Resolución sancionatoria N° 15960 de 2022

(Marzo 29 de 2022) Radicación 20-221040 VERSIÓN ÚNICA EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y,

CONSIDERANDO

PRIMERO. Mediante Resolución No. 39508 del 28 de junio de 2021, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación iniciada contra la CÁMARA DE COMERCIO DE MONTERÍA identificada con el Nit. 891.080.019-4 (en adelante la CÁMARA DE COMERCIO), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la CÁMARA DE COMERCIO DE MONTERIA, identificada con el Nit.891.080.019-4 de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS MCTE ($50.831.200) equivalentes a 1400 UVT Unidad de Valor Tributario, por la vulneración de lo dispuesto en las normas que se relacionan a continuación, respecto de los formularios (i) Registrarse en la CCM y (ii) Solicitud de PQR’S, así: i. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. ii.

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

ARTÍCULO SEGUNDO: ARCHIVAR el cargo formulado en el artículo segundo de la Resolución 51634 del 28 de agosto de 2020, de conformidad con la parte considerativa del presente acto administrativo.

SEGUNDO. La CÁMARA DE COMERCIO a través de su Presidente Ejecutivo (en adelante el RECURRENTE) el 10 de julio de 2021 interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución No. 39508 del 28 de junio de 2021, en los siguientes términos: “MOTIVOS DE INCONFORMIDAD

1. NULIDAD DE LA RESOLUCIÓN SANCIONATORIA POR VIOLACIÓN DEL DEBIDO PROCESO, DERECHO DE DEFENSA Y CONTRADICCIÓN De conformidad con las actuaciones adelantadas en el presente proceso administrativo, tenemos que la Dirección de Investigaciones de Datos Personales requirió a la Cámara de Comercio de Montería, para que respondiera un cuestionario relacionado con la protección que mediara Resolución de apertura de investigación preliminar encaminada a determinar presuntas infracciones a la Ley de datos personales.

Con ocasión al requerimiento efectuado, el día 15 de julio de 2020, dio respuesta al cuestionario formulado, sin que conociese sobre la apertura de actuación administrativa de carácter sancionatoria por presuntas infracciones a la Ley de datos personales. 1 Conforme a constancia suscrita por el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-221040-19 del 13 de julio de 2021, la Resolución No. 39508 del 28 de junio de 2021 fue notificada de manera electrónica a la CÁMARA DE COMERCIO el 28 de abril de 2021, con lo cual el término para presentar los recursos vencía el 13 de julio de 2021.

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Posteriormente, la Dirección de Investigaciones de Datos Personales de la SIC, profiere Resolución 51634 de 28 de agosto de 2020, formulando pliego de cargos en los términos indicados en el numeral 2 del presente recurso. De acuerdo con lo expresado por la SIC en la resolución 51634 de 28 de agosto de 2020, el Grupo de Trabajo de Informática Forense de la SIC, entre los días 17 a 22 de julio de 2020, practicó la preservación de la página web de la Cámara de Comercio de Montería, según un acta numerado 68 de 17 de julio de 2020.

Acta que sirvió de prueba para la formulación de Pliego de Cargos e Imposición de Sanción. La mencionada Acta No. 68 de 17 de julio de 2020, según se lee en la Resolución 51634 de 28 de agosto de 2020, emanada del Laboratorio de Informática Forense y Seguridad Digital de la SIC, consignó los resultados de una experticia practicada anticipadamente y sin que fuere ordenado como prueba dentro de la actuación administrativa y sin intervención de la parte investigada.

Esta acta concluyó lo siguiente: “Una vez explorado el sitio web de dominio de la investigada, a 17 de julio de 2020 se evidenciaron varios hallazgos por parte del Laboratorio de Informática Forense y Seguridad Digital de esta entidad, quien elaboró, entre el 17 y 22 de julio de 2020 el Acta de Preservación de sitios web No. 068 del mismo año. En dicha acta se destaca, entre otras, lo siguiente: En cuanto a la recolección de Datos personales realizada por la Cámara de Comercio de Montería a través de su página web, se pudo verificar la existencia de dos (2) formularios para tal fin: Formulario “Registrarse en la CCM” (Páginas 23-25 del Acta de Preservación de Páginas web No. 068 de 2020).

Formulario“SolicitudPQR`S”(Páginas25y26delActadePreservacióndePáginas web No. 068 de 2020).” Luego de formulado el pliego de cargos y presentado los descargos por la Cámara de Comercio de Montería, la Dirección de Investigaciones de Datos Personales, profiere Resolución 74979 de 24 de noviembre de 2020, por medio de la cual prescinde del periodo probatorio y corre traslado para alegar, incorporando dentro del mismo acto administrativo, las pruebas recopiladas en la etapa previa la Resolución 51634 de 28 de agosto de 2020de datos personales.

