…) Teniendo en cuenta lo expuesto anteriormente, se tiene que LA INVESTIGADA no dio cumplimiento al deber tramitar las consultas y reclamos formulados por el titular XXXX XXXXX XXXXXXX XXXXXX, dado que esta no accedió a lo solicitado, en los términos establecidos “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 8, en el inciso tercero del artículo 15 de la Ley 1581 de 2012, la cual preceptúa: “(…) El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.”, teniendo en cuenta que el titular presentó la queja ante LA INVESTIGADA, el día 25 de agosto de 2018 (…)” Frente al particular, la investigada señaló en su escrito de descargos, entre otros puntos, lo siguiente: “(…) la reclamación presentada por el señor XXXXXXX XXXXXX fue tramitada directamente a través de un procedimiento administrativo ante la Superintendencia de Industria y Comercio, sin que fuera posible determinar exactamente a quien se encontraba dirigida y frente a la cual MIRO SEGURIDAD dio las explicaciones correspondientes directamente a la Superintendencia. (…)” Para el caso en concreto se observa que el titular de la información interpuso una reclamación relacionada con la presunta vulneración de sus datos personales y de las disposiciones de la Ley 1581 de 2012 ante MIRO SEGURIDAD LTDA y otras sociedades el 25 de agosto de 2018 bajo el asunto “Denuncia, consulta y reclamación de protección de datos personales – XXXX XXXXX XXXXXXX XXXXXX– contra Carulla NIZA, GRUPO ÉXITO y la empresa de seguridad privada MIRO LTDA”5 el cual fue remitido al correo protección.datos@grupo-exito.com, contactenos@sic.gov.co, contactenos@supervigilancia.gov.co y al correo electrónico de la investigada info@miroseguridad.com en el cual se realizaron las siguientes peticiones: “(…) II.
CONSULTAS Y RECLAMACIONES PRIMERA: Solicito se realice una investigación sobre los hechos que denuncio y que se me informe los resultados, precisando todas las circunstancias de tiempo, lugar y modo. SEGUNDA: Solicito se me indique donde tienen copia de las políticas de datos políticas de sus compañías, así como también copia del manual interno de tratamiento de datos personales.
Lo anterior en razón a que no son visibles en la tienda, y para el caso, al parecer sus compañías no tienen tales documentos.
TERCERO: Solicitó (sic) que cesen el uso de mis datos personales, puesto que yo nunca les he dado la autorización para dicho tratamiento. Reitero el uso de datos personales, además de no contar con la autorización debida, es ilegal por ser invasivo, al no respetar el derecho al buen nombre y a la intimidad.
CUARTO: Solicito que se me informe que datos personales míos tienen en sus bases de datos (tanto CARULLA como la de MIRO SEGURIDAD LTDA) y que tratamiento le están dado. (…)” Teniendo en cuenta el término establecido en el artículo 15 de la Ley 1581 de 2012, la sociedad MIRO SEGURIDAD LTDA en su calidad de Encargada del tratamiento de los datos personales de los titulares por cuenta de ALMACENES ÉXITO en su calidad de responsable, contaba con un término máximo para atender el mencionado reclamo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
De esta manera, si la reclamación fue interpuesta por el titular el 25 de agosto de 2018, la investigada MIRO SEGURIDAD LTDA contaba hasta el 14 de septiembre de 2018 para dar respuesta oportuna a las peticiones del titular relacionadas con sus deberes de Encargado del tratamiento, tal y como se observa a continuación: Expediente virtual.
Consecutivo Nº 1. Pág. 12 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 9, Sin embargo, transcurrido el término señalado, el titular reclamante informa ante esta Superintendencia el 25 de septiembre de 2018 a través de correo electrónico con Radicación 18215285-03 6 que para esa fecha, las entidades requeridas aún no habían dado respuesta a su reclamación. Por lo anterior, es claro para esta Dirección que el incumplimiento se cuenta a partir del 17 de septiembre del 2018.
