Resolución sancionatoria N° 54534 de 2024

(31 de julio de 2024) “Por la cual se imponen unas sanciones administrativas” Radicación 21-259141 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011 modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 54534 de 2023, la Dirección de Investigación de Protección de Datos Personales (E) resolvió abrir investigación administrativa y, en consecuencia, formular pliego de cargos a la sociedad RISKS INTERNATIONAL S.A.S. identificada con Nit 900.352.786-5 (en adelante la investigada), por la presunta vulneración de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, en particular en: “i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, ii) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.” 1.1 Que, mediante escrito radicado bajo el número 21-259141-0-01 del 29 de junio de 2021, el señor XXXXXXXXXXXXXxxxxxxxxxxxxxxxxx, en representación de la ASOCIACIÓN DE TRANSPORTADORES DE CARGA (ATC), puso en conocimiento de esta Superintendencia la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad RISKS INTERNATIONAL S.A.S., en los términos que se citan a continuación: 1.1.1 El denunciante expone a la sociedad investigada que “La ASOCIACIÓN DE TRANSPORTADORES DE CARGA ATC, identificada con Nit: 800.089.492-5, ve con total y suma preocupación, los bloqueos que se generan a través de la plataforma o software mediante la cual ustedes reportan o mantienen una base de datos, y sobre la cual se sirven y hacen uso de ella personal vinculado a múltiples empresas de transporte publico de carga debidamente habilitadas por el ministerio de transporte, para manifestar y aplicar reportes negativos a diferentes personas en su condición de conductores de vehículo de carga, sin explicación alguna sustento en el momento del veto que reciben, limitándolos y hasta “Por la cual se imponen unas sanciones administrativas” estigmatizándolos en una actividad que aparte de ser riesgosa es su modo de vida y de la cual dependen a diario múltiples familias y hasta el país”.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos: (…) Lo anterior, toda vez que se reitera, que esta marcación y/o generación de reportes negativos impiden el acceso al libre al trabajo que como transportadores de carga ofertan los señores antes descritos, ante diferentes empresas de transporte. Pues ha de tenerse en cuenta que la información que reposa ante diferentes entidades públicas y autoridades NO debe impedir, NI restringir, NI condicionar la actividad laboral de cualquier persona en el país, por lo que estos reportes sin justificación en el momento de los hechos y ante quienes directamente están afectados, atentan al derecho fundamental al trabajo por el uso que dan al buen nombre y a la intimidad.

Es por ello que igualmente SOLICITAMOS de manera cordial y célere: se explique públicamente para que utilizan los servicios que ofrece RISKS INTERNATIONAL a las empresas de transporte de carga que están habilitadas por el ministerio de transporte y por qué el personal adscrito a esta empresas se vale de estas bases de datos para bloquear y restringirá la actividad de algunos de los conductores de los equipos de carga en el país”. 1.1.2 Que con el propósito de dilucidar los hechos advertidos por el denunciante, la Dirección de Investigaciones de Protección de Datos, de manera oficiosa llevó a cabo unas visitas administrativas en la dirección de notificación judicial de la sociedad RISKS INTERNATIONAL S.A.S., los días 19 de agosto de 2021 y 16 de marzo de 2023, tal como consta en las actas suscritas para el efecto, obrantes en los radicados 21-259141-5 del 23 de agosto de 2021 y 21-259141- 23 del 22 de marzo de 2023, respectivamente.

SEGUNDO: Que, ocasión de los hallazgos obtenidos, mediante Resolución 54534 del 12 de septiembre de 2023, la Dirección de Investigaciones de Protección de Datos decidió abrir una investigación de carácter sancionatorio, y en consecuencia, formular pliego de cargos contra la sociedad RISKS INTERNATIONAL S.A.S., por la presunta vulneración de lo contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015. 2.1 Que la Resolución 54534 del 12 de septiembre de 2023 se notificó personalmente a la señora SILVIA CATALINA ARCHILA REINA, en representación de la sociedad RISKS INTERNATIONAL S.A.S., el 21 de septiembre de 2023, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 21-25914141 del del 09 de octubre de 2023.

TERCERO: Que mediante escritos radicados bajo los números 21-259141-47 del 27 de octubre de 223, 21-259141-48 del 0 de octubre de 2023 y 21-259141-49 del 03 de noviembre de 2023, la sociedad investigada presentó los respectivos descargos, así como las pruebas que pretende hacer valer en la presente actuación administrativa en los cuales manifestó, entre otras cosas, lo siguiente: “Por la cual se imponen unas sanciones administrativas” 3.1 En primer lugar, señala la representante que la Ley Estatutaria 1581 de 2012 no es aplicable a las bases de datos y archivos que tengan por finalidad la prevención, detección, monitoreo y control de lavado de activos y financiamiento del terrorismo por cuanto “cabe resaltar que la implementación del SIPFLAFT es de carácter obligatorio para las empresas del sector transporte, de conformidad con lo establecido en la Resolución 74854 de 2016 de la Superintendencia de Transporte y tiene como objetivo fundamental minimizar el riesgo de lavado de activos, financiación del terrorismo o la proliferación de armas de destrucción masiva (…) RISKS INTERNATIONAL SAS obra como Encargado del Tratamiento de la información que las empresas recolectan para dar cumplimiento al deber legal de adoptar medida, la prevención (sic) y control del lavado de activos, así como la financiación del terrorismo.

Recalcamos que esta actividad no es una iniciativa de las empresas de transporte, sino que se trata de una imposición de la ley a las mismas. (…) Dado lo anterior la SIC no tiene competencia legal para iniciar la actuación administrativa que dio origen a la Resolución 54534 de 2023, porque el tratamiento de la información se está haciendo para una finalidad que no se encuentra dentro del ámbito de aplicación de la citada Ley Estatutaria 1581 de 2012” 3.2 A continuación, expresa que “la presente actuación administrativa surgió a partir de una solicitud con fecha del 29 de junio de 2021 que la Asociación de Transporte de Carga (ATC) presentó ante nosotros con copia a los Superintendentes de puertos y transporte (…) y de Industria y Comercio (…).

Oportunamente, respondimos a ATC manifestándoles que NINGUNA DE LAS SIETE PERSONAS mencionadas en la solicitud está registrada en nuestra base de datos de acceso restringido y manejada directamente por nuestra empresa. Así las cosas, es evidente y manifiesta la falsa motivación de la carta que se ha desencadenado una actuación administrativa contra nuestra empresa.

Es relevante precisar que existe la información de acceso público que entidades públicas en Colombia y en otros países ponen a disposición de cualquier persona. Esa data se puede obtener a través de un otor de búsqueda. En línea con lo anterior, nosotros no creamos o reportamos información sobre las personas mencionadas por ATC, ya que nuestro sistema de información lo que hace es encontrar información de acceso público y mostrar los resultados de las búsquedas realizadas.

En el mismo sentido, destaca un aparte de la Resolución 20079 del 06 de mayo de 2020, expedida por la Dirección de Investigación de Protección de Datos Personales. Para exponer que “contrario a lo que señala ATC en su misiva, es crucial que la SIC tenga presente que: RISKS INTERNATIONAL SAS NO reporta a nadie, ni realiza “marcaciones” de personas RISKS INTERNATIONAL SAS NO veta, limita ni estigmatiza a nadie.

RISKS INTERNATIONAL SAS NO realiza una actividad elitista o clasista. RISKS INTERNATIONAL SAS NO discrimina, ni maneja datos sensibles. (…) La Asociación de Transportadores de Carga (ATC) no acreditó poder para obrar en nombre de los Titulares de los datos. No es menos relevante destacar que la citada asociación no acreditó poder de las personas para actuar en nombre de ellas.

En otras palabras, sin estar jurídicamente facultada para obrar en nombre de (7) personas, ATC presentó una solicitud fusionada de hechos falsos y afirmaciones pusilánimes que ponen en tela de juicio nuestra labor profesional, lícita y respetuosa de la ley. RISKS INTERNATIONAL S.A.S. respondió oportuna y debidamente la petición de ATC, razón por la cual no existe mérito para adelantar un procedimiento sancionatorio.

“Por la cual se imponen unas sanciones administrativas” Como prueba del cumplimiento debido y oportuno de lo que ordena la Ley Estatutaria 1581 de 2012, nos permitimos anexar la carta de respuesta de fecha 28 de julio de 2021 que emitimos a ATC para dar respuesta a la solicitud que dio origen a la actuación administrativa bajo el radicado de la referencia (Rad 21-259141).

Solicitamos que dicha prueba haga parte del expediente y que se tenga como evidencia del cumplimiento de los mandatos legales por parte de nuestra empresa (…). Nuestra empresa ha obrado conforme a la ley de tratamiento de datos personales, razón por la cual la SIC, mediante resolución 20079 del 6 de mayo de 2020, archivó una actuación contra RISKS INTERNATIONAL SAS.

Es importante poner de presente que nuestra empresa fue objeto de visita de inspección los días 27 y 28 de febrero de 2019 por parte del equipo de la Dirección de Investigaciones de Protección de Datos Personales. El siguiente fue el objetivo de esa visita, tal y como se constata en los considerandos tercero y cuarto de la Resolución 20079 del 6 de mayo de 2020: Luego de analizar toda la información y el material probatorio, la Dirección decidió archivar la actuación administrativa porque no encontró mérito para iniciar una actuación administrativa.

(…) Resaltamos lo siguiente que señaló la SIC respecto de la plataforma SIPFLAFTSIRIEST: Allí quedó claro que las empresas de transporte realizan reportes sobre cumplimientos de contratos y que para dicho efecto se sigue el siguiente procedimiento: “Por la cual se imponen unas sanciones administrativas” A título de ilustración, resumimos lo anterior en las siguientes gráficas: “Por la cual se imponen unas sanciones administrativas” Como es sabido, la base de datos “SIRIEST es un reflejo de la operación con propósitos de soporte para los SIPLAFT.

De conformidad con la Superintendencia de Transporte, el SIPFLAFT es Cabe resaltar que la implementación del SIPLAFT es de carácter obligatorio para las empresas del sector transporte, que son sujetos obligados, de conformidad con la Resolución 74854 de 2016 de la Superintendencia de Transporte (…)”. 3.3 De otra parte, manifiesta la Representante Legal de la sociedad investigada que “en línea con los mandatos legales y decisiones de la SIC, nuestra empresa ha sido proactiva y profesional para garantizar en la práctica del debido tratamiento de datos personales”.

Al respecto, se anexan certificados de cumplimiento, enlistados en el acto de incorporación de pruebas de la presente investigación administrativa. Acto seguido, argumenta que “como se observa, RISKS INTERNATIONAL S.A.S. ha sido proactiva, crítica y autocrítica para estar permanentemente mejorando lo necesario para garantizar un debido tratamiento de los datos personales (…).

Durante varios años hemos invertido, entre otros, recursos económicos, tecnológicos, humanos para obrar conforme a la ley. También nos hemos sometido a procesos de certificación de la Norma ISO 9001:2015 Sistemas de gestión de la calidad”. 3.4 Así mismo, se refiere a los supuestos fácticos en que sustenta la formulación de cargos, señalando que “(…) Con la Resolución 54534 de 2023, determinaron unificar los procesos bajo radicados 21-259141, 21-398927, 23-35225, 21404385, 21-404248 y 21-404595; esto aduce el numeral 6 de la mencionada resolución. Los cuales también carecen del requisito de procedibilidad al ser presentados al mismo tiempo, sin que se agote el cumplimiento de este Requisito (sic).