Este requerimiento fue expedido el día 8 de julio de 2020, sin (Pliego de Cargos), sin que se otorgara la oportunidad a la entidad cameral de controvertir las pruebas allegadas al proceso, puesto que no se dio oportunidad de participar en su práctica ni se dio traslado de tal experticia para ejercer el derecho de contradicción y defensa. Conforme lo anterior, respetuosamente consideramos nula de pleno derecho, el Acta No. 68 de 17 de julio de 2020 (anterior al pliego de cargos- Resolución 51634 de 28 de agosto de 2021), que consigna la práctica de la inspección o prevención de la página web de la Cámara de Comercio de Montería, por violación de los principios y derechos al debido proceso, contradicción y defensa.

En este sentido, el artículo 3 de la Ley 1437 de 2011, dispone como principios de la actuación administrativa, lo siguiente: “ARTÍCULO 3o. PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” Por su parte, el artículo 35 de la norma ibídem, ordena: “ARTÍCULO

35. TRÁMITE DE LA ACTUACIÓN Y AUDIENCIAS. Los procedimientos administrativos se adelantarán por escrito, verbalmente, o por medios electrónicos de conformidad con lo dispuesto en este Código o la ley. Cuando las autoridades procedan de oficio, los procedimientos administrativos únicamente podrán iniciarse mediante escrito, y por medio electrónico sólo cuando lo autoricen este Código o la ley, debiendo informar de la iniciación de la actuación al interesado para el ejercicio del derecho de defensa.

Las autoridades podrán decretar la práctica de audiencias en el curso de las actuaciones con el objeto de promover la participación ciudadana, asegurar el derecho de contradicción, o contribuir a la pronta adopción de decisiones. De toda audiencia se dejará constancia de lo acontecido en ella.” En concordancia con lo anterior, el artículo 40 ibídem, de forma imperativa dispone la obligación de otorgar oportunidad de controvertir las pruebas practicadas o allegadas al expediente, en los siguientes términos: “ARTÍCULO 40.

PRUEBAS. Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Contra el acto que decida la solicitud de pruebas no proceden recursos.

El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. … Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil”. De acuerdo con las disposiciones normativas citadas, tenemos que al prescindir del periodo probatorio mediante Resolución 74979 de 24 de noviembre de 2020, se cercenó el derecho a la Cámara de Comercio de Montería para controvertir la experticia practicada por el Laboratorio Forense y Seguridad Digital de la SIC, contenido en el mencionada Acta No. 68 de 17 de julio de 2020.

Y es más grave el hecho que tal experticia se realizó sin intervención del investigado, antes de la formulación de pliego de cargos y si fue en forma de prueba anticipada, debió correrse traslado para efectos de ser controvertido técnica o jurídicamente. El mismo artículo 40 C.P.A.C.A., dispone que en la actuación administrativa serán admisibles los medios probatorios establecidos en el CPC, hoy CGP, y dada la naturaleza de lo realizado por el Laboratorio de Informática Forense y Seguridad Digital de la SIC, las disposiciones aplicables son las de la Prueba Pericial regulado en los artículos 226 y ss.

(Capítulo VI, Título Único, Sección Tercera) del Código General del Proceso, puesto que tal actividad requiere de conocimientos técnicos y especiales. El artículo 226 del CGP, dispone: “ARTÍCULO 226. PROCEDENCIA. La prueba pericial es procedente para verificar hechos que interesen al proceso y requieran especiales conocimientos científicos, técnicos o artísticos. … El perito deberá manifestar bajo juramento que se entiende prestado por la firma del dictamen que su opinión es independiente y corresponde a su real convicción profesional.

El dictamen deberá acompañarse de los documentos que le sirven de fundamento y de aquellos que acrediten la idoneidad y la experiencia del perito. Todo dictamen debe ser claro, preciso, exhaustivo y detallado; en él se explicarán los exámenes, métodos, experimentos e investigaciones efectuadas, lo mismo que los fundamentos técnicos, científicos o artísticos de sus conclusiones.

El dictamen suscrito por el perito deberá contener, como mínimo, las siguientes declaraciones e informaciones: 1. La identidad de quien rinde el dictamen y de quien participó en su elaboración. 2. La dirección, el número de teléfono, número de identificación y los demás datos que faciliten la localización del perito. 3. La profesión, oficio, arte o actividad especial ejercida por quien rinde el dictamen y de quien participó en su elaboración. Deberán anexarse los documentos idóneos que lo habilitan para su ejercicio, los títulos académicos y los documentos que certifiquen la respectiva experiencia profesional, técnica o artística. 4.