Posteriormente, el titular a través de denuncia con Radicación 19-012944-00 del 21 de enero de 2019, remite a esta Superintendencia copia de la reclamación no contestada hasta esa fecha, con el objeto de establecer las actuaciones correspondientes frente a dicha omisión. Con base en el material probatorio recaudado e incorporado dentro de la presente actuación y aportado con el escrito de descargos, se observa que la sociedad investigada MIRO SEGURIDAD LTDA dio respuesta a la reclamación del titular hasta el 19 de enero del 2021, es decir, dos (2) años, cuatro (4) meses y cinco (5) días después del término establecido por la Ley para el efecto y en todo caso de forma posterior a que esta Autoridad así se lo ordenara a la sociedad en cuestión. Las razones expuestas por la investigada para haber dado respuesta a la reclamación del titular hasta la fecha señalada se resumen en cinco (5) argumentos expuestos a través del escrito de descargos y de alegatos que se exponen a continuación: (i) Que ALMACENES ÉXITO en su calidad de Responsable de la información era quien definía sus políticas de protección de datos personales de manera autónoma, sin que MIRO SEGURIDAD LTDA participara de tales definiciones o tuviera copias de la imágenes o reproducciones de la información contenida en dicho circuito de videovigilancia. (ii) Que MIRO SEGURIDAD LTDA “(…) no dio inicialmente respuesta directa al solicitante en tanto la solicitud como se indicó anteriormente fue enviada de manera genérica a distintos destinatarios, incluido la Superintendencia de Industria y Comercio, situación que dio lugar a la recta creencia que sería en tal ámbito donde deberían realizarse las distintas indicaciones.(…)” (iii) Que en la Resolución Nº 53594 del 03 de septiembre de 2020 “Por medio de la cual se resuelve un recurso de reposición”, esta Dirección determinó de acuerdo con lo expuesto en la parte motiva de dicho acto administrativo que el Responsable del tratamiento era ALMACENES ÉXITO S.A. y no MIRO SEGURIDAD LTDA, razón por la cual se modificó la Resolución No. 32070 del 26 de junio de 2020 en el sentido de aclarar que la orden administrativa de suprimir los datos del titular le correspondía a ALMACENES ÉXITO.
(iv) Que con posterioridad a la ejecutoria de la Resolución 82806 del 31 de diciembre de 2020 “Por medio de la cual se resuelve un recurso de apelación” expedida por el Despacho del Superintendente Delegado para la Protección de Datos Personales, la investigada cumplió dentro del término de cinco (5) días para cumplir la orden administrativa de dar respuesta a la petición del titular, lo cual quedó efectuado a partir de la respuesta que se le envió por correo electrónico del 19 de enero de 2021, lo cual constituye un hecho superado.
(v) Que no se agotó el requisito de procedibilidad establecido en el artículo 16 de la Ley 1581 de 2012, por cuanto el correo electrónico remitido por el titular el 25 de agosto de 2018 no es una Expediente virtual. Consecutivo Nº 1. Pág. 20 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 10, reclamación previa a MIRO SEGURIDAD LTDA sino realmente una verdadera queja a la Superintendencia para que investigara los sucedido.
En virtud de lo anterior, este Despacho concluye que ninguno de los argumentos expuestos por la investigada, en el ejercicio de su derecho de defensa y contradicción, logran desvirtuar el cargo único formulado por las siguientes razones: En cuanto al primer argumento, no le asiste razón a la investigada para justificar la omisión de dar respuesta oportuna a la reclamación interpuesta por el titular el 25 de agosto de 2018, por cuanto las responsabilidades del Responsable y del Encargado del tratamiento de datos personales son comunes pero diferenciadas.
En este sentido, algunas de las peticiones del titular debían ser atendidas por ALMACENES ÉXITO en su calidad de Responsable y otras debían ser atendidas inexcusablemente por MIRO SEGURIDAD LTDA en su calidad de Encargada del tratamiento; las cuales indiscutiblemente deben ser atendidas dentro del término de 15 días hábiles estipulado en el artículo 15 de la Ley 1581.