(…) Respecto al radicado 21-398927, se destaca la consulta en el expediente, que obedece a queja del señor XXXXXXXXXXXXXXXX identificado con XXXXXXXXXX, se resalta que de manera concomitante desconociendo lo dispuesto en el Artículo 16 de la Ley 1581 de 2012, se presentó solicitud ante nosotros y ustedes: (…) Nosotros dimos respuesta al requerimiento de XXXXXXXXXXXXXXX el día 15 de octubre de 2021, indicándole que ya en otras oportunidades había elevado la misma petición y su reiteración sobre información pública;

Respecto al caso XXXXXXXXXXXX, se señala que en diligencia del 16 de marzo de 2023, quedo (sic) más que probado que nuestra herramienta solo obra información pública del señor (…), del mismo no obra información en SISCOM. Ver complemento 113 y 114. (…) Respecto al radicado 21-404595, se destaca la consulta en el expediente, que obedece a queja del señor XXXXXXXXXXXXXXXXXX se resalta que de manera “Por la cual se imponen unas sanciones administrativas” concomitante desconociendo lo dispuesto en el Artículo 16 de la Ley 1581 de 2012, se presentó solicitud ante nosotros y ustedes: (…) Nosotros dimos respuesta al requerimiento dentro del término otorgado por ustedes el día 15 de noviembre de 2022.

Respecto al caso XXXXXXXXXXXXX, se señala que en diligencia del 16 de marzo de 2023, quedo (sic) más que probado que nuestra herramienta solo obra información pública del señor (…), del mismo no obra información en SISCOM. Ver complemento 107. Respecto al radicado 21-404248, se destaca la consulta en el expediente, que obedece a queja del señor XXXXXXXXXXXXXXXXXX, identificado con CC XXXXXXXXXXXXX se resalta que de manera concomitante desconociendo lo dispuesto en el Artículo 16 de la Ley 1581 de 2012, se presentó solicitud ante nosotros y ustedes: (…) Nosotros dimos respuesta al requerimiento dentro del término otorgado por la Ley el día 15 de noviembre de 2022.

Respecto al caso XXXXXXXXXXXXX, se señala que en diligencia del 16 de marzo de 2023, funcionaria designada para la investigación consulto (sic) por número de cédula de ciudadanía, varios casos, entre ellos la cédula de ciudadanía del señor XXXXXXXXXX, quedo (sic) demostrado en diligencia que del mismo no obra información en SISCOM. Audio desde minuto 2:07:00 De manera atenta, aclaramos que emitimos respuesta al requerimiento 21404248, el 15 de noviembre de 2022.

Respecto al radicado 21-404385, se destaca la consulta en el expediente, que obedece a queja del señor XXXXXXXXXXXXXXXXX, identificado con CC XXXXXXXXXXXXX, se resalta que de manera concomitante desconociendo lo dispuesto en el Artículo 16 de la Ley 1581 de 2012, se presentó solicitud ante nosotros y ustedes: (…) Nosotros dimos respuesta al requerimiento bajo el radicado 21-404385, el día 23 de noviembre de 2022.

Respecto al caso XXXXXXXXXXXX, se señala que en diligencia del 16 de marzo de 2023, quedo (sic) más que probado que nuestra herramienta solo obra información pública del señor (…), del mismo no obra información en SISCOM. Ver complemento 118. Respecto al radicado 23-3525, se aclara que corresponde a la misma queja de ATC del radicado 21-259141, solo que es el direccionamiento por competencia de la Superintendencia de Transporte: (…) En este punto consideramos importante señalar que las personas relacionadas en la queja de ATC, en diligencia de marzo de 2023, quedo (sic) demostrado que no tienen ningún tipo de información en SISCOM, solo registran información de naturaleza pública sobre la que tenemos calidad de usuarios (ver complementos 106, 109, 110, 111 y en audio 2:01:00)” Respecto al cargo primero formulado: “Es fundamental subrayar que, tal como hemos explicado en varios comunicados presentados anteriormente y durante la diligencia del 16 de marzo de 2023, NO ostentamos la condición de Responsables del tratamiento, sino la de Encargados.

(…) Como se explicó durante la visita del 16 de marzo de 2023, lo cual se detallará más adelante, cumplimos con nuestras responsabilidades en lo que concierne a nuestra condición de encargado (…) “Por la cual se imponen unas sanciones administrativas” En este sentido, es crucial aclarar que los responsables de los datos personales son los suscriptores, es decir, las empresas de transporte.

Estos suscriptores, en el cumplimiento de su obligación de verificar a sus contrapartes (los conductores), se ajustan a lo que la normativa exige en relación con la implementación del sistema SIPFLAFT (…). Esto se basa en la evaluación de riesgos que elabora directamente el oficial de cumplimiento de cada empresa suscriptora. (…) Así las cosas, Risks International SAS NO es Responsable del Tratamiento de la información que nos suministran los suscriptores (empresas de transporte).

Esto se explicó detalladamente durante la diligencia llevada a cabo por ustedes, utilizando ejemplos reales y simulados para una mejor comprensión. La finalidad de esta explicación fue dejar en claro que la empresa suscriptora es la entidad que obtiene la autorización del titular de los datos. Además es el suscriptor queda habilitado para informar, reportar y tratar la información recolectada.

Es importante destacar que las empresas no obtienen autorización exclusivamente para reportar ante un encargado del tratamiento. Esto se debe a que, según su análisis interno de riesgos, pueden contar con varias empresas que, en concordancia con nuestro objeto social, también contribuyen a la implementación de medidas del SIPFLAFT (…).” De otro lado, asevera que “(…) como ya se explicó los parámetros del principio de responsabilidad demostrada que deben cumplir los encargados, esta línea jurisprudencial permite ejemplificar lo que tanto se mencionó en diligencia del 16 de marzo de 2023 y aclarar una de las manifestaciones del primer cargo, si bien la norma no exige que seamos nosotros en calidad de encargados quienes conserven los soportes que respalden el dato y/o novedad que se reporte de un titular, implementamos un procedimiento de naturaleza administrativo (sic) que lleva al RESPONSABLE-SUSCRIPTOR a aplicar los principios de veracidad, legalidad, finalidad, transparencia y demás que la norma contempla.

(…) Por consiguiente, no es apropiado argumentar que recae exclusivamente en el criterio de nuestra empresa aprobar o rechazar la información. Es importante destacar que esta afirmación, que implica la acción de “aprobar o rechazar”, refleja que actuamos en relación con los datos de acuerdo con las directrices de nuestro suscriptor. (…) Nuestro papel es validar esta información para garantizar el cumplimiento de estas condiciones (…).

En tal sentido, propone que “respecto al caso que expusieron (segunda imagen, hoja 6 de la Resolución 54534 de 2023), se resalta que la autorización, entre otros, (sic) explícitamente dispone que el titular autoriza taxativamente al responsable, nuestro suscriptor a almacenar, tratar, transmitir, poner en circulación, divulgar y señala como información a compartir lo correspondiente a la ejecución del contrato incluyendo hábitos de entrega y manejo de dinero: (…) Así las cosas, y atendiendo las obligaciones en cabeza de nuestro suscriptor como Responsable del tratamiento de datos, es requerido para que complementara la información allegando los soportes que generan la veracidad de la novedad; al presente se anexan dos documentos, para que obren como prueba, soportan el registro de dicha novedad, y el cumplimiento de las “Por la cual se imponen unas sanciones administrativas” obligaciones a nuestro cargo como Encargado y de nuestro suscriptor como Responsable del tratamiento de datos.

Información adicional obrante bajo complemento 47. Ahora bien, respecto del caso del señor XXX, se recuerda que desde la primera respuesta que dimos al radicado de la referencia se dejó en claro que la mayor información que se maneja es de naturaleza pública ante las diferentes entidades públicas (…) el complemento 107, recopilado por ustedes y presente en el expediente digital, constituye una prueba más que suficiente de que la información relacionada con el señor XXX es de carácter público.

(…) En este punto, y de acuerdo a lo previamente explicado, deseamos aclarar y señalar que las novedades se han desarrollado tomando en consideración las situaciones fácticas que más impactan negativamente en el sector de transporte en relación con el Lavado de Activos y la Financiación del Terrorismo (LAFT/FPADM) y la corrupción y el soborno Transnacional (C/ST).

Dentro del sistema del software SaaS SIPFLAFT – SIRIEST; que incorpora un módulo de información compartida entre suscriptores para la mitigación de riesgos relacionados con el Lavado de activos y Financiación del Terrorismo, es evidente que estas novedades se basan en una amplia gama de riesgos que pueden surgir en sistemas enfocados en la gestión del riesgo en el sector transporte.

Estos riesgos se originan en las regulaciones vinculantes para la implementación de sistemas como este, y resulta especialmente relevante la Circular Básica Jurídica emitida por la Superintendencia de Sociedades en su capítulo X. En esta circular, (sic) se describen diversos tipos de riesgos que pueden manifestarse de diversas maneras, incluyendo riesgos operativos, legales, reputacionales y de contagio, entre otros.

Estos riesgos pueden tener un impacto significativo en la reputación, competitividad, productividad y sostenibilidad de una entidad. (…) En resumen, el software SaaS SIPFLAFT-SIRIEST se fundamenta en la identificación y mitigación de una variedad de riesgos, en cumplimiento de las regulaciones aplicables (…). Estas medidas son esenciales para asegurar el cumplimiento normativo y proteger la integridad y reputación de las empresas ( ).

Es crucial que cada una de las novedades desempeña un papel un papel esencial al proporcionar un criterio adicional para las decisiones que toman las empresas de transporte en la implementación de su Sistema de Prevención del Lavado de Activos y Financiación del Terrorismo (SIPFLAT) (…). Es relevante enfatizar que el enfoque de RISKS INTERNATIONAL S.A.S. se centra en la prevención del Lavado de Activos y la Financiación del Terrorismo (LAFT) a través de los servicios que ofrece, esto queda descrito en el Objeto (sic) social de su cámara de comercio.

Resaltamos constantemente que no existe un criterio subjetivo en este proceso, ya que cada una de las novedades corresponde con un tipo de riesgo específico en el sector de transporte. A continuación, se detallan las novedades y sus correspondientes tipos de riesgo. Novedades: 1. No relacionada: Este ítem no especificó en concreto la novedad a reportar (Referente a esta no es usada porque no corresponde a un hecho generador) 2.

Anticipo presenta Apropiación de anticipo en incumplimiento de inicio de viaje. (Corresponde a un riesgo Operativo, ya que corresponde a una perdida (sic) sufrida en la operación del sector transporte, correspondiente a la perdida (sic) de dinero y el no perfeccionamiento del contrato de transporte) 3. Presunto incumplimiento de contrato de carga por presunto hurto o piratería (Corresponde a riesgo operativo y reputacional, en el entendido que se “Por la cual se imponen unas sanciones administrativas” genera una perdida (sic) de la empresa, la cual implica mala imagen y reputación con proveedores, contratistas y terceros en la operación) 4.