La lista de publicaciones, relacionadas con la materia del peritaje, que el perito haya realizado en los últimos diez (10) años, si las tuviere. 5. La lista de casos en los que haya sido designado como perito o en los que haya participado en la elaboración de un dictamen pericial en los últimos cuatro (4) años. Dicha lista deberá incluir el juzgado o despacho en donde se presentó, el nombre de las partes, de los apoderados de las partes y la materia sobre la cual versó el dictamen. 6.

Si ha sido designado en procesos anteriores o en curso por la misma parte o por el mismo apoderado de la parte, indicando el objeto del dictamen. 7. Si se encuentra incurso en las causales contenidas en el artículo 50, en lo pertinente. 8. Declarar si los exámenes, métodos, experimentos e investigaciones efectuados son diferentes respecto de los que ha utilizado en peritajes rendidos en anteriores procesos que versen sobre las mismas materias.

En caso de que sea diferente, deberá explicar la justificación de la variación. 9. Declarar si los exámenes, métodos, experimentos e investigaciones efectuados son diferentes respecto de aquellos que utiliza en el ejercicio regular de su profesión u oficio. En caso de que sea diferente, deberá explicar la justificación de la variación. 10.

Relacionar y adjuntar los documentos e información utilizados para la elaboración del dictamen. Como prueba pericial realizada, se desconocen los actos administrativos que ordenó su práctica. Si fue realizado como prueba anticipada, esta debió ponerse a consideración del investigado y cómo mínimo otorgar oportunidad y plazo para controvertirla u objetarla.

Todo lo anterior fue cercenado por la SIC en el presente proceso. Como colofón, el Acta 68 de 17 de julio de 2020, proveniente del Grupo de Trabajo de Informática Forense de la SIC, incorporada al proceso sancionatorio es Nula de pleno derecho, dado que sólo adquirió el carácter de prueba en virtud de la Resolución No. 74979 de 24 de noviembre de 2020.

Acto dentro del cual se prescindió del periodo probatorio y jamás se dio traslado de dicha experticia ni se otorgó la oportunidad para controvertir u objetarla de conformidad con el artículo 40 de la Ley 1437 de 2011 y demás normas concordantes, en especial, las contenidas en el Código General del Proceso.

2. NULIDAD DE LA RESOLUCIÓN SANCIONATORIA POR FALTA DE MOTIVACIÓN Y VIOLACIÓN DE LA LEY A LAS QUE DEBE ESTAR SUJETA. En primer lugar, es de acotar que en el Estado Colombiano no impera el principio de Responsabilidad Objetiva, por lo que considerarse que todo pliego de cargos automáticamente genera sanción al presunto infractor, contraría los postulados de contradicción y defensa, pues deben considerase factores que prueban su culpabilidad dentro de la actuación administrativa adelantada.

En síntesis, la conducta desplegada por la Cámara de Comercio de Montería, se enmarca dentro de los postulados legales, lo que se desvirtúan las presuntas infracciones endilgadas, como se sustentará a continuación. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Dentro del presente proceso, la Dirección de Investigaciones de Datos Personales, para efectos de la dosificación de la sanción, concluyó lo siguiente: “… este Despacho para la imposición de la sanción tuvo en cuenta lo establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, en la medida que, como se dijo, basta que la conducta o conductas investigadas hayan puesto en peligro los intereses jurídicos protegidos por la Ley.

Cuando el Responsable del tratamiento no cumple con los deberes que le impone la Ley, vulnera el derecho de habeas data protegido por la Ley 1581 de 2012. En lo que tiene que ver con los criterios señalados en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.” Conforme a lo anterior, tenemos que el único elemento normativo argumentado por la SIC (como circunstancia agravante), hace referencia a una puesta en peligro de los intereses jurídicos tutelados por la Ley de datos personales, lo cual no fue comprobado en forma fehaciente y contundente dado los vicios de nulidad que afectan la validez de la prueba (Acta No. 68 de 17 de julio de 2020).

Además, dado que no hubo término probatorio dentro del proceso sancionatorio (por haberse prescindo del mismo), se desconoce por parte de la SIC a ciencia cierta la cantidad de titulares de información personal a los que se les hubiere afectado o vulnerado sus derechos. No se tiene dentro del expediente prueba o elemento que acredite la cantidad de usuarios o personas que acceder o registran a la página web de la Cámara de Comercio de Montería. Tampoco obra dentro del expediente cifra o datos que permitan inferir el grado de peligro por la masividad de visitas a dicha plataforma web.

Ante la ausencia de pruebas y criterios para determinar con certeza la afectación a los intereses o la puesta en peligro de los mismos, las afirmaciones de la SIC en la resolución sanción, se tornan en elucubraciones o apreciaciones subjetivas, aplicando un régimen de responsabilidad objetiva, en el que prácticamente, le corresponden al presunto infractor demostrar su inocencia, cuando en realidad debe demostrarse su responsabilidad en la modalidad de dolo o culpa.