Para las demás peticiones en donde la investigada no era competente, debía cumplir lo dispuesto en el inciso 3º de la citada norma, la cual establece que: “(…) En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.(…)”.
En cuanto al segundo argumento, no le asiste razón a la investigada para justificar la omisión de dar respuesta oportuna a la reclamación interpuesta por el titular el 25 de agosto de 2018, por cuanto el envío de la reclamación a distintos destinatarios no exime de responsabilidad a la investigada para haber omitido el procedimiento de atención de reclamaciones establecido en el artículo 15 de la Ley 1581.
En efecto, se reitera que la investigada en su calidad Encargada del tratamiento, debía atender las peticiones que se encontraban dentro del ámbito de sus competencia, y las que no lo fueran debían ser remitidas al competente dentro de los dos días siguientes a su recepción. Sin embargo, ninguna de estas situaciones fueron cumplidas por la investigada en virtud del material probatorio obrante en el expediente, razón por la cual se determina que la investigada no logró desvirtuar el cargo único formulado.
En cuanto al tercer argumento, no le asiste razón a la investigada para justificar la omisión de dar respuesta oportuna a la reclamación interpuesta por el titular el 25 de agosto de 2018. Si bien es cierto que en la Resolución Nº 53594 del 03 de septiembre de 2020 se determinó de acuerdo con lo expuesto en la parte motiva de dicho acto administrativo que el Responsable del tratamiento era ALMACENES ÉXITO S.A. y no MIRO SEGURIDAD LTDA, razón por la cual no se le podía imponer a MIRO la orden de suprimir datos personales del titular, lo cierto es que en el artículo segundo de la citada Resolución, se reiteró que la sociedad debía darle respuesta al titular una vez el acto administrativo en cita se encontrara ejecutoriado, así: “(…)
ARTÍCULO SEGUNDO: Corregir el artículo primero de la parte resolutiva de la Resolución No. 32070 del 26 de mayo de 2020, el cual quedara así:
ARTÍCULO PRIMERO: Ordenar a la sociedad Miro Seguridad Ltda., identificada con el Nit. No. 890.932.539-6, que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, dé respuesta completa y de fondo a la petición enviada el día 25 de agosto de 2018 por el Señor Xxxx Xxxxx Xxxxxxx Xxxxxx identificado con cédula de ciudadanía No. (…)
PARÁGRAFO PRIMERO: La sociedad Miro Seguridad Ltda., deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad Miro Seguridad Ltda. acreedora de las sanciones previstas en la Ley. (…)” Dicha decisión fue confirmada a través de la Resolución 82806 del 31 de diciembre de 2020 “Por medio de la cual se resuelve un recurso de apelación” expedida por el Despacho del “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 11, Superintendente Delegado para la Protección de Datos Personales, motivo por el cual se reitera que la investigada, tiene la obligación de dar respuesta oportuna a las reclamaciones de los titulares, motivo por el cual con los argumentos de defensa expuestos no logró desvirtuar el cargo único formulado.
En cuanto al cuarto argumento, no le asiste razón a la investigada para justificar la omisión de dar respuesta oportuna a la reclamación interpuesta por el titular el 25 de agosto de 2018, pues por un lado existe el deber de dar respuesta oportuna a las reclamaciones de los titulares conforme a lo establecido en el artículo 15 de la Ley 1581; y por otro lado, existe el deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio tal y como lo dispone el literal i) del artículo 18 de la norma ibídem.
Ante la renuencia de la investigada para dar cumplimiento a lo primero, es decir, a dar respuesta oportuna a las reclamaciones de los titulares en su calidad de Encargada del tratamiento, esta Superintendencia en cumplimiento de sus funciones de VIGILANCIA7, inició el trámite administrativo que culminó con la expedición de la Resolución 82806 del 31 de diciembre de 2020 “Por medio de la cual se resuelve un recurso de apelación” proferida dentro de la Radicación 19-12944, con el objeto de ordenar las medidas que eran necesarias para hacer efectivo el derecho de hábeas data del titular.