Presunto incumplimiento por falta de entrega parcial, destino faltante (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 5. Noticias ante la FGN- Hecho notorio (Riesgo contagio por haber tenido o tener vínculos) 6. Presunto incumplimiento en el cargue de mercancías despacho. (Riesgo operativo, financiero genera pérdidas económicas) 7.

Información pública (Riesgo, contagio por haber tenido o tener vínculos) 8. Noticias medios públicos (Riesgo, contagio por haber tenido o tener vínculos) 9. No supero (sic) la revisión documental interna, aparente inconsistencia documental (Riesgo legal, puede incumplir en un incumplimiento de contrato por la perdida (sic), o por no contar con la experiencia para manejo de cierto tipo de mercancías). 10.

Presento (sic) incumplimiento por falta de entrega por accidente de tránsito (Riesgo operativo, ocurre por fallas en el transporte, o eventos imprevistos) 11.Presunto riesgo de contagio LAFT (corresponde a riesgo de contagio, está definido como un impacto que se puede generar en la vinculación con personas que estén directa o indirectamente asociadas a las conductas LAFT) 12.

Presunto riesgo LAFT por presuntos delitos conexos LAFT. (Riesgo legal, reputacional, operativo, contagio, en el entendido que vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgo en la operación) 13. Inclusión en listas LAFT vinculantes. (Riesgo legal, reputacional, operativo, contagio, en el entendido de vincular a una persona relacionada con LAFT como conducta delictiva genera diferentes tipos de riesgos en la operación) (…)” 3.5 Señala en el mismo sentido que “se reitera que de manera muy práctica, nuestro gerente CEO en desarrollo de la diligencia del 16 de marzo de 2023, fue muy enfático en explicar la finalidad de nuestra herramienta, de tal forma que señalo (sic) e incluso ilustro (sic), los riesgos que la norma, guías y procedimientos precitados, contemplan y avalan bajo el concepto de riesgos relacionados con LAFT/FPADM y C/ST; incluso se hizo mención de los artículos del código penal que definen los tipos penales que principalmente enmarcan las conductas que llevarían a incurrir en la comisión de esas conductas, esto es los artículos 323 y 345 del C.P.; no obstante, se aclara que no se limita a las conductas descritas en dichos artículos, pues abarca y contempla los delitos conexos que en la práctica esta (sic) relacionados con los riesgos Riesgo legal, reputacional, operativo, contagio y demás ampliamente explicados”.

(…) 3.6 Así mismo expone que “respecto al primer cargo; debemos manifestar que contrario a lo que afirman “La sociedad inspeccionada no cuenta con controles de seguridad implementados para garantizar que los documentos que soportan las novedades puedan ser alterados o manipulados por los suscriptores o por empleados de la misma sociedad”.

En primer lugar, se resalta, que en lo de nuestra calidad de encargados, tal como se expuso en diligencia del 16 de marzo de 2023, desde minuto 1:15:00 tenemos implementados filtros de acceso a nuestra herramienta, en el sentido que para ingresar a la misma de manera previa se suscribe un contrato y se asigna usuario con contraseña que a su vez tiene filtros de autenticación que se envían a “Por la cual se imponen unas sanciones administrativas” manera de código al celular y/o correo de la persona asignada por el suscriptor para el manejo de usuario.

Adicional al filtro de seguridad de ingreso, existe un segundo filtro para que la empresa en su proceso de validación pueda consultar lo correspondiente en SISCOM. Los detalles técnicos, tecnológicos, digitales, de software y de la tecnología sobre la que se estructura nuestra herramienta, fueron ampliamente expuestos por el ingeniero L.G. en el complemento 7 audios que dura 41:30, así mismo en desarrollo de primera vista (sic) el día 19 de agosto de 2021 (…)” 3.7 De otra parte, se refiere al segundo cargo formulando, asegurando que “En este contexto, la Ley 1581 de 2012 tiene como objetivo principal asegurar la protección efectiva de los datos personales en todas las etapas de su tratamiento, garantizando altos estándares de calidad en la gestión de la información. Esta ley establece límites para su uso y la administración de datos personales, impone responsabilidades y deberes en relación con su tratamiento y brinda a los titulares de los datos herramientas para exigir su protección en caso de vulneraciones.

(…) Se reitera que no ostentamos la calidad de Responsable del tratamiento de datos, en consecuencia no somos quienes deben solicitar y conservar la autorización del titular del dato. Como hemos mencionado, durante los presentes descargos y con la finalidad que tiene el sistema de información, y estructura SIPFLAFT-SIRIEST para que permita la consulta de información en línea, hemos de decir que es de recibo el segundo cargo, porque se ha logrado demostrar que no actuamos en calidad de responsable del tratamiento de datos personales.

(…) Igualmente, y basados en los criterios legales, no es de recibo para esta sociedad que se indique, que la sociedad realiza divulgación de datos sensibles, como los incumplimientos de contratos, esto en el entendido que esta categoría no se considera un dato definido como sensible según lo establecido en la Ley 1581 de 2012. Esta Ley, en su artículo 5, ha delimitado claramente el concepto de datos sensibles como aquellos que afectan la intimidad o cuyo uso indebido puede generar su discriminación. Por lo tanto, los incumplimientos de contrato no entran en esta categoría de datos sensibles, ya que su divulgación no compromete la intimidad del titular ni conduce necesariamente a su discriminación, como se podrá verificar con las personas por las cuales se inició las investigaciones preliminares y el presente pliego de cargos, se puede validar que estas personas siguen ejerciendo su profesión u oficio de conducir conforme a la prueba sobre los manifiestos de carga, página de consulta pública que muestra los manifiestos de carga que las empresas del transporte público terrestres le entrega a cada una de estas personas.

(…) Es esencial señalar en el caso Sub lite que esta Superintendencia no puede atribuirse funciones legislativas, ya que no es una de las funciones que le corresponde. La definición de la tipología de los datos solo puede ser realizada por el legislador, puesto que cualquier otro intento de hacerlo estaría en violación de los principios fundamentales de democracia y separación de poderes.

La ley es clara es clara y taxativa en cuanto a la descripción de los datos sensibles, mencionándolos y señalando ejemplos, y por lo tanto, no deja espacio para interpretaciones arbitrarias. Los datos sensibles son aquellos que la ley describe y enumera específicamente, y al mencionarlos, la ley está definiendo el tipo de datos que pertenecen a esta categoría. No es posible, a través de la interpretación, incluir el incumplimiento como dato de carácter sensible, ya que su naturaleza se relaciona con la profesión u oficio que una persona desempeña. La ley considera los datos sobre la profesión u oficio como datos de carácter público, y cuando se refieren a la “Por la cual se imponen unas sanciones administrativas” actividad desempeñada en el ejercicio de esa profesión u oficio, estos datos se consideran públicos, y de los cuales se puede hacer tratamiento sin la autorización del titular por regla general.

(…) En resumen, la Superintendencia no tiene la facultad de definir nuevos tipos de datos sensibles, ya que esta función recae exclusivamente sobre el legislador. La ley es clara en cuanto a los datos sensibles y no permite interpretaciones que incluyan datos que no cumplan con los criterios establecidos en la norma vigente (…). Si una vez hecho (sic) la explicación y narración sucinta de la calidad en la que actúa nuestra empresa en el tratamiento de datos, que no son sensibles tampoco a las luces de la ley, es indispensable indicar que quien debe soportar que la autorización cuente con los requisitos de la ley, guardarla y conservarla para futura consulta es el Responsable del tratamiento, es una carga que no puede trasladarse al encargado solo si, la ley y sus decretos reglamentarios indicaran esta condición, ni aun haciéndolo por remisión a otro tipo de leyes se podría solventar a que sea una carga que deba asumir el encargado.

Esta Superintendencia ha sido enfática en estos pronunciamientos, y creo que esta no será la ocasión en que por medio de interpretación errónea vaya a trasladar cargas a quien no está en la posición de soportarlas. Es fundamental destacar que los argumentos presentados por esta Superintendencia en relación con la supuesta violación de las disposiciones sobre habeas data no se han configurado ni han resultado en violación alguna de los derechos de las personas mencionadas en el pliego de cargos.

Durante el curso de la presente investigación, no se pudo identificar ninguna novedad o irregularidad en el sistema SISCOM. Además, no se ha llevado a cabo ninguna acción que constituya violación o discriminación hacia estas personas debido a la existencia de datos públicos”.

CUARTO: Que mediante Resolución 1241 del 30 de enero de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar y tener como pruebas, las obrantes a la fecha en el expediente 21-259141 y sus expedientes acumulados 21-398972, 21-404385, 21-404248, 21-404595, 233525 con el valor probatorio que les corresponda. 4.1 Pruebas recaudadas por esta Dirección: 4.1.1 Comunicación radicada ante esta Superintendencia por el señor XXXXXXXXXXXXXX, en representación de Asociación de Transportadores de Carga (ATC), en contra de la sociedad RISKS INTERNATIONAL S.A.S. 4.1.2 Acta de visita de inspección realizada a la sociedad RISKS INTERNATIONAL S.A.S., el día 19 de agosto de 2021, obrante bajo el radicado 21-259141-5-1 del 23 de agosto de 2021. 4.1.3 Acta de preservación de páginas web pre-investigación, expedida por el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia obrante bajo el radicado 21- 259141 -6-1 del 24 de agosto de 2021. 4.1.4 Comunicación remitida por la sociedad RISKS INTERNATIONAL S.A.S. a la Dirección de Investigación de Protección de Datos Personales, obrante bajo el radicado 21-259141 -7-1 del 30 de agosto de 2021. 4.1.5 Acta de unificación de evidencias digitales, obrante bajo el radicado 21259141-8-1 del 21 de abril de 2022. 4.1.6 Informe de visita de inspección realizada a la sociedad RISKS INTERNATIONAL S.A.S., obrante bajo el radicado 21-259141 -9-1 del 20 de mayo de 2022. 4.1.7 Requerimiento de información a la sociedad RISKS INTERNATIONAL S.A.S., obrante bajo el radicado 21-259141-12-1 del 31 de mayo de 2022. 4.1.8 Respuesta al requerimiento de información, obrante bajo el radicado 21259141- 14-1 del 10 de junio de 2022.

“Por la cual se imponen unas sanciones administrativas” 4.1.9 Comunicación remitida por la sociedad RISKS INTERNATIONAL S.A.S. a la Dirección de Investigación de Protección de Datos Personales, obrante bajo el radicado 21-259141 -15-1 del 29 de junio de 2022. 4.1.10 Comunicación de anuncio de visita de inspección remitida por la Dirección de Investigación de Protección de Datos Personales a la sociedad investigada, obrante bajo el radicado 21-259141- 16-1 del 28 de septiembre de 2022. 4.1.11 Acta de visita de inspección realizada a la sociedad RISKS INTERNATIONAL S.A.S. el día 29 de septiembre de 2022, obrante bajo el radicado 21-259141- 18-1 del 30 de septiembre de 2022. 4.1.12 Acta de unificación de evidencias digitales, obrante bajo el radicado 21259141-19-1 del 07 de octubre de 2022. 4.1.13 Comunicación remitida por la sociedad RISKS INTERNATIONAL S.A.S. a la Dirección de Investigación de Protección de Datos Personales, obrante bajo el radicado 21-259141-20-1 del 10 de noviembre de 2022. 4.1.14 Comunicación remitida por la sociedad RISKS INTERNATIONAL S.A.S. a la Dirección de Investigación de Protección de Datos Personales, obrante bajo el radicado 21-259141-21-1 del 17 de noviembre de 2022. 4.1.15 Acta de visita de inspección realizada a la sociedad RISKS INTERNATIONAL S.A.S. el día 16 de marzo de 2023, obrante bajo el radicado 21-259141- 23-1 del 22 de marzo de 2023. 4.1.16 Acta de unificación de evidencias digitales, obrante bajo el radicado 21259141-24 -1 del 05 de mayo de 2023. 4.1.17 Informe de visita de inspección realizada a la sociedad RISKS INTERNATIONAL S.A.S. realizada el 16 de marzo de 2023, obrante bajo el radicado 21-259141 -25-1 del 06 de septiembre de 2023. 4.2.