En este sentido, se desvirtúa el único elemento agravante endilgado (literal a) del artículo 24 de la Ley 1581 de 2012). Al señalarse por parte de la SIC “basta que la conducta o conductas investigadas hayan puesto en peligro los intereses jurídicos protegidos por la Ley”, se debió establecerse con certeza el grado de peligro y la magnitud del mismo con evidencias o pruebas concretas y conducentes oportunamente practicadas dentro del proceso, más no imponer una sanción por la presunta comisión de una infracción, sin evaluar circunstancias eximentes de responsabilidad administrativa.

Sólo se analizaron criterios de agravación y atenuación sancionatoria, con lo cual ningún agravante está demostrado como se anotó. Como bien lo señala la Dirección de Investigaciones de Datos Personales, la Cámara de Comercio de Montería realizó las modificaciones correspondientes antes de la imposición de la sanción, con lo cual, al verificarse por parte de la entidad el cumplimiento de normatividad presuntamente infringida, debió aplicar el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

En este sentido, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, establece: “la verificación de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley (…)” Ante lo descrito por la norma, tenemos que es obligatorio aplicar por parte de la SIC dicha disposición, debido que el Decreto establece un verbo imperativo “será tenida en cuenta al momento de evaluar la imposición de sanciones”, lo que excluye toda consideración facultativa.

Adicionalmente, es clara la obligación de aplicar el contenido normativo, puesto que se verificó por parte de la SIC el cumplimiento de los requerimientos efectuados antes de la imposición de la sanción, situación que se corrobora porque no se impartieron órdenes ni correctivos en el acto sancionatorio. Por lo anterior, resulta contrario a derecho los argumentos de la SIC al denegar la aplicación de la norma citada, bajo el argumento que dichos correctivos fueron efectuados cuando la actuación administrativa habría iniciado, siendo que precisamente la disposición normativa establece que precisamente es “al momento de evaluar la imposición de sanciones” que debe tenerse en cuenta la existencia de medidas y políticas adoptadas para el manejo adecuado de datos personales.

Precisamente en casos más graves y sonados en el país (Rappi, Bancos, Etc.), la SIC ha obrado en forma diferente, dado que en esos casos en donde la gravedad es mayor y no de revisión de formularios para registro y PQRS como el nuestro, el ente de vigilancia y control, mediante actos administrativos, imparte instrucciones y medidas correctivas, otorgando plazos para su cumplimento.

En caso de inobservancia, procede con la formulación de pliego de cargos y posterior sanción, previo agotamiento del proceso de rigor. Sin embargo, en esta oportunidad la Cámara de Comercio de Montería implementó las medidas y modificaciones pertinentes para garantizar la recolección, manejo y tratamiento adecuado de la información, en forma previa a la Resolución sanción que hoy se recurre.

VERSIÓN UNICA “Por la cual se resuelve un recurso de apelación” En conclusión, consideramos respetuosamente que la sanción debe ser revocada y adicionalmente, aplicar el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

3. NULIDAD DE LA RESOLUCIÓN SANCIÓN POR FALTA DE MOTICACIÓN (sic) Y APLICACIÓN DEL PRINCIPIO DE BUENA FE ADMINISTRATIVA Conforme a lo antes expuesto, consideramos respetuosamente que el acto administrativo recurrido carece de motivación suficiente y concreta para imponer sanción pecuniaria, dado que no se acreditó por parte de la SIC la existencia de daño alguno a persona natural que se hubiere registrado en la página web de la Cámara de Comercio o al momento de formular una PQRS.

Tampoco se acreditó por parte de la ente investigador, el uso inadecuado de la información recolectada. En igual sentido, no se acreditó la afectación real o puesta en peligro ni el grado del mismo, que permitiera establecer una responsabilidad a título de dolo o culpa para imponer una sanción en la cuantía señalada en el acto recurrido. En adición a lo anterior, dentro del presente proceso tampoco existe evidencia de quejas, peticiones, reclamos ni sanciones reiteradas que demuestren afectaciones a los intereses de los titulares de la información, ni que materialice realmente la puesta en peligro a los bienes jurídicos de las personas.

Todo lo anterior, por la ausencia de los medios probatorios de conformidad con lo establecido en el Código General del Proceso, que se hubiere practicado en legal forma con las garantías propias del proceso administrativo y con observancia de los derechos de contradicción y defensa. En el presente caso, es claro que la Cámara de Comercio de Montería, actuó de buena fe y sin la intención recolectar más información de la estrictamente necesaria para los fines de los servicios camerales que se prestan, como fue indicado en las respuestas a los requerimientos efectuados.