De esta forma, la omisión de la investigada de dar respuesta oportuna a las reclamaciones de los titulares conforme a lo establecido en el artículo 15 de la Ley 1581, no quedó eximida con el cumplimiento a la orden administrativa que culminó con la expedición la Resolución 82806 del 31 de diciembre de 2020, toda vez que son deberes diferentes fijados por la Ley, motivo por el cual con los argumentos de defensa expuestos no logró desvirtuar el cargo único formulado.
Finalmente, en cuanto al quinto argumento, no le asiste razón a la investigada para justificar la omisión de dar respuesta oportuna a la reclamación interpuesta por el titular el 25 de agosto de 2018, pues no es cierto que el titular no haya agotado el requisito de procedibilidad señalado en el artículo 16 de la Ley 1581 de 2012. Dicha norma prevé lo siguiente: “(…) Artículo 16.
Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento. (…)” En este sentido, se reitera que la reclamación interpuesta por el titular se radicó ante la investigada el 25 de agosto de 2018.
Si bien en esa oportunidad, se envío con copia al correo contactenos@sic.gov.co de esta Superintendencia, en dicho correo electrónico no se denunció incumplimiento por parte de la investigada para dar respuesta oportuna a ese reclamo en particular, que es la conducta que se investiga en esta actuación. Así mismo, esta Superintendencia tampoco inició la actuación con base en ese correo.
Por el contrario, transcurrido el término establecido en el artículo 15 de la Ley 1581 sin que la investigada diera respuesta oportuna a la petición, el titular reclamante informó a esta Superintendencia el 25 de septiembre de 2018 a través de correo electrónico con Radicación 18215285-03 8 que para esa fecha, las entidades requeridas aún no habían dado respuesta a su reclamación. Es decir, que con base en esta denuncia es que se logra establecer que el titular sí agotó previamente el requisito de procedibilidad establecido en el artículo 16 de la norma ibídem.
Inclusive, posteriormente el titular a través de denuncia con Radicación 19-012944-00 del 21 de enero de 2019, remite a esta Superintendencia copia de la reclamación no contestada hasta esa fecha, con el objeto de establecer las actuaciones correspondientes frente a dicha omisión. En este punto, vale la pena recordar, recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al Ley 1581 de 2012.
Literal b) artículo 21. Expediente virtual. Consecutivo Nº 1. Pág. 20 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 12, interesado (…)”9. Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante.
(…)”10. De igual manera, en la sentencia T-490 del 201811 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015. A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”.
En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. 42. Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”.
Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43. Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente.
La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.
La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.
(…)”. (Subrayado fuera del texto original). Es evidente, por lo tanto, que la obligación del Encargado del Tratamiento no cesa con la simple resolución del derecho de petición elevado por el titular de la información, es necesario además que dicha solución remedie sin confusiones el fondo del asunto; que este dotada de claridad y congruencia entre lo pedido y lo resuelto; e igualmente, que su oportuna respuesta se ponga en conocimiento del solicitante, sin que pueda tenerse como real, una contestación falta de constancia y que sólo sea conocida por la persona o entidad de quien se solicita la información relacionada con sus datos personales.
De acuerdo con lo anterior, se logró determinar con base en los documentos que acreditan el agotamiento del requisito de procedibilidad que la sociedad investigada MIRO SEGURIDAD LTDA dio respuesta a la reclamación del titular hasta el 19 de enero del 2021, es decir, dos (2) años, cuatro (4) meses y cinco (5) días después del término establecido por la Ley para el efecto, motivo por el cual ninguno de los argumentos de defensa expuestos por la investigada logran desvirtuar el cargo único formulado; y en virtud de lo anterior, se impondrá la sanción que corresponda.
En virtud de lo anterior, EXHORTAMOS al representante legal de la sociedad MIRO SEGURIDAD LTDA, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 9 Sentencia T-149 de 2013 M.P. Luis Guillermo Guerrero Pérez 10 Ibídem 11 Sentencia T-490 de 2018 M.P. Carlos Bernal Pulido “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 13, 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”12”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.