Pruebas obrantes en el expediente 21-398927 (acumulado al expediente 21-259141) 4.2.1 Comunicación, junto con sus respectivos anexos, radicada ante esta Superintendencia por el señor XXXXXXXXXXXXXXXXXXXXX, obrante bajo el radicado 21-398927-0-0 del 06 de octubre de 2021. 4.2.2 Requerimiento de información a la Superintendencia de Transporte por la Coordinación del Grupo de Tratamiento de Datos Personales, obrante bajo el radicado 21-398927-5-0 del 26 de abril de 2022. 4.2.3 Respuesta al requerimiento de información, remitida por la Superintendencia de Transporte, obrante bajo los radicados 21-398927-7-0 y 21-398927- 8-0 del 18 de mayo de 2022. 4.2.4 Requerimiento de información a la sociedad RISKS INTERNATIONAL S.A.S., remitido por la Coordinación del Grupo de Tratamiento de Datos Personales, obrante bajo el radicado 21-398927-9-0 del 27 de septiembre de 2022. 4.3 Pruebas obrantes en el expediente 21-404385 (acumulado al expediente 21-259141) 4.3.1 Comunicación radicada ante esta Superintendencia por el señor XXXXXXXXXXXXXXXXXX, obrante bajo el radicado 21-404385-0-0 del 11 de octubre de 2021. 4.3.2 Requerimiento de información al señor XXXXXXXXXXXXXXXXXXXXXXXX, remitido por la Dirección de Hábeas Data, obrante bajo el radicado 21-404385-4-0 del 31 de marzo de 2022. 4.3.3 Respuesta al requerimiento de información entregada por el señor XXXXXXXXXXXXXXXX, en representación del señor XXXXXXXXXXXXXXXXXXX, obrante bajo el radicado 21-404385-5-0 del 05 de mayo de 2022. 4.3.4 Requerimiento de información a la sociedad RISKS INTERNATIONAL S.A.S., remitido por la Coordinación del Grupo de Tratamiento de Datos “Por la cual se imponen unas sanciones administrativas” Personales, obrante bajo el radicado 21-404385-7-0 del 10 de noviembre de 2022. 4.4 Pruebas obrantes en el expediente 21-404248 (acumulado al expediente 21-259141) 4.4.1 Comunicación radicada ante esta Superintendencia por el señor XXXXXXXXXXXXXX, en representación del señor NXXXXXXXXXXXXXXX, obrante bajo el radicado 21-404248-0-0 del 11 de octubre de 2021. 4.4.2 Oficio remisorio de la denuncia interpuesta por el señor XXXXXXXXXXXXXXXXXXX, en representación del señor XXXXXXXXXXXXXXXXXX, por la Superintendencia de Transporte, obrante bajo los radicados 21-404248-1-0 y 21-404248-2-0 del 11 de noviembre de 2021. 4.4.3 Requerimiento de información al señor XXXXXXXXXXXXXXXXXXXX, remitido por la Dirección de Hábeas Data, obrante bajo el radicado 21-4042488-0 del 31 de marzo de 2022. 4.4.4 Respuesta al requerimiento de información entregada por el señor XXXXXXXXXXXXXXXX, en representación del señor XXXXXXXXXXXXXXXX, obrante bajo el radicado 21-404248-9-0 del 09 de mayo de 2022. 4.4.5 Requerimiento de información a la sociedad RISKS INTERNATIONAL S.A.S., remitido por la Coordinación del Grupo de Tratamiento de Datos Personales, obrante bajo el radicado 21-404248-11-0 del 01 de noviembre de 2022. 4.4.6 Respuesta al requerimiento de información remitido por la sociedad RISKS INTERNATIONAL S.A.S. obrante bajo el radicado 21-404248-12-0 del 16 de noviembre de 2022. 4.5 Pruebas obrantes en el expediente 21-404595 (acumulado al expediente 21-259141) 4.5.1 Comunicación radicada ante esta Superintendencia por el señor XXXXXXXXXXXXXX, en representación del señor XXXXXXXXXXXXXX, obrante bajo el radicado 21-404595-0-0 del 11 de octubre de 2021. 4.5.2 Requerimiento de información al señor XXXXXXXXXXXXXXXXXX, remitido por la Dirección de Hábeas Data, obrante bajo el radicado 21-4045954-0 del 31 de marzo de 2022. 4.5.3 Respuesta al requerimiento de información entregada por el señor XXXXXXXXXXXXXXXX, en representación del señor XXXXXXXXXXXXXX, obrante bajo el radicado 21-404595-5-0 del 05 de mayo de 2022. 4.5.4 Requerimiento de información a la sociedad RISKS INTERNATIONAL S.A.S., remitido por la Coordinación del Grupo de Tratamiento de Datos Personales, obrante bajo el radicado 21-404595-7-0 del 01 de noviembre de 2022. 4.5.5 Respuesta al requerimiento de información remitido por la sociedad RISKS INTERNATIONAL S.A.S. obrante bajo el radicado 21-404595-8-0 del 16 de noviembre de 2022. 4.6 Pruebas obrantes en el expediente 23-3525 (acumulado al expediente 21-259141) 4.6.1 Remisión por competencia de la denuncia interpuesta por el señor XXXXXXXXXXXXXXXXXX, en representación de la Asociación de Transporte de Carga (ATC), en contra de la sociedad RISKS INTERNATIONAL S.A.S., obrante bajo el radicado 23-3525-0-0, 23-3525-1-0, del 04 de enero de 2023; 23-3525-2-0, 23-3525-3-0, 23-3525-4-0 y 23-3525-5-0 del 05 de enero de 2023. 4.7 Pruebas aportadas por la sociedad investigada “Por la cual se imponen unas sanciones administrativas” 4.7.1 Pruebas aportadas al interior del escrito de descargos 4.7.1.1 Imagen de parte considerativa y resolutiva de la Resolución 20079 del 06 de mayo de 2020, obrante en folios 6, 7 y 8. 4.7.1.2 Imagen descriptiva del modelo de operación de la sociedad investigada, obrante a folios 8 y 9. 4.7.1.3 Imagen de documento denominado “certificado de cumplimiento de normatividad” y de “certificado ECCO -0421/18”, obrantes a folio 10. 4.7.1.4 Imagen de “certificado ECCO -0421/18” y certificado expedido por LEGAL TECH CONSULTORES obrantes a folios 11 y 12. 4.7.1.5 Certificado de consultoría y capacitación, obrante a folios 12 y 13. 4.7.1.6 Imagen de aparte del expediente 21-259141 tomada del sistema de trámites de la Superintendencia de Industria y Comercio, obrante a folio 14. 4.7.1.7 Imagen de correo electrónico titulado “solicitud varios reportes”, obrante a folio 14. 4.7.1.8 Imágenes tomadas del sistema de trámites de la Superintendencia de Industria y Comercio, obrantes de folios 16 al 21. 4.7.1.9 Imagen tomada del “Acta de preservación de páginas web”, obrante a folio 27. 4.7.1.10 Imagen del documento de autorización, obrante a folio 30. 4.7.1.11 Gráfica denominada “señales de alerta”, obrante a folio 32. 4.7.1.12 Imágenes de documentos suscritos con ocasión de la visita de inspección realizada por la Superintendencia de industria y Comercio a la sociedad investigada el 19 de agosto de 2021, obrantes a folios 43 y 44. 4.7.1.13 Imagen tomada de la formulación de cargos, obrante a folios 53 y 54. 4.7.2 Pruebas adjuntas al escrito de descargos 4.7.2.1 Declaración juramentada expedida Profesional de Conductores de Colombia. por la Asociación Jurídica 4.7.2.2 Certificados de asistencia a capacitaciones de la Superintendencia de Industria y Comercio, sobre protección de datos personales, por parte de la sociedad RISKS INTERNATIONAL S.A.S. 4.7.2.3 Registros de manifiestos de carga de los titulares, XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXX. 4.7.2.4 Copia de los contratos de prestación de servicios y de acuerdos de confidencialidad, suscritos entre la sociedad RISKS INTERNATIONAL S.A.S. y L&R TRANSPORTES S.A.S., ISTHO S.A.S. y TRANSPORTES LOGÍSTICOS DE CARGA NACIONAL S.A.S. 4.7.2.5 Documentos expedidos por las sociedades APIX CARGOS S.A.S., CARGAS DE COLOMBIA S.A.S., VIACARGO S.A.S., COOPERATIVA DE TRANSPORTADORES Y CONDUCTORES UNIDA DE COLOMBIA, INTERNATIONAL LOGISTICS MD S.A.S., TACMO S.A.S., COLTANQUES S.A.S., COMPAÑÍA “Por la cual se imponen unas sanciones administrativas” COLOMBIA DE CARGA CONCARGA, DINAMICA LOGISTICA S.A.S., EDUARDO BOTERO SOTO S.A.S., EMPRESA COLOMBIANA DE LOGÍSTICA S.A.S., ENEREPTROL S.A., GRUPO CALDERÓN S.A.S., GVT S.A.S., K-RRERA EXPRESS LOGISTICA S.A.S., LETRATIEMPO S.A.S., LÍNEAS LOGÍSITICAS DE COLOMBIA, LOGÍSITCAS DE TRANSPORTES Y MERCANCÍAS S.A.S., LOGISTICA INTELIGENTE SOLUTION S.A.S., LOTAV, LOGÍSTICA DE TRANSPORTES Y MERCANCÍAS S.A.S., ORGANIZACIÓN 4M S.A.S., PONY ESPECIAL S.A.S., RC CARGA S.A.S., REMESAS Y MENSAJES LTDA., SOTRASMA S.A., TDM TRANSPORTES S.A.S., TRACTOCARGA S.A.S, TRANSAPEC S.A.S., TRASNPORTES BASILOS TRANSBASILOS S.A.S., TRANSLOGISTICA S.A.S., TRANSOLICAR S.A.S., TRANSPORTES OKENDO S.A.S., TRANSPORTES PIEDECUESTA S.A., TRANSTECOL S.A.S. y TRANSUSCAR. 4.7.2.6 Certificados de uso de la herramienta SIRIEST-SIPLAF. 4.7.2.7 Documento denominado “Procedimiento manejo de SIRIEST-SIPLAF” 4.7.2.8 Soportes de novedad asociada al titular XXXXXXXXXXXXXXXXX. 4.7.2.9 Copia de la Resolución 20079 del 06 de mayo de 2020, expedida por la Dirección de Investigación de Protección de Datos Personales de la En el mismo acto administrativo se ordenó cerrar la etapa probatoria y correr traslado a la sociedad investigada por el término de diez (10) días para que presentara sus alegatos de conclusión.