La honorable Corte Constitucional1, al analizar el principio constitucional de Buena Fe, entre otros principios legales, expresó lo siguiente: “La buena fe ha sido, desde tiempos inmemoriales, uno de los principios fundamentales del derecho, ya se mire por su aspecto activo, como el deber de proceder con lealtad en nuestras relaciones jurídicas, o por el aspecto pasivo, como el derecho a esperar que los demás procedan en la misma forma.

En general, los hombres proceden de buena fe: es lo que usualmente ocurre. Además, el proceder de mala fe, cuando media una relación jurídica, en principio constituye una conducta contraria al orden jurídico y sancionada por éste. En consecuencia, es una regla general que la buena fe se presume: de una parte es la manera usual de comportarse; y de la otra, a la luz del derecho, las faltas deben comprobarse.

Y es una falta el quebrantar la buena fe”. “Claro resulta por qué la norma tiene dos partes: la primera, la consagración de la obligación de actuar de buena fe, obligación que se predica por igual de los particulares y de las autoridades públicas. La segunda, la reiteración de la presunción de la buena fe de los particulares en todas las gestiones que adelanten ante las autoridades públicas”.

“Es, pues, una norma que establece el marco dentro del cual deben cumplirse las relaciones de los particulares con las autoridades públicas. Naturalmente, es discutible si el hecho de consagrar en la Constitución la regla de la buena fe, contribuya a darle una vigencia mayor en la vida de relación, o disminuya la frecuencia de los comportamientos que la contrarían”.

TERCERO. Mediante Resolución No. 6251 del 16 de febrero de 2022, la Dirección de Investigación para la Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 39508 del 28 de junio de 2021.

CUARTO. De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá́ a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO:

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE PROTECCIÓN DE DATOS PERSONALES. DELEGADO PARA LA El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (Modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA 8. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

2. DE LAS SOLICITUDES DE NULIDAD. Tal y como lo indicó la Dirección de Investigación de Protección de Datos Personales, determinar que un acto administrativo es nulo, por cualquiera de las causales legales, no es de competencia de esta Superintendencia, esa potestad corresponde únicamente a la jurisdicción de lo contencioso administrativo, razón por la cual no puede este Despacho realizar pronunciamiento alguno. Efectivamente, la anulación de un acto administrativo solo puede promover a través de la acción judicial conforme a las normas de competencia establecidas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

No obstante, este Despacho se permite presentar las siguientes consideraciones.

3. NO HUBO VULNERACIÓN AL DEBIDO PROCESO. Recapitulando las actividades realizadas por parte de esta Superintendencia, en la actuación administrativa adelantada en contra de la CÁMARA DE COMERCIO, se tiene que: a) El artículo 193 de la Ley 1581 de 2012, otorga a esta Superintendencia, la competencia para, ejercer la vigilancia sobre Responsables y Encargados, para garantizar que, en el tratamiento de datos personales, se respeten los principios, derechos, garantías y procedimientos descritos en la citada ley. b) La Delegatura para la Protección de Datos Personales, bajo las premisas del artículo 214 de la Ley 1581 de 2012, está en la capacidad de iniciar de oficio las actuaciones administrativas que considere pertinentes en contra de los Responsables del tratamiento de datos personales, para que, una vez determinado si hubo incumplimiento de las normas de protección de datos, adopte las medidas necesarias o imponga las sanciones correspondientes si a ello hubiese lugar5. c) Bajo las citadas premisas, la Dirección de Investigación de Protección de Datos requirió6 a la CAMARA DE COMERCIO para que resolviera unos interrogantes respecto de los procedimientos relacionados con la protección de datos personales. d) Con el fin de verificar que la recolección de datos personales que realiza la CÁMARA DE COMERCIO a través de su página web, se encontraba conforme a los diferentes principios que protegen el tratamiento de datos, se solicitó al Grupo de Trabajo de Informática Forense y Seguridad, la preservación de la página web https://www.ccmonteria.org.co7. e) Tal y como lo indicó la Dirección de Investigación de Protección de Datos Personales, cuando impuso la sanción que se debate, y el recurso de reposición, los resultados del análisis del sitio web de la CÁMARA DE COMERCIO fueron incluidos en el Acta No. 068 del 17 de julio de 2020, encontrándose que a través de los formularios (i) Registrarme en la CCM y (ii) Solicitud de PQRS, se realizaba la recolección de datos personales, sin solicitar la autorización de los titulares, como tampoco se informaba de manera clara la finalidad de su recolección, deberes 3 ARTÍCULO

19. AUTORIDAD DE PROTECCIÓN DE DATOS. <Artículo CONDICIONALMENTE exequible> La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

PARÁGRAFO 1 o. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia de Industria y Comercio un despacho de Superintendente Delegado para ejercer las funciones de Autoridad de Protección de Datos.

PARÁGRAFO 2 o. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma.

ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; 5 ARTÍCULO 22.

TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. 6 Oficio No. 20-221040-01 del 8 de julio de 2020 7 Sitio Web correspondiente a la Cámara de Comercio de Montería. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA que los Responsables del tratamiento están obligados a cumplir, de conformidad con lo establecido en los literales b) y c) del artículo 17 de la Ley 1581 de 2012, razones por las que fueron formulados los cargos en la Resolución No. 51634 del 28 de agosto de 2020. f) Este Despacho al verificar la Resolución No. 51634 del 28 de agosto de 2020, encuentra que los principales hallazgos relacionados en el Acta No. 68 del 17 de julio de 2020, que llevaron finalmente a la imposición de la sanción administrativa, fueron incluidos en el citado acto administrativo.

Con el escrito de descargos, la CÁMARA DE COMERCIO se pronunció frente dichos hallazgos, indicando que respecto a ellos se tomaron las medidas correctivas necesarias, por estas razones, tal y como lo dijo la Dirección de Investigación de Protección de Datos Personales, en el presente caso, no ha habido vulneración alguna al debido proceso.

La Constitución Política8, consagró el debido proceso como una garantía que tiene todo ciudadano frente a las prerrogativas ejercidas por las autoridades administrativas y judiciales en sus diferentes actuaciones. De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca en todo momento, (i) asegurar el ordenado funcionamiento de la administración (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados9.

De igual forma, la Corte se refirió a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “(…) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”10.

(Negrilla fuera de texto) Frente al derecho de defensa, la Dirección de Investigación de Protección de Datos Personales, de conformidad con lo establecido en el artículo 7911 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, mediante Resolución No. 56786 del 2 de septiembre de 2021, a pesar de que, la preservación de la página web de la CÁMARA DE COMERCIO, es el resultado de la función de vigilancia que tiene esta superintendencia frente al cumplimiento de las normas de protección de datos personales, y cuyos hallazgos fueron incluidos en el acto administrativo que formuló los cargos y sobre los cuales hubo pronunciamiento en el escrito de descargos, puso a disposición el Acta de Preservación No. 068 del 17 de julio de 2020, para que realizara las observaciones que considerara procedentes.

Comparte entonces este Despacho, lo indicado por la primera instancia cuando dice que el “Código de Procedimiento Administrativo y de lo Contencioso Administrativo, conforme a los principios que rigen la actuación administrativa, garantiza en cada una de sus etapas el debido proceso, otorgando a la administración la oportunidad decretar pruebas de oficio y al administrado de solicitar la práctica de éstas, todo con el único fin de tomar la decisión que en derecho corresponda.

Situación que en la etapa de recursos no va en contravía de las garantías establecidas”. Situación que se encuentra estrechamente relacionada con la finalidad de los recursos de reposición y apelación en la actuación administrativa, pues permite “a quien expidió un acto administrativo 8 Constitución Política, artículo 29: “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable.

Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso“. 9 Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo. 10 Ibidem. 11 ARTÍCULO

79. TRÁMITE DE LOS RECURSOS Y PRUEBAS. Los recursos se tramitarán en el efecto suspensivo. Los recursos de reposición y de apelación deberán resolverse de plano, a no ser que al interponerlos se haya solicitado la práctica de pruebas, o que el funcionario que ha de decidir el recurso considere necesario decretarlas de oficio. Cuando con un recurso se presenten pruebas, si se trata de un trámite en el que interviene más de una parte, deberá darse tra slado a las demás por el término de cinco (5) días.

Cuando sea del caso practicar pruebas, se señalará para ello un término no mayor de treinta (30) días. Los términos inferiores podrán prorrogarse por una sola vez, sin que con la prórroga el término exceda de treinta (30) días. En el acto que decrete la práctica de pruebas se indicará el día en que vence el término probatorio. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA revise a instancia de parte interesada la conformidad del acto con el ordenamiento jurídico que le es aplicable, de modo que pueda aclarar, modificar o revocar dicho acto si es del caso.

Se da así una autotutela jurídica que busca facilitarle al emisor del acto a su superior, enmendar o corregir los errores o desaciertos de hecho o de derecho que pudieron afectarlo en el momento de su formación o nacimiento a la vida jurídica, y de esta manera evitarle al Estado, en lo posible, procesos judiciales por causa del mismo acto.

De esta forma es un privilegio en favor suyo, por cuanto los actos o decisiones administrativas que requieren el agotamiento de esta etapa no pueden ser impugnadas judicialmente sin el cumplimiento de este presupuesto [2]12. Conforme a lo anterior, considera este Despacho que a lo largo de la presente actuación administrativa se respetó el debido proceso de la CAMARA DE COMERCIO.

No obstante, la CÁMARA DE COMERCIO, en su calidad de Responsable del tratamiento de datos personales, no demostró que respecto de los formularios (i) Registrarme en la CCM y (ii) Solicitud de PQRS, cumplió con los deberes de solicitar la autorización de los titulares e informar su finalidad.

4. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”19. Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 13, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “Potestad sancionatoria”, la Corte Constitucional ha señalado: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.

(v) La 12 [2] Tales aspectos están reconocidos en la Sentencia C- 339 de 1996, cuando indica: “permitir a la Administración la corrección de sus propios actos mediante su modificación, aclaración o revocatoria y, a los administrados la garantía de sus derechos por aquella, sin tener que acudir a la instancia judicial. Existe además la necesidad del agotamiento de la vía gubernativa, como un requisito previo, establecido por la ley, para acudir a la jurisdicción contencioso administrativa, lo que implica, nada menos, que su debido agotamiento es un requisito indispensable para el ejercicio, en los casos de ley, del derecho fundamental al libre acceso a la justicia. La razón de la exigencia legal del agotamiento señalado, es la de que la administración revise los reparos que se le formulen a su actuación, aunque de que conozca de ellos quién tiene la competencia para jugarlos a fin de que pueda enmendarlos ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.” 14 En el mismo sentido, y en relación con los principios15 señalados, dicha corporación por medio de la Sentencia C-948 de 2002 manifestó: “En la doctrina[36]16se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta [37] 17 ), de proporcionalidad o el denominado non bis in ídem”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”18. Por lo tanto, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal.

En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”19.

Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia C – 748 de 2011 sostuvo: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

(Negrilla fuera de texto) Se concluye entonces que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del Tratamiento de la información. 14 Corte Constitucional. Sentencia C-748 de 2011 15 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 16 [36] Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 17 [37] Ver Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 18 [203] Sentencia C-406 de 2004. 19 Sentencias C-827 de 2001 y C-343 de 2006. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA Así las cosas, en el caso bajo estudio, se dan los presupuestos requeridos para determinar que la conducta desplegada por la CÁMARA DE COMERCIO vulneró las normas de protección del derecho de habeas data relacionadas con los deberes de solicitar la autorización e informar sobre la finalidad de la recolección de la información. Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 constitucional20.. Esos criterios, según la Sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f).

Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de Datos personales debe analizar los criterios de graduación que sean pertinentes o, como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se usan en el caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.

Es necesario igualmente precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada ley21.

Ese efecto negativo tiene como finalidad no solo sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental a la Protección de Datos Personales, entre otros22. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de Datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el en el artículo 15 de la Constitución Política Nacional, y que, en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana; el buen nombre; la intimidad; etc.

Del mismo modo, la vulneración del Derecho Fundamental a la Protección de Datos Personales no solo afecta los derechos de una persona en particular, sino que, pone en riesgo los derechos 20 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 21 El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.

(negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.

En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) 22 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. VERSIÓN UNICA “Por la cual se resuelve un recurso de apelación” fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad.

De conformidad con lo indicado, las sanciones impuestas son proporcionales si se tiene en cuenta que el monto límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes. Para el caso concreto, la multa impuesta a la CÁMARA DE COMERCIO corresponde al 2.79% del citado límite.

Finalmente, resulta pertinente resaltar lo siguiente: 1. La multa de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($50.831.200), equivale al 2.79% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 2. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. 3. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. 4.

Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. 5.

La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia24. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

6. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable del Tratamiento la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”25.

Adicionalmente, los Responsables o Encargados del Tratamiento no son dueños de los Datos personales que reposan en sus Bases de Datos o archivos. En efecto, ellos son meros tenedores 23 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 25 Cfr. Corte Constitucional, sentencia T-227 de 2003 la cual se puede consultar en: “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los Titulares de los Datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2626 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar que puso en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (Accountability)”27. El término “Accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012, son las siguientes: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –Accountability- demanda implementar acciones de diversa naturaleza 28 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y 26 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 27 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 28 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos.

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 29.

(Destacamos). El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los Titulares de los Datos personales y su gestión siempre sea respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los anteriores aspectos mencionados en la guía 30, ponemos de presente que el principio de responsabilidad demostrada se articula con el concepto de “Compliance” en la medida que este hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”31.

También se ha afirmado que “Compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”32. Adicionalmente, se precisa que ya no vale solo intentar cumplir la ley sino que las organizaciones deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de Compliance33. Por tanto, las organizaciones deben “implementar el Compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “Accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del Compliance y buena parte de lo que implica el principio de responsabilidad demostrada (Accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”34 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”35.

Manifiesta el RECURRENTE que frente a los hallazgos encontrados por parte de esta Superintendencia relacionados con la protección de datos personales se realizaron las 29 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “Accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) 32 Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de Compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 33 Idem 34 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

Págs 16-18 35 Ibid. P 16 31 Cfr. “Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA modificaciones correspondientes, por lo que considera procedente la aplicación de lo establecido en inciso segundo del artículo 2.2.2.25.6.236 del Decreto 1074 de 2015. Como lo ha indicado el Despacho, la CÁMARA DE COMERCIO vulneró los deberes que como Responsable en el tratamiento de datos personales está llamada a cumplir.

Los formularios (i) Registrarse en la CCM y (ii) Solicitud de PQR’S, corresponden a actividades propias de la entidad, por lo que estaba en la obligación de solicitar de los titulares de la información la autorización para el tratamiento, así como informar respecto de la finalidad de dicho tratamiento. Ahora, si bien es cierto que la CÁMARA DE COMERCIO, de acuerdo con lo informado, implementó medidas respecto de los hallazgos relacionados en el Acta No. 068 del 17 de julio de 2020, también lo es que la vulneración al régimen de protección de datos frente a los deberes establecidos en los literales b) y c) del artículo 17 de la Ley 1581 de 2012 no logro ser desvirtuada.

Conforme lo anterior, que se tenga en cuenta lo previsto en el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, no significa que la CÁMARA DE COMERCIO no haya vulnerado las normas de protección de datos por las cuales fue sancionada, ni tampoco indica que no pueda esta Superintendencia imponer las sanciones a que haya lugar.

7. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí́ se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así́, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las 36 ARTÍCULO 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA personas. Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora, según el artículo 22 de la ley 222 de 199537 23 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está́ o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2438 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”3925.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. 8. CONCLUSIONES. Sin perjuicio de lo establecido, no se accederá a las solicitudes de la recurrente por, entre otras, las siguientes razones: a) Esta Superintendencia no tiene la competencia para declarar la nulidad de un acto administrativo, ya que ello corresponde a la jurisdicción de lo contencioso administrativo, conforme a las competencias descritas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. b) Al verificar cada uno de las etapas de la presente actuación administrativa, encuentra el Despacho que no hubo vulneración del debido proceso de la CÁMARA DE COMERCIO. 37 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 38 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá́ la culpa del administrador. De igual manera se presumirá́ la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá́ por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será́ de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 39 Parte inicial del artículo 24 de la ley 222 de 1995.

“Por la cual se resuelve un recurso de apelación” VERSIÓN UNICA c) La CÁMARA DE COMERCIO respecto de los formularios evaluados (i) Registrarse en la CCM y (ii) Solicitud de PQR’S, están en la obligación de cumplir con los deberes relacionados en los literales b) y c) del artículo 17 de la Ley 1581 de 2012 y sus normas reglamentarias, sin que puedan ser exceptuadas de acuerdo con lo dispuesto en el artículo 10 de la citada Ley. d) Si bien es cierto la CÁMARA DE COMERCIO, de acuerdo con lo informado en el escrito de Descargos y en el recurso de reposición, implementó medidas respecto de los hallazgos relacionados en el Acta No. 068 del 17 de julio de 2020, también lo es que dicha entidad no desvirtuó la vulneración al régimen de protección de datos frente a los deberes establecidos en los literales b) y c) del artículo 17 de la Ley 1581 de 2012. e) Tener en cuenta lo previsto en el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, no quiere decir que la CÁMARA DE COMERCIO no haya vulnerado las normas de protección de datos por las cuales fue sancionada, ni que esta Superintendencia pueda imponer las sanciones a que haya lugar. f) La multa de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($50.831.200), equivale al 2.79% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).

De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 39508 del 28 de junio de 2021. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 39508 del 28 de junio de 2021, de conformidad con lo establecido en el presente acto administrativo.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a CÁMARA DE COMERCIO DE MONTERÍA, identificada con Nit. 891.080.019-4 a través de su representante legal o quien haga sus veces, en calidad de investigada, entregándole copia de la misma.

ARTÍCULO TERCERO: INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., marzo 29 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, NELSON Firmado digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.29 ANGARITA Fecha: 18:03:18 -05'00' NELSON REMOLINA ANGARITA NTL “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CÁMARA DE COMERCIO DE MONTERÍA Nit. 891.080.019-4 FELIX JOSE DE LA CRUZ MANZUR JATTIN C.C. 19.140.546 Calle 28 No. 4 – 61 Montería (Córdoba) administrativa@ccmonteria.org.co VERSIÓN UNICA