DÉCIMO SEGUNDO: En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna a esta Superintendencia, entre otras funciones, el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir las siguiente instrucción: • Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012; y en especial, para la atención de consultas y reclamos por parte de los Titulares De lo anteriormente ordenado la sociedad deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO TERCERO: Conclusión La investigada infringió la norma contenida en el literal e) del artículo 18 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma norma, debido a que, omitió responder oportunamente la reclamación interpuesta por el titular el 25 de agosto de 2018 dentro del término establecido por la Ley en su calidad de Encargada del tratamiento.
DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 14, d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 13.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “(…) ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.(…)” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional14 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 15, De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad (…) ”15 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de hábeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de hábeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros16. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”17.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia18. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 16, La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2319 de la misma.
Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.
Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.
Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.
Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 17, Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales. (…)20 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que la conducta demostrada de la sociedad MIRO SEGURIDAD LTDA afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias. En el caso sub examine, está probado el actuar negligente por parte de sociedad respecto de dar respuesta oportuna a las reclamaciones interpuestas por los titulares, pues transcurrieron dos años, cuatro meses y cinco días hasta que se dio respuesta oportuna a dicha reclamación, razón por la cual se impondrá sanción por parte de esta Dirección, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, de una multa de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400) correspondiente a 300 Unidades de Valor Tributario – UVT Vigentes. 14.1.2.
Otros criterios de graduación Por último los criterios de graduación de la sanción señalados en la ley 1581 de 2012 artículo 24 literales b), c), d) y e) que agravan el monto de la sanción no serán tenidos en cuenta debido a que (i) dentro de la diligencia realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio y (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio.
Finalmente, la investigada no se beneficiará del criterio de atenuación del literal f) ibídem, con relación al cargo único, porque la investigada no aceptó la comisión las infracciones, sino que por el contrario, justificó su actuar en argumentos improcedentes conforme se ha explicado en líneas anteriores.
DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad MIRO SEGURIDAD LTDA con Número de Identificación Tributaria 890.932.539-6, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad albeiro.marin@miroseguridad.com quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. FJ: 2.22.3. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA Nº 18, En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad a los correos electrónicos contactenos@sic.gov.co y hábeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad MIRO SEGURIDAD LTDA considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y hábeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuan to se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center al teléfono 60 (1) 592 0400, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad MIRO SEGURIDAD LTDA con Número de Identificación Tributaria 890.932.539-6, de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400) correspondiente a 300 Unidades de Valor Tributario – UVT Vigentes por violación a lo dispuesto en el literal o) del artículo del artículo 17 de la Ley 1581 de 2012.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad MIRO SEGURIDAD LTDA con Número de Identificación Tributaria 890.932.539-6, cumplir con la siguiente instrucción: • Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares.
PÁRAGRAFO PRIMERO: La sociedad MIRO SEGURIDAD LTDA con Número de Identificación Tributaria 890.932.539-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro del término de un mes posterior a la ejecutoria del presente acto administrativo. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo, emitida por un auditor externo y suscrita por el representante legal de la sociedad.
ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad MIRO SEGURIDAD LTDA con Número de Identificación Tributaria 890.932.539-6, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. HOJA Nº 19, “Por la cual se impone una sanción administrativa y se imparte una orden”
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXX XXXXX XXXXXXX XXXXXX, identificado con cédula de ciudadanía X.XXX.XXX.XXX ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 05 NOVIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2021.11.05 20:48:08 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DARM Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: MIRO SEGURIDAD LTDA Nit. 890.932.539-6 XXXXX XXXXXX XXXXX XXXXXX C.X. N°.
XX.XXX.XXXX Carrera 42 # 14 - 74 Medellín, Antioquia - Colombia albeiro.marin@miroseguridad.com COMUNICACIÓN: Denunciante: Identificación: Correo electrónico: Dirección: Ciudad: XXXX XXXXX XXXXXXX XXXXXX C.C. No. X.XXX.XXX.XXX xxxxxxxx@xxxxxx.xxx xxxxx # xx – xx xxxx xx xxxxxx xx, xxxxxxxx