QUINTO: Que la Resolución 1241 del 30 de enero de 2024, le fue notificada a la señora SILVIA CATALINA REINA ARCHILA, en representación de la sociedad RISKS INTERNATIONAL S.A.S., el 30 de enero de 2024, como consta en la certificación expedida para el efecto por la Secretaría General AdHoc de esta Superintendencia, obrante en el expediente bajo el radicado 21259141- 55 del 05 de febrero de 2024.

SEXTO: Que mediante escrito radicado bajo el número 21-259141- 60 del 29 de febrero de 2024, fuera del término concedido por esta Dirección, la sociedad investigada, por medio de su representante legal, presentó sus alegatos de conclusión, en los cuales expresó lo siguiente: 6.1 Expuso que “(…) tras revisar detenidamente el expediente y realizar múltiples solicitudes a este despacho, para obtener información sobre el trámite surtido y los titulares que presentaron quejas relacionadas con el uso y tratamiento de sus datos personales, hemos constatado que ninguno de ellos cumplió con los requisitos exigidos por esta Delegatura para dar continuidad al proceso de queja administrativa contra RISKS INTERNATIONAL S.A.S., tal como se registró bajo el radicado 21259141.

(sic) Es importante destacar que en todos los casos que motivaron la iniciación del proceso de queja administrativa, No se ha aplicado por parte de la SIC el desistimiento tácito estipulado en el artículo 17 de la Ley 1437 de 2011, modificado por la ley 1755 de 2015. De acuerdo con dicho artículo, cuando se requiere completar una petición o requerimiento ante la autoridad, se otorga un plazo de 1 mes para su complementación. En caso de incumplimiento, se considera que la petición ha sido desistida”.

En tal sentido, reitera lo expuesto en su escrito de descargos frente al contenido de las denuncias presentadas ante esta Superintendencia.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

“Por la cual se imponen unas sanciones administrativas”

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la vulneración de lo consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015, por lo que corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos materia de investigación, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Algunas consideraciones previas, frente a las presuntas irregularidades propuestas por la sociedad RISKS INTERNATIONAL S.A.S. 8.2.1.1 Del requisito de procedibilidad para dar continuidad a la actuación por parte de la Dirección de Investigaciones de Protección de Datos Personales.

En el curso de la presente actuación administrativa, la sociedad investigada ha expuesto en relación con las denuncias interpuestas en su contra, que en algunos casos no se agotó el requisito de procedibilidad del que trata el artículo 16 de la Ley 1581 de 2012, razón por la cual solicita declarar el desistimiento tácito de las quejas incoadas por los señores XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.

Al respecto, es imperioso aclarar en esta instancia procesal que las indagaciones obrantes dentro de los radicados 21-398927, 23-3525, 21-404385, 21-404248 y 21-404595 fueron adelantadas por la Dirección de Hábeas Data, en el marco de las funciones atribuidas a esa dependencia por el artículo 17A del Decreto 092 de 2022. Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se imponen unas sanciones administrativas” Ahora bien, en virtud del traslado de cada uno de los expedientes referidos, y de conformidad con las funciones establecidas en el artículo 17 de esa misma disposición, esta Dirección decidió abrir una investigación bajo el radicado 21259141 a fin de determinar la posible comisión de una conducta violatoria de las normas de protección de datos personales.

En este contexto, se destaca que durante las averiguaciones previas el Despacho llevó a cabo una visita administrativa a la sociedad RISKS INTERNATIONAL S.A.S., con el propósito de recolectar pruebas que permitieran no solo verificar el respeto a los derechos de los denunciantes sino, en general la condición que ostenta en el tratamiento de datos personales y el cabal cumplimiento de los deberes que le asisten de acuerdo con la Ley.

Por lo descrito, no se encuentra vicio alguno que impida el actuar de la caso el legislador le ha facultado para proceder de manera oficiosa en el evento en que avizore hechos que merezcan su atención. De esta manera, el Despacho se pronunciará respecto a los argumentos alineados con el concepto de vulneración de la norma claramente propuesto en los dos cargos formulados a la sociedad RISKS INTERNATIONAL S.A.S. 8.2.1.2 De la excepción a la aplicación de la Ley 1581 de 2012 sobre los hechos investigados Respecto a la competencia de la Superintendencia de Industria y Comercio para investigar las acciones desplegadas por RISKS INTERNATIONAL S.A.S. en el tratamiento de la información personal contenida en la base de datos denominada SIRIEST, la investigada ha asegurado que dada la finalidad de dicha base de datos, esta se encuentra enmarcada en las excepciones previstas por el literal b) del artículo 2° de la Ley 1581 de 2012 al tener “(…) como objetivo fundamental minimizar el riesgo de lavado de activos, financiación del terrorismo o proliferación de armas de destrucción masiva2”.

Sin embargo, según la regulación que sobre la materia ha expedido la Superintendencia de Puertos y Transporte mediante Resolución 074854 del 21 de diciembre de 20163, las obligaciones derivadas del SIPLAFT 4 recaen sobre las empresas supervisadas por esa Entidad, habilitadas para la prestación del servicio terrestre automotor de carga. Es decir, los sujetos pasivos sobre quienes recae el deber de implementación de las políticas y sistemas de prevención de LA/FT-PADM están plenamente delimitados en esa reglamentación. Así las cosas, es claro que la sociedad investigada no se encuentra sometida a las directrices emanadas en torno a la prevención del lavado de activos y financiación del terrorismo por parte de la autoridad correspondiente, y que la herramienta que ha proveído a sus clientes (suscriptores) si bien se relaciona con la debida diligencia que estos están obligados a acreditar, no deriva del cumplimiento de un deber legal relacionado con la implementación de esos controles, sino del desarrollo de su objeto mercantil. 8.2.1.3 De la actuación tramitada bajo el radicado bajo el radicado 18034618 En punto de las indagaciones gestionadas por el Grupo de Trabajo de Investigaciones Administrativas bajo el radicado en cita, es necesario subrayar el análisis efectuado en ese entonces que a la postre derivó en una decisión de archivo.

Así, tal como quedó expresado en el acto administrativo 20079 del 06 de mayo de 2020, durante la visita administrativa realizada en los días 27 y 28 Ver folio 5, escrito de descargos obrante bajo el radicado 21-259141- 47 del 27 de octubre de 2023 “por la cual se establece de manera obligatoria la implementación del sistema integral para la prevención y control del lavado de activos, la financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva-SIPLAFT” El SIPLAFT es el Sistema de Prevención y Control del lavado de activos, la financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva, el cual deben implementar todas las empresas habilitadas por el Ministerio de Transporte para la prestación del servicio público de transporte terrestre automotor de carga, sin importar si estas empresas se encuentran o no en operación. “Por la cual se imponen unas sanciones administrativas” de febrero de 2019 se constató el funcionamiento de la plataforma SIPLAFTSIRIEST, respecto del cual se determinó que es un motor de búsqueda que consolida información obtenida de fuentes de registros públicos tales como: i) Página de la Procuraduría General de la Nación, ii)FOSYGA, iii) Registraduría Nacional del Estado Civil, iv) ONU, v) SIMIT, entre otros.

Por tal motivo, la Dirección de Investigación de Protección de Datos Personales concluyó, que al ser fuentes de información pública no era demandable el contar con la respectiva autorización. Frente a los reportes de novedad, a la fecha de emisión de la Resolución antedicha, se contaba con la descripción de un modelo genérico en el cual la sociedad manifestó “(…) que la obligación de reportar la realizan las empresas encargadas de reportar información, pero que cualquier tipo de reporte que sea realizado por las empresas transportadoras deben aportar copia de la autorización otorgada por el Titular5”.

Empero, la actuación que nos ocupa deviene también de las reiteradas quejas instauradas ante esta Superintendencia, relacionadas con el presunto desconocimiento del derecho de hábeas data de los titulares cuya información reposa en la base de datos SIRIEST, situación que contrasta con lo ya expresado por los representantes de RISKS INTERNATIONAL S.A.S. De este modo, la decisión adoptada en su momento no es óbice para verificar las condiciones particulares de la operación y tratamiento de datos, por parte de la autoridad siempre que existan elementos que den cuenta de una presunta infracción a las normas que regulan ese derecho fundamental. 8.2.2 Cargo primero: Del del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Previo a referirnos a los hechos sobre los cuales se sustenta el primer cargo, se reafirmará la condición que ostenta la sociedad investigada en el tratamiento de la información de la base de datos SIRIEST. A lo largo de su escrito de defensa la investigada reiteró en múltiples ocasiones que no puede atribuírsele la condición de Responsable del tratamiento de datos personales, toda vez que según esta, de acuerdo con su modelo de operación son sus suscriptores (empresas de transporte) quienes suministran Los reportes que han de ser consignados en SIRIEST, administrado por RISKS INTERNATIONAL S.A.S. En torno a este argumento, resulta necesario recordar la definición dada por el literal e) del artículo 3°de la Ley Estatutaria de Protección de Datos Personales, así: “e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos” (se destaca) A su turno, la Honorable Corte Constitucional al realizar el control previo de la Ley en mención, estableció en sentencia C-748 de 20116 lo que, a continuación se cita: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.

Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. Hoja número 3, Resolución 200769 del 06 de mayo de 2020 “Por la cual se archiva una actuación administrativa” Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb “Por la cual se imponen unas sanciones administrativas” Estas definiciones parecen inspirarse en el derecho comunitario europeo, especialmente en la Directiva 95/46/CE y en el Dictamen 1/2010 del Grupo Consultivo sobre Protección de Datos, a las que vale la pena remitirnos por razones meramente ilustrativas y con el fin de acercarnos al correcto entendimiento de uno y otro concepto, labor que a veces se torna difícil por el avance de las tecnologías de la información y otros retos que impone la globalización. El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.

También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable”.

(negrilla en texto original) Así, de acuerdo con las previsiones hechas por el Estatuto General de Protección de Datos y por el Alto Tribunal, se denomina Encargado a aquel que actúa por cuenta de y bajo las instrucciones señaladas por el Responsable del tratamiento de datos, quien realiza a aquel una delegación específica de actividades y determina la finalidad del encargo.

De esta manera, conforme a esas previsiones el Encargado realiza tratamiento a los datos en los términos previamente determinados por el Responsable. Sin embargo, con base en la descripción dada por la sociedad RISKS INTERNATIONAL S.A.S. a esta Superintendencia, del modelo de operación para la generación de reportes relacionados con el contrato de transporte en la base de datos SIRIEST 7, las empresas suscriptoras le remiten el registro de la novedad, junto con cierta documentación con el propósito de que esta figure en el historial del respectivo conductor.

En la siguiente gráfica se ilustra para mayor comprensión, el proceso expuesto por la sociedad en el curso de la visita administrativa realizada el 16 de marzo de 2023: Lo propio quedó sentado en el informe de visita administrativa 8, en la cual se destacó lo siguiente: “En el análisis de la inclusión del reporte, el administrador del aplicativo SIRIEST verifica que el suscriptor anexe el documento de tratamiento de datos, en caso de que el suscriptor no adjunte dicho documento, la De acuerdo con lo informado por la sociedad en su sitio web “SIRIEST es la fuente de información más confiable y completa sobre vehículos pesados y conductores.

SIRIEST ayuda día a día a miles de empresas de transportes a tomar la mejor decisión a la hora de contratar y evitar riesgos. Siriest proporciona confiabilidad, confianza y transparencia ya que usa información pública disponible.” Informe de visita obrante bajo el radicado 21-259141- 47 del 27 de octubre de 2023. “Por la cual se imponen unas sanciones administrativas” novedad queda rechazada de inmediato.

Adicionalmente, el administrador verifica que los demás documentos enviados soporten la novedad que se registra y que correspondan con el transportador para el cual se registra la queja (…)”. (se destaca) En tal sentido, y de acuerdo con lo también expuesto en el escrito de descargos9 la sociedad investigada ratificó que es quien desarrolla, provee y administra la herramienta SIRIEST como Sistema de Información Compartido.

A su vez, es quien determina las condiciones, los documentos necesarios y ejerce el control de los medios para la inclusión y posterior circulación del reporte a terceros (usuarios). De igual modo, es quien pone a disposición los canales de comunicación para recibir peticiones presentadas por los titulares. De esta manera, se dilucida cualquier duda acerca de la configuración de todos los presupuestos legales y constitucionales, para considerar que es la sociedad RISKS INTERNATIONAL S.A.S. quien adquirió la calidad de Responsable del tratamiento de los datos personales almacenados en la base de datos SIRIEST, investidura que le demanda el cabal cumplimiento de los deberes preceptuados en la Ley Estatutaria 1581 de 2012.

Dicho esto, y retomando el caso objeto de estudio es pertinente recordar que la Ley 1581 de 2012 establece en el artículo 8 que los Titulares tendrán derecho, entre otros, a: “a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado” Dicha garantía, en concordancia con el artículo 17 de la Ley en mención, les exige a los Responsable del Tratamiento de los Datos Personales que estos deben cumplir con: “a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.

Respecto a la revocatoria de la autorización el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la revocatoria de la autorización y/o la supresión de los datos Ver folio 11, escrito de descargos. “Por la cual se imponen unas sanciones administrativas” personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data permite a los titulares conocer plenamente cuál es la información que sobre ellos reposa en las distintas bases de datos, y en caso de ser procedente, solicitar la supresión de información que haya sido recogida y la revocatoria de la autorización para el tratamiento de datos personales.

De modo que la Corte consideró que la interpretación adecuada del señalado literal e) del artículo de la Ley 1581 de 2012 es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

De manera que, en el tratamiento de datos personales los intervinientes deben respetar los principios que se constituyen como el pilar para garantizar el adecuado cumplimiento de los deberes que de ellos se desprenden. Así, la Corte Constitucional estableció el alcance de los principios de finalidad y de veracidad, en la Sentencia C-748 de 2011, a través de la cual puntualizó que: “Para estructurar el principio de finalidad, la Corte ha perfilado la llamada teoría de los ámbitos, de tal forma que se admite que el suministro de datos personales se realiza en un contexto más o menos delimitado.

En consecuencia, “la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular, en relación con el objeto de la base de datos y con el contexto en el cual estos son suministrados”. Así, en sentencia T-552 de 1997, la Corte consideró como derivación del derecho a la autodeterminación informativa, la facultad de poder exigir "el adecuado manejo de la información que el individuo decide exhibir a los otros".

Por lo tanto, según este principio “tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista.” (énfasis añadido) En la misma providencia, precisó que “según el principio de veracidad, los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos”.

Ahora bien, frente a los hechos advertidos por esta Dirección a lo largo de la presente investigación se observa que la sociedad RISKS INTERNATIONAL S.A.S. desarrolló la herramienta denominada SIRIEST 10, la cual posee una doble funcionalidad en la medida en que sus suscriptores efectúan reportes relacionados con el cumplimiento y contingencias derivadas del contrato de transporte ejecutado con conductores; y de otra parte, usuarios acceden a esos reportes a fin de establecer la viabilidad de contratar con estos.

Las llamadas Base de datos construida y administrada por la sociedad RISKS INTERNATIONAL S.A.S., con información suministrada por sus aliados comerciales, funciona como un sistema de información compartida. “Por la cual se imponen unas sanciones administrativas” novedades, de acuerdo con el material probatorio recolectado, son las que se enlistan a continuación11: 1.

No Relacionado: Este ítem no especifico en concreto la novedad a reportar. 2. Anticipo Presenta Apropiación e incumplimiento inicio viaje 3. Presunto Incumplimiento de contrato de carga por presunto hurto o piratería 4. Presunto Incumplimiento por falta de entrega parcial destino faltante. 5. Noticia ante la FGN – Hecho Notorio 6. Presunto Incumplimiento en el cargue de mercancía despacho 7.

Información Publica 8. Noticias medios públicos 9. No supero la revisión documental interna aparente inconsistencia documental 10. Presento incumplimiento por falta de entrega por accidente de tránsito. 11. Presunto riesgo de contagio LAFT 12. Presunto riesgo LAFT por presuntos delitos conexos a LAFT 13. Inclusión en listas LAFT vinculantes Lo anterior se aprecia en la imagen tomada del sistema SIRIEST: Acto seguido, quien solicita que se realice el reporte debe seleccionar la descripción de anotaciones, así: De acuerdo con las piezas probatorias que conforman el expediente, véase la titulada “02-DEC_MARIANO-SANCHEZ.mp3”12 desde el minuto 13:45, cada Imagen tomada del informe de visita, folio 4.

Obrante en el expediente bajo el radicado 21-259141-25 del 06 de septiembre de 2023. Prueba obrante en el expediente bajo el radicado 21-259141-24 del 05 de mayo de 2023. “Por la cual se imponen unas sanciones administrativas” reporte debe venir acompañado de los respectivos soportes, no obstante cada suscriptor puede determinar a su arbitrio cuáles son los documentos que considera sustentan la ocurrencia de los hechos aludidos.

Así mismo, se encontró que la función de verificar y constatar la veracidad de dichos sucesos está en cabeza de uno de los colaboradores de la sociedad investigada, quien a su vez determina la suficiencia de los soportes allegados para proceder con la inclusión del registro. Es preciso señalar que del listado de las novedades se está configurando una especie de “lista negra” en la que se atribuye sin mayor disertación y sin haberse surtido el respectivo debate procesal ante las autoridades correspondientes, información relacionada, inclusive, con la comisión de hechos delictivos y que vincula con grupos ilegales.

Ello, sin el conocimiento previo del titular respecto del cual se ha de realizar el reporte, pues son los suscriptores y la sociedad RISKS INTERNATIONAL S.A.S. quienes llevan a cabo el trámite, marginándolo por completo de dicho procedimiento. Para el efecto, se cita lo señalado en el informe de visita administrativa obrante bajo el radicado 21-259141-25 del 06 de septiembre de 2024: “Enviar Aprobación Reporte Novedad Una vez completado el registro de la novedad en el aplicativo SIRIEST, pasa al proceso de análisis por parte del administrador, quien es el encargado de aprobar o rechazar dicha novedad.

Análisis de la Novedad En el análisis de la inclusión del reporte, el administrador del aplicativo SIRIEST verifica que el suscriptor anexe el documento de tratamiento de datos, en caso de que el suscriptor no adjunte dicho documento, la novedad queda rechazada de inmediato. Adicionalmente, el administrador verifica que los demás documentos enviados soporten la novedad que se registra y que correspondan con el transportador para el cual se registra la queja.

Actualmente, el administrador de la plataforma es el ingeniero XXXXXXXXXXXXXXXXXXXXXX quien, de acuerdo con su propio criterio y experiencia, decide aprobar o rechazar cada una de las novedades registradas por los suscriptores de la sociedad, lo anterior se puede evidenciar en la entrevista contenida en el archivo de video con nombre VID20230316113143.mp4 a partir del minuto 45:00.

En relación con la aprobación o rechazo de los reportes de novedad, se estableció lo que se señala: La sociedad inspeccionada no cuenta con un proceso documentado que especifique los lineamientos o revisiones que se deben realizar para la aprobación de una novedad reportada por un suscriptor, únicamente se basan en el conocimiento del negocio y experiencia del Ing.

XXXXXXXXXXXXXXXXXXXXXXXX, quien actúa como administrador de la plataforma. De igual modo, se pudo establecer que en algunos casos, a juicio de él, las fuentes de información pueden reportar de manera anónima”. Información que se respalda en los argumentos expuestos por la investigada por medio de su escrito de descargos13, en el cual señaló que “(…) es importante destacar que esta afirmación, que implica la acción de “aprobar o rechazar”, refleja que actuamos en relación con los datos de acuerdo con las directrices de nuestro suscriptor.

En otras palabras, el suscriptor tiene un entendimiento claro de que al informar un dato que obtuvo del titular como resultado de la evaluación de riesgo (…), asume una serie de obligaciones desde el momento en que suscribe el contrato con nosotros (…) Nuestro papel es validar esta información para garantizar el cumplimiento de estas condiciones (…)” De acuerdo con todo lo expuesto hasta acá, es claro para el Despacho que la sociedad RISKS INTERNATIONAL S.A.S. en desarrollo de una actividad mercantil Folio 27, escrito de descargos obrante en el expediente bajo el radicado 21-259141-47 del 27 de octubre de 2023.

“Por la cual se imponen unas sanciones administrativas” surte un procedimiento para agregar registros de novedades, sin garantizar la plena veracidad de la información contenida en esos reportes, tal como se evidenció en las pruebas recaudadas el 16 de marzo de 2023, como se cita del informe de visita administrativa: “En el curso de la visita administrativa realizada, se identificó que la siguiente novedad fue aprobada, teniendo como soporte únicamente una carta del suscriptor, en la cual describe el incumplimiento del contrato por parte del transportador y el documento que utilizan como “Autorización de Tratamiento de Datos”.

Teniendo en cuenta que el reporte de la novedad fue aprobado por el administrador de la plataforma SIREST, esta información la pueden consultar “Por la cual se imponen unas sanciones administrativas” todos los suscriptores de la sociedad RISKS INTERNATIONAL S.A.S., hecho que permitiese inferir a los suscriptores que el titular reportado se apropió del dinero referenciado en la citada comunicación”.

En la siguiente imagen se aprecia la consulta de una novedad: Esto se acompasa con los hechos de la denuncia obrante en el expediente bajo el radicado 21-404595, acumulado al expediente principal 21-259141, respecto al requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Tratamiento de Datos Personales, el 01 de noviembre de 2022 a la sociedad RISKS INTERNATIONAL S.A.S. en el que, se solicitó entra otras cosas lo siguiente: “Con base en lo dispuesto en el artículo 21 de la Ley 1581 de 2012 y para los efectos previstos en el literal b) de la misma disposición 1, adjuntamos copia de la solicitud de actualización y/o eliminación de la información personal, presentada por el/la señor(a) XXXXXXXXXXXXXXXXXXXX (sic), que ya había sido previamente presentada ante ustedes, de acuerdo con lo dispuesto en la norma antes citada y con el fin de que se pronuncie sobre los hechos materia de la reclamación y aporte las pruebas que pretenda hacer valer para el trámite de la presente actuación administrativa.

A dicha respuesta deberá adjuntar la siguiente información: (…) 4. Indicar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta”. El citado requerimiento fue atendido 14 por el representante legal de la sociedad, XXXXXXXXXXXXXXXXXXXXXXXXXXXXX, quien informó que “(…) el señor XXXXXXXXXXXXXXXXXXXX, presento (sic) derecho de petición ante nosotros el 08 de octubre de 2021 por intermedio de director de la Fundación Familia Respuesta al requerimiento obrante en el expediente digital bajo el radicado 21-404595- 8-1 del 16 de noviembre de 2022.

“Por la cual se imponen unas sanciones administrativas” Camionera Unida de Colombia; emitimos respuesta y la misma fue notificada el 3 de noviembre de 2021”. De la petición se extrajeron los siguientes datos relevantes: “Durante los últimos meses se ha presentado una situación especial con las empresas de carga donde el Sr XXXXXXXXXXXXXXXXXXXX, prestaba sus servicios como transportador de mercancía, situación consistente en la negación de las empresas para entregar carga de mercancías al XXXXXXXXXX), aduciendo que por la presunta causal de “siniestro por hurto calificado”, en el desarrollo de su actividad como transportador, por los hechos ocurridos el 05 de septiembre de 2017, donde el señor XXXXX fue víctima.

Situación por la que ustedes lo calificaron con un reporte negativo y veto para transportar mercancías, esto de manera injustificada ya que el señor xxxxxxx fue víctima del siniestro y denunciante ante la fiscalía de dicho delito, por el cual NO está siendo juzgado, ni posee investigaciones activas, por este u otro hecho”. Asimismo, el representante de la investigada aportó copia de la respuesta entregada al titular, de la cual se destaca lo siguiente: “En atención a su solicitud elevada el 8 de octubre de 2021, se realizó la correspondiente verificación, en nuestros sistemas de información de consulta restringida, manejados directamente por nuestra compañía y validando los datos suministrados por el peticionario, así mismo, corroborando los mismos con los remitidos en la autorización de tratamiento de datos enviada por el solicitante, encontramos que NO reposa ningún tipo de información más allá de la pública a nombre del señor XXXXXXXXXXXXXXXXXXXXXXXXX (…).

De esta manera, se señala que el objeto social de RISKS INTERNATIONAL S.A.S. es el control, monitoreo y prevención del lavado de activos y financiación del terrorismo LA/FT, por medio de sistemas de información que prestan apoyo al crecimiento seguro de la economía del país, a las distintas empresas que se encuentran obligadas a cumplir la normatividad en la implementación del sistema SAR, SARLAFT, SIPLAFT y SAGRILAFT, sistemas que realizan búsquedas de información pública o con datos públicos, con acceso público, es por ello que, NO es nuestra función efectuar reportes o hacer el trámite de verificación de hojas de vida para la contratación en nombre de terceros.

En este sentido RISKS INTERNATIONAL S.A.S., no emite ningún reporte con VETO o concepto favorable o desfavorable para contratación de personas o vehículos.” De este modo se ratifica que el titular no tiene conocimiento de la información que sobre él figura en las bases de datos de la sociedad RISKS INTERNATIONAL S.A.S., pues de la denuncia en cita se desprende que al titular solo le fue indicado por las empresas de transporte de carga, la existencia de un impedimento para contratarlo en virtud de la anotación negativa (novedad) de “siniestro por hurto calificado, en el desarrollo de su actividad como transportador”, obrante en el historial asociado a su nombre.

A este respecto, es oportuno citar lo dispuesto por la Corte Constitucional en Sentencia SU 139 de 2021, en la cual expresó que “Por otro lado, restringir u obstaculizar el conocimiento de los datos de contenido negativo puede implicar en algunos casos la grave afectación a la garantía de la presunción de inocencia. Así, el administrador de la información podría incurrir o provocar conductas sancionatorias que no se corresponden al debido proceso.

Es decir, cuando el administrador de la información, a modo de sanción punitiva, impide el acceso a los datos personales de contenido negativo, transgrede la garantía de la presunción de inocencia, pues, en la práctica, desconoce que quien se encuentra inmerso en un proceso penal se presume inocente hasta que no se demuestre su culpabilidad”.

Conforme a todo lo descrito en líneas precedentes, encuentra esta Dirección que la sociedad RISKS INTERNATIONAL S.A.S. ha desconocido los deberes y principios consagrados en la Ley 1581 de 2012 y su Decreto Reglamentario 1074 “Por la cual se imponen unas sanciones administrativas” de 2015, al realizar tratamiento de datos personales i) sin garantizar el derecho de los titulares de conocer la información que sobre ellos reposa en sus bases de datos ii) sin garantizar la veracidad y calidad de esa información que le reportan sus suscriptores y iii) desconociendo el derecho que les asiste a los titulares de solicitar la supresión de los datos inexactos o parciales, conducta que se subsume típicamente como infractora de lo previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción el monto de (75) SETENTA Y CINCO SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a OCHO MIL SETECIENTAS (8.700) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a NOVENTA Y CINCO MILLONES DOSCIENTOS SETENTA Y TRES MIL SETECIENTOS PESOS (95.273.700)15. 8.2.3 Del deber de solicitar la respectiva autorización al Titular para el tratamiento de sus datos personales El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos.

De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así: “DERECHO AL HABEAS DATA EN TRATAMIENTO PERSONALES-Principios y garantías constitucionales DE DATOS El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”16, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los fines y medios esenciales para el tratamiento del dato17”, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal.

Dentro de esos Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se imponen unas sanciones administrativas” deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares de la información, para hacer el respectivo tratamiento de sus datos personales. A su turno los principios de legalidad y libertad establecen un marco dentro del cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados.

En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…) En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica.

La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

A su vez, encontramos la categorización especial dada por el legislador a los datos sensibles bajo el entendido de ser aquellos “(…) que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación18 (…)”. Ahora bien, en el caso sub examine se encontró a través de la visita de inspección realizada el 16 de marzo de 2023, que la sociedad RISKS INTERNATIONAL S.A.S., en calidad de Responsable del tratamiento de datos personales, conforme a los criterios ampliamente decantados, realiza operaciones de recolección, almacenamiento y circulación de los reportes efectuados por sus suscriptores en la base de datos SIRIEST-SISCOM (Sistema de Información Compartida), respecto de lo cual, se evidenciaron los siguientes hallazgos en la referida diligencia: “En relación con la obtención de la autorización para realizar de reportes en el historial de los transportadores, se recolectaron las piezas probatorias que permitan verificar los términos en que el titular otorga su consentimiento, para ser reportado en la base de datos SIRIEST, administrada por la sociedad RISKS INTERNATIONAL S.A.S. Al respecto, se observan los siguientes documentos en la carpeta denominada “reportes de aprobación”: Artículo 5 de la Ley 1581 de 2012.

“Por la cual se imponen unas sanciones administrativas” “Por la cual se imponen unas sanciones administrativas” “Por la cual se imponen unas sanciones administrativas” Al respecto, la Dirección de Investigaciones de Protección de Datos Personales estableció que “Las autorizaciones otorgadas por los titulares guardan relación con las disposiciones de la Ley 1266 de 2008, respecto al cumplimiento de obligaciones dinerarias.

Igualmente, se observa que algunos de los formatos aportados contienen la expresión “irrevocable” y que “Las autorizaciones aportadas no facultan expresamente a la sociedad RISKS INTERNATIONAL S.A.S. para usar, almacenar y circular información en sus bases en datos, ni contienen una finalidad vinculada a la creación de reportes de novedades del transporte de carga terrestre”.

En este punto, la sociedad investigada expuso sus argumentos de defensa señalando que “se reitera que no ostentamos la calidad de Responsable del tratamiento de datos, en consecuencia no somos quienes deben solicitar y conservar la autorización del titular del dato19”. Así mismo, aseveró20 que “igualmente, y basados en los criterios legales, no es de recibo para esta sociedad que se indique, que la sociedad realiza la divulgación de datos sensibles, como los cumplimientos de los contratos, esto en el entendido que esta categoría no se considera un dato definido como sensible según lo establecido en la Ley 1581 de 2012.

Esta Ley, en su artículo 5, ha delimitado claramente el concepto de datos sensibles como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación. Por lo tanto, los incumplimientos de contrato no entran en esta categoría en esta categoría de dato sensibles, ya que su divulgación no compromete la intimidad del titular ni conduce necesariamente a su discriminación (…)” (…) “Es esencial señalar en el caso Sub lite que esta Superintendencia no puede atribuirse funciones legislativas, ya que no es una de las funciones que le corresponde.

La definición de la tipología de los datos solo puede ser realizada por el legislador, puesto que cualquier otro intento de hacerlo estaría en violación de los principios fundamentales de democracia y separación de poderes. La ley es clara es clara y taxativa en cuanto a la descripción de los datos sensibles, mencionándolos y señalando ejemplos, y por lo tanto, no deja espacio para interpretaciones arbitrarias.

Los datos sensibles son aquellos que la ley describe y enumera específicamente, y al mencionarlos, la ley está definiendo el tipo de datos que pertenecen a esta categoría. No es posible, a través de la interpretación, incluir el incumplimiento como dato de carácter sensible, ya que su naturaleza se relaciona con la profesión u oficio que una persona desempeña. La ley considera los datos sobre la profesión u oficio como datos de carácter público, y cuando se refieren a la actividad desempeñada en el ejercicio de esa profesión u oficio, estos datos se consideran públicos, y de los cuales se puede hacer tratamiento sin la autorización del titular por regla general”.

Al punto, resulta imperioso traer a colación el pronunciamiento de la alta Corporación, en Sentencia C-748 de 2011, frente a lo que puede considerarse dato sensible: “En efecto, como explicó la Corte en la sentencia C-1011 de 2008, la información sensible es aquella “(…) relacionada, entre otros aspectos, con la orientación sexual, los hábitos del individuo y el credo religioso y político.

En estos eventos, la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella 'esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico.” Escrito de descargos obrante en el expediente bajo el radicado 21-259141-47 del 27 de octubre de 2023.

Ídem “Por la cual se imponen unas sanciones administrativas” Conforme a esta explicación, la definición del artículo 5 es compatible con el texto constitucional, siempre y cuando no se entienda como una lista taxativa, sino meramente enunciativa de datos sensibles, pues los datos que pertenecen a la esfera intima son determinados por los cambios y el desarrollo histórico”.

(se destaca) Ahora bien, es claro que el reporte negativo relacionado con el cumplimiento o no de una carga contractual, en principio no podría considerarse información que derive en una conducta discriminatoria, sin embargo en el momento en que ese dato se vincula con hechos delictivos que puedan afectar los distintos ámbitos en que se desenvuelve el titular afectado, como su intimidad, su libertad personal o su buen nombre puede adquirir tal categoría. Sobre el particular señaló la Corte Constitucional “(…) merece la pena señalar que el derecho fundamental al habeas data tiene íntima relación con los derechos a la presunción de inocencia y a la libertad personal (…) Ahora bien, por las particularidades propias del asunto objeto de análisis, el derecho fundamental al habeas data también adquiere relevancia en aquellos escenarios en los que la administración de los datos de contenido negativo impacta los derechos a la libertad personal y a la presunción de inocencia”21.

En ese sentido, indicó el Alto Tribunal que “A lo largo de su jurisprudencia, esta Corporación ha hecho énfasis en que la libertad personal y la presunción de inocencia son elementos medulares de nuestro Estado Social y Democrático de derecho. Por una parte, el derecho a la libertad personal (en su dimensión negativa) “supone la prohibición de todo acto de coerción física o moral, oficial o proveniente de particulares, que interfiera o suprima la autonomía de la persona, la sojuzgue, oprima o reduzca indebidamente”.

Por otra parte, conforme a la garantía de la presunción de inocencia “la persona deberá ser tratada como inocente mientras no se demuestre lo contrario a través de un proceso judicial adelantado con todas las garantías, en el cual se le haya declarado judicialmente culpable mediante sentencia ejecutoriada” En este caso, tal como se ha venido exponiendo a lo largo de la presente decisión, las llamadas novedades están acompañadas de una calificación del incumplimiento por i) hurto, abuso de confianza, iii) piratería terrestre, iv) detención o captura, v) apropiación de anticipo, vi) pertenencia a grupos armados al margen de la ley, vii) saqueo de mercancía, entre otros.

De manera que sin haberse surtido un proceso judicial con todas las prerrogativas constitucionales, la investigada está realizando tratamiento de datos que tienen un impacto en el buen nombre y en la presunción de inocencia, que a la postre conllevan a constituirse como un factor de discriminación de los titulares, por parte de quienes acceden en calidad de usuarios para contratar con ellos.

Cobra absoluta relevancia destacar en esta etapa procesal el contenido de una de las peticiones instauradas por el titular de la información XXXXXXXXX, a través de su apoderado, quien aseguró que “Durante los últimos meses se ha presentado una situación especial con las empresas de carga donde el Sr XXXXXXXX, prestaba sus servicios como transportador de mercancía, situación consistente en la negación de las empresas para entregar carga de mercancías al XXXXXXXX aduciendo que por la presunta causal de “siniestro por hurto calificado22”(énfasis añadido).

Así las cosas, no existe manto de duda en el sentido de establecer que los reportes negativos que se realizan en el sistema de información SIRIEST, respecto a los conductores de transporte de carga, SÍ se convierten en un criterio de exclusión e impedimento para que ellos puedan acceder a contratos futuros. Dicho esto, es dable concluir que la sociedad RISKS INTERNATIONAL S.A.S. ha llevado a cabo operaciones de recolección, almacenamiento y circulación de datos personales sensibles de conductores de transporte de carga, en su base de datos SIRIEST, proveniente de los reportes efectuados por sus suscriptores, y accedidos por sus usuarios, sin contar con la autorización previa, expresa e informada por parte de los respectivos titulares, conducta que se subsume Sentencia SU139 del 14 de mayo de 2021.

M.P. Jorge Enrique Ibáñez Najar Respuesta al requerimiento obrante en el expediente digital bajo el radicado 21-404595- 8-1 del 16 de noviembre de 2022. (acumulado al expediente 21-259141) “Por la cual se imponen unas sanciones administrativas” típicamente como infractora de lo previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción una multa equivalente a (75) SETENTA Y CINCO SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a OCHO MIL SETECIENTAS (8.700) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a NOVENTA Y CINCO MILLONES DOSCIENTOS SETENTA Y TRES MIL SETECIENTOS PESOS (95.273.700)23.

NOVENO: CONCLUSIÓN Por todo lo expuesto, INTERNATIONAL S.A.S: quedó demostrado que la sociedad RISKS 9.1 Ha recolectado, almacenado y circulado datos personales i) sin garantizar el derecho de los titulares de conocer la información que sobre ellos reposa en sus bases de datos ii) sin garantizar la veracidad y calidad de esa información que les reportan sus suscriptores y iii) desconociendo el derecho que les asiste a los titulares de solicitar la supresión de los datos inexactos o parciales. 9.2 Ha llevado a cabo operaciones de recolección, almacenamiento y circulación de datos personales sensibles de conductores de transporte de carga, en su base de datos SIRIEST, proveniente de los reportes efectuados por sus suscriptores, y accedidos por sus usuarios, sin contar con la autorización previa, expresa e informada por parte de los respectivos titulares.

DÉCIMO: OTRAS SANCIONES ADMINISTRATIVAS De otra parte, esta Dirección también encuentra procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, con el fin de que la investigada ajuste sus procedimientos de manera que se respete el derecho fundamental de Hábeas Data de los titulares vinculados al transporte de carga cuya información es objeto de tratamiento por parte de la sociedad RISKS INTERNATIONAL S.A.S. Por tanto, se impondrá la sanción consistente en ordenar la suspensión de las actividades de recolección, uso, almacenamiento y circulación de datos personales en la base de datos denominada SIRIEST, como Sistema de Información Compartido (SISCOM) de propiedad de la sociedad RISKS INTERNATIONAL S.A.S. por el período de seis (6) meses, término con el cual contará para acreditar ante esta Autoridad haber adoptado las siguientes medidas: 1.

Implementar un procedimiento para garantizar la calidad y la plena veracidad de los datos suministrados por sus suscriptores, respecto a los reportes que solicitan incluir en el historial del titular. Para ello, deberá prescindir de la utilización de novedades relacionadas con conductas delictivas, cuya presunción no haya sido desvirtuada por las autoridades judiciales correspondientes. 2.

Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 3. Implementar un mecanismo para obtener la autorización previa y expresa de todos y cada de los titulares cuyos datos serán objeto de tratamiento, informándoles la finalidad específica a la que será sometida su información, así como los derechos que les asisten en virtud de la autorización otorgada. 4.

Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se imponen unas sanciones administrativas” 5.

Desarrollar, implementar y poner a disposición de los titulares un manual que describa el procedimiento para la inclusión de reportes en la base de datos SIRIEST, así como el detalle de los respectivos registros. 6. Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales.

De este modo, la sociedad RISKS INTERNATIONAL S.A.S. deberá abstenerse de realizar operaciones de recolección, uso, almacenamiento y circulación de datos personales sobre SIRIEST-SISCOM, dentro de los seis (6) meses posteriores a la ejecutoria del presente acto administrativo, término con el cual contará para proceder con el cumplimiento de las acciones ordenadas por esta Dirección.

DÉCIMO PRIMERO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA De acuerdo con los hechos y situaciones probadas en la presente actuación administrativa, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. La Superintendencia de Industria y Comercio ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”24.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2625 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. “Por la cual se imponen unas sanciones administrativas” adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”26. El término “accountability”, a pesar de contar con diferentes acepciones, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”27.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/que-escompliance.php (última consulta 20 de abril de 2020) “Por la cual se imponen unas sanciones administrativas” en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2328. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 229, 430 y 631 de la Constitución, debe respetar las garantías ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)” Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) “Por la cual se imponen unas sanciones administrativas” constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo32. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”33 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional34.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se imponen unas sanciones administrativas” El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente.

El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, “Por la cual se imponen unas sanciones administrativas” estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional35 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 36 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros37. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se imponen unas sanciones administrativas” insignificante o de poca trascendencia. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”38. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia39.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2340 de la misma. Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se imponen unas sanciones administrativas” (…)” 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó probado, frente a los dos cargos formulados que la sociedad RISKS INTERNATIONAL S.A.S. ha realizado tratamiento de datos desconociendo los principios de veracidad, calidad y finalidad; y, los derechos de los titulares que cuya información recolecta, almacena y circula.

Adicionalmente, se encontró que realizó tratamiento de datos personales considerados sensibles, el cual no estaba debidamente autorizado por sus titulares, situación que pone en peligro los intereses jurídicos tutelados por el legislador estatutario, en materia del derecho fundamental de hábeas data. Por tanto, se impondrá como sanción pecuniaria la suma de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a CIENTO NOVENTA MILLONES QUINIENTOS CUARENTA Y SIETE MIL CUATROCIENTOS PESOS M/CTE (190.547.400)41, por la vulneración de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.2 Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se imponen unas sanciones administrativas” infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción.

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad RISKS INTERNATIONAL S.A.S. identificada con el Nit 900-352-786-5, con el correo electrónico de notificación judicial contactos@risksint.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-259141. Las sociedades son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

DÉCIMO PRIMERO: Que en consideración a la calidad de denunciantes, esta Dirección ordenará comunicar el contenido de la presente decisión a los señores XXXXXXXXXXXXXXXXXXXXXXXxxxxxxxxxxxxxxxxxxxxxxxxxxxx En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5 de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a CIENTO NOVENTA MILLONES QUINIENTOS CUARENTA Y SIETE MIL CUATROCIENTOS PESOS M/CTE (190.547.400)42, por la vulneración de lo dispuesto en: i) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 8, los literales b) y d) del artículo 4° de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, ii) En el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se imponen unas sanciones administrativas”

ARTÍCULO 2: IMPONER la sanción consistente en ordenar a la sociedad RISKS INTERNATIONAL S.A.S. identificada con NIT. 900.352.786-5, la suspensión de operaciones de recolección, uso, almacenamiento y circulación sobre la base de datos denominada SIRIEST, como Sistema de Información Compartido (SISCOM), hasta tanto demuestre ante esta Autoridad haber adoptado las siguientes medidas: 1.

Implementar un procedimiento para garantizar la calidad y la plena veracidad de los datos suministrados por sus suscriptores, respecto a los reportes que solicitan incluir en el historial del titular. Para ello, deberá prescindir de la utilización de novedades relacionadas con conductas delictivas, cuya presunción no haya sido desvirtuada por las autoridades judiciales correspondientes. 2.

Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 3. Implementar un mecanismo para obtener la autorización previa y expresa de todos y cada de los titulares cuyos datos serán objeto de tratamiento, informándoles la finalidad específica a la que será sometida su información, así como los derechos que les asisten en virtud de la autorización otorgada. 4.

Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular. 5. Desarrollar, implementar y poner a disposición de los titulares un manual que describa el procedimiento para la inclusión de reportes en la base de datos SIRIEST, así como el detalle de los respectivos registros. 6.

Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales. Parágrafo primero: La sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5 deberá adoptar las medidas señaladas en el artículo anterior, dentro de los seis (6) meses posteriores a la ejecutoria del presente acto administrativo.

Parágrafo segundo: La sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5 deberá acreditar el cumplimiento de lo ordenado en la presente decisión, aportando copia de todos los documentos, manuales y procedimientos, dentro de los cinco (5) días siguientes al vencimiento del plazo otorgado para su implementación. Parágrafo tercero: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad RISKS INTERNATIONAL S.A.S., identificada con NIT. 900.352.786-5, acreedora de las sanciones previstas en la Ley.

ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad RISKS INTERNATIONAL S.A.S.., identificada con NIT. 900.352.786-5, a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a los ciudadanosXXXXXXXXXXXXXXXxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx “Por la cual se imponen unas sanciones administrativas”

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 de julio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: RISKS INTERNATIONAL S.A.S. Nit. 900.352.786-5 SILVIA CATALINA REINA ARCHILA C.C. 1.049.611.974 Calle 25 B # 39 A 30 Bogotá D.C. contactos@risksint.com COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXX C.C. XXXXXXXXXXXXXX XXXXXXXXXXXXXXX Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXX C.CXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXX Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXX