REPÚBLICA DE COLOMBIA RESOLUCIÓN NÚMERO 667 DE 2021 (08 de enero) Radicación 18-183272 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 7 del artículo 16 del Decreto 4886 de 2011 y, CONSIDERANDO:
PRIMERO: Que mediante oficio radicado con el número 18-183272-00 de fecha 11 de julio de 2018, la señora Sandra Patricia Orozco Giraldo, presentó ante esta Superintendencia queja en contra de COLOMBIA MÓVIL S.A. E.S.P. (en adelante COLOMBIA MOVIL), pues consideró vulnerado su derecho de habeas data por las siguientes razones: “a mi domicilio está llegando la factura de la línea 5024302121 con cuenta 8932950626 a nombre de una señora que no conozco y Tigo Une y esa señora están utilizando mi dirección sin autorización para estas facturas que me están llegando desde agosto de 2017, hice la reclamación a tigo une de no utilizar mi dato privado y que lo eliminaran de sus datos informándoles que no es la dirección de la persona con quien ellos hicieron el contrato y la está utilizando fraudulentamente, me contestaron que corregirían la situación y no ocurriría de nuevo, pero no se ha solucionado el tema y me continúan llegando a mi domicilio las facturas de esa persona y une tigo no corrigió ni actualizo su información a pesar de que se los informe y continúan utilizando mi dirección para hacerme llegar estas facturas, me quejo dado que no corrigieron su información, yo vivo en Medellín y llame al celular de la persona que facturan y resulta que vive en Bogotá y es una total desconocida para mi, le solicite hiciera el reclamo a tigo y/o dejara de usar mi dirección en Medellín pero nada ha pasado me siguen llegando documentos de otra persona a mi domicilio y tigo une tampoco hace lo que le corresponde para solucionarme esta situación. Hace cuatro meses empezó a llegar el recibo, en Tigo le tomaron la queja y no volvió a pasar hasta ahora.
Solicita solución al problema y que no le vuelvan a enviar esta factura, que no utilicen su dirección para esto ye que están violando la ley de datos personales”.
SEGUNDO: Que mediante Resolución 92407 del 20 de diciembre de 2018, el Director de Investigación de Protección de Datos Personales resolvió iniciar una investigación administrativa y formular cargos, con el fin de establecer si COLOMBIA MOVIL infringió las normas sobre protección de datos personales, en especial la establecida en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley.
TERCERO: Que una vez agotada la etapa probatoria y efectuado el análisis del escrito de descargos1 y de los diferentes medios probatorios allegados oportunamente al expediente, la Dirección de Investigación de Protección de Datos Personales, mediante Resolución 20080 del 6 de mayo de 2020, resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COLOMBIA MÓVIL S.A. E.S.P., identificada con NIT 830.114.921-1 de CINCUENTA MILLONES VEINTISIETE MIL Escrito de Descargos radicado en el Sistema de Trámites de la Superintendencia de Industria y Comercio con el consecutivo 18-18327210 de fecha 01 de febrero de 2019.
RESOLUCIÓN NÚMERO DE 2021 SEISCIENTOS SIETE PESOS M/CTE ($50.027.607,), equivalente a MIL CUATROCIENTOS CINCO (1.405) unidades de valor tributario (UVT), por la violación a lo dispuesto en: i. El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley.
CUARTO: Que en el término legal establecido para el efecto2, mediante escrito radicado con el número 18-183272-26 del 14 de julio de 2020 la Vicepresidente de Asuntos Legales de COLOMBIA MOVIL (en adelante la RECURRENTE), interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 20080 del 6 de mayo de 2020, con fundamento en los siguientes argumentos:
1. NULIDAD POR INDEBIDA NOTIFICACIÓN DE LA RESOLUCIÓN QUE IMPONE SANCIÓN Una vez revisado el historial de la resolución por medio de la cual la entidad imparte una orden a la Compañía que represento, no puede tenerse notificada en debida forma, por cuanto el aviso fue enviado, pretermitiendo el envió de la citación de notificación personal que ordena el artículo 68 de la ley 1437 2011, queriendo esto indicar que la citación nunca fue remitida.
Además, aparte de la falta de envío, no se acató lo establecido en la norma en comento en la cual se ordena que se debe hacer la notificación cinco (5) días posteriores a la fecha de expedición del acto, por lo que esto tampoco se cumplió. Atendiendo a lo antes enunciado, el término para poder elaborarse el aviso que dispone el artículo 69 ibidem, era una vez fenecido los cinco (5) días otorgados en la citación de notificación personal, la cual nunca fue remitida, en consecuencia, el aviso remitido no cumple con el proceso de notificación que establece la ley, generando esto una violación al acatamiento de las reglas propias de cada juicio.
A pesar de lo anterior, la SIC contrariando la norma en comento, expidió la resolución el 6 de mayo de 2020 y la remitió el día 30 de junio de 2020, generando esto una nulidad por indebida notificación del acto sancionatorio y, por ende, una nulidad por falta de atención al debido proceso, tal y como se demuestra en la notificación por aviso remitida y como se verifica en notificación anterior.
Lo anterior, dado que la Administración debe expedir, notificar y agotar la vía gubernativa en relación con el acto, toda vez que solamente el acto en firme permite su ejecución, porque los recursos se conceden en el efecto suspensivo. Por tanto, ante la falta de notificación habrá de aplicarse el artículo 52 del CPACA.
FUNDAMENTOS DEL RECURSO FALTA DE VALORACION PROBATORIA De los hechos que preceden la orden administrativa se colige que se atendió de manera oportuna las diferentes solicitudes de acuerdo a los solicitado por la SIC. Conforme a constancia suscrita por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada en el sistema de trámites bajo el número 18-183-272-27 del 10 de agosto de 2020, la Resolución 20080 del 06 de mayo de 2020 fue notificada por aviso a COLOMBIA MOVIL el 01 de julio de 2020.
RESOLUCIÓN NÚMERO DE 2021 Adicionalmente, tal y como obra en el material probatorio, se puedo evidenciar que se garantizó a la accionante en todo momento el pleno y efectivo derecho de habeas data, del material probatorio se puede evidenciar como desde marzo de 2019, a la fecha, la señora Sandra no ha recibido en su domicilio ninguna otra comunicación remitida por mi representada, Analizando de manera detenida la orden, observamos, que una vez la SIC da traslado para que mi representada se pronuncie, esta lo hace de manera oportuna, esto es, en el termino conferido para ello, evidenciando que en ningún momento la accionante fue reportada ante centrales de Riego y que en la actualidad mi representada no ha hecho reporte alguno relacionado con sus datos personales: Asimismo la denunciante, tal y como se aportó en el material probatorio nunca ha sido registrada en los sistemas de información de la compañía, por lo cual mi representada no ha tenido en su poder el tratamiento de cualquier dato relacionado con ella: De esta manera, se reitera que mi representada no tiene motivación alguna para poner en peligro los intereses jurídicos protegidos en las normas imputadas en la presente Resolución, ni obtuvo beneficio económico alguno por causa de los supuestos fácticos que se reprochan, puesto que RESOLUCIÓN NÚMERO DE 2021 ni siquiera obran en su sistema datos relacionados con la denunciante, en este sentido mi representada no se hace merecedora de sanción alguna.
EFECTIVO CUMPLIMIENTO DE LOS DEBERES DE LOS RESPONSABLES TRATAMIENTO DE DATOS PERSONALES DEL Mi representada ha dado cumplimiento a todos los deberes de los responsables del tratamiento de datos personales, y lo tanto no se hace merecedora de la sanción que se le impone al respecto. El literal a) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual consiste en” Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, y en este mismo sentido el derecho de los Titulares de revocar y/o solicitar la supresión del dato dispuesto en el literal e) del artículo 8 de la Ley 1581 de 2012.
Así las cosas, tal y como consta tanto en los descargos como en el material probatorio en las distintas respuestas dadas a la denunciante, se suprimió dicho dato de las bases de datos de mi representada, tanto así, que desde marzo de 2019, a la fecha, 14 de julio de 2020, la denunciante no ha recibido en su domicilio comunicación alguna relacionada con los hechos objeto de la denuncia. De ésta manera se concluye que mi representada dio cumplimiento a todos los deberes de los responsables de tratamientos de datos, en primer lugar debido a que nunca tuvo en su poder información relacionada con la denunciante en sus bases de datos, en segundo lugar debido a que tal y como consta dio respuesta a todos y cada uno de sus requerimientos y procedió a la supresión del dato de su domicilio en sus bases de datos, aún si éste estaba relacionado con otra persona que efectivamente sí tenía una relación contractual con mi representada y por último debido a que realizó los cambios correspondiente lo que se traduce en no recibir información por parte de mi representada desde marzo del 2019 lo cual se traduce en la eliminación de cualquier riesgo relacionado con uso indebido de datos personales”.
QUINTO: Que mediante Resolución 73824 del 19 de noviembre de 2020, el Director de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por COLOMBIA MOVIL, confirmando la Resolución 20080 del 6 de mayo de 2020, y concediendo el recurso de apelación.
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto contra la Resolución 20080 del 6 de mayo de 2020, de conformidad con las siguientes, CONSIDERACIONES DEL DESPACHO:
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 3 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”. Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO DE 2021
2. DEBIDA NOTIFICACIÓN DE LA RESOLUCIÓN 20080 DEL 6 DE MAYO DE 2020. El artículo 67 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, señala que las decisiones que pongan término a una actuación administrativa se notificarán personalmente al interesado, a su representante o apoderado, o a la persona debidamente autorizada por el interesado para notificarse.
A su vez, el artículo 68 ibídem, indica que, si no hay otro medio más eficaz de informar al interesado, se le enviará una citación a la dirección, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, para que comparezca a la diligencia de notificación personal. El envío de la citación se hará dentro de los cinco (5) días siguientes a la expedición del acto, y de dicha diligencia se dejará constancia en el expediente.
El artículo 69 establece que “[s]i no pudiere hacerse la notificación personal al cabo de los cinco (5) días del envío de la citación, esta se hará por medio de aviso que se remitirá a la dirección, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, acompañado de copia íntegra del acto administrativo.
El aviso deberá indicar la fecha y la del acto que se notifica, la autoridad que lo expidió, los recursos que legalmente proceden, las autoridades ante quienes deben interponerse, los plazos respectivos y la advertencia de que la notificación se considerará surtida al finalizar el día siguiente al de la entrega del aviso en el lugar de destino”.
De conformidad con las normas citadas, mediante oficio con número de radicado 18-18327219, de fecha 7 de mayo de 2020, suscrito por la Secretaria General de esta Superintendencia visible a folio 185, se envió la citación a la Apoderada de Colombia Móvil S.A. E.S.P, para practicar la notificación personal del contenido de la Resolución 20080 del 6 de mayo de 2020 al correo electrónico notificacionesjudiciales@tigo.com.co En el expediente reposa el radicado 18-183272-22-2 (“Certificado de comunicación electrónica Email certificado”), mediante el cual se hace constar el envío y entrega del oficio relacionado anteriormente, tal y como se puede constatar en la siguiente imagen: RESOLUCIÓN NÚMERO DE 2021 Así las cosas, contrario a lo dicho por el RECURRENTE esta Superintendencia no omitió el envío de la citación para que la notificación de la Resolución 20080 del 6 de mayo de 2020, se surtiera de manera personal, acto que a la postre no se llevó a cabo debido a que no compareció el Representante Legal de la sociedad investigada o su apoderado, o quien hiciera sus veces.
Como consecuencia de lo anterior, y vencido el término de que trata el artículo 69 del CPACA, la Secretaria General de esta Superintendencia, envió al correo electrónico informado para tal efecto, el Oficio radicado con el número 18-183272-24, de fecha 30 de junio de 2020, contentivo de la Notificación por Aviso de la Resolución 20080 del 6 de mayo de 2020.
De conformidad con lo anteriormente indicado, el acto administrativo objeto del presente recurso fue notificado en debida forma, tal y como lo ordena el Código de Procedimiento Administrativo y de lo Contencioso Administrativo.
3. DE LA SUPRESIÓN DE LOS DATOS PERSONALES. La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales.
(…)4. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: Sentencia C-748 de 2011.
Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). RESOLUCIÓN NÚMERO DE 2021 “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.
Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.
Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”5 La autorización es un mecanismo de legitimación del Tratamiento de datos personales, pero no es un título traslaticio de la propiedad del dato. El Responsable y/o el Encargado no son propietarios de los datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el tratamiento de los datos personales de cualquier manera sino solo como lo indica la Constitución y la ley.
La autorización no le permite a Responsables o Encargados obrar arbitrariamente cuando tratan datos personales porque ello atenta contra mandatos constitucionales y legales. Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los datos para que se pueda predicar que estamos frente a un tratamiento lícito de la información mencionada.
Como es sabido, la supresión de la información es un derecho del titular del dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”6. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.
En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el decreto 1074 de 2015) y titulado “REVOCATORIA DE LA AUTORIZACIÓN Y/O SUPRESIÓN DEL DATO”.
“Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio.
Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012. RESOLUCIÓN NÚMERO DE 2021 La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, los Titulares pueden solicitar la exclusión o supresión de la información que repose en las bases de datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.
En el presente caso, la quejosa solicitó a COLOMBIA MOVIL la eliminación de cualquier información que tuviera registrada en su base de datos, en especial la dirección de residencia, toda vez que, recibió una factura a nombre de una persona que no conoce y no ha tenido trato: Como respuesta a la mencionada solicitud, COLOMBIA MOVIL le informó a la señora Orozco Galindo, lo siguiente: RESOLUCIÓN NÚMERO DE 2021 No obstante lo anterior, la señora Orozco Giraldo recibió cuatro nuevas facturas: RESOLUCIÓN NÚMERO DE 2021 De conformidad con lo anteriormente indicado, es evidente que la sociedad investigada fue indiferente al requerimiento hecho, ya que la reclamante insistió en su solicitud de supresión de datos sin obtener satisfactoriamente la eliminación de estos.
COLOMBIA MOVIL no cumplió con su palabra porque le manifestó a la Titular que actualizaría la información y que adoptaría medidas correctivas para no remitirle mas facturas equivocadas, pero no lo hizo. Le siguió enviando facturas a la quejosa. El material probatorio que obra en el expediente demuestra que la reclamante presentó la solicitud de eliminación de su información a COLOMBIA MOVIL y aunque respondió el 27 de noviembre de 2017, que “el caso fue escalado al área encargada del tema en nuestra compañía para que la información sea actualizada y esta manera la factura de la 5024302121 asociada a la cuenta de facturación 8932950626 no se envíe a su dirección de su domicilio partir del próximo ciclo”, le fueron enviadas las facturas correspondientes a los meses de febrero, mayo, junio y julio de 2018.
Situación que llama aún más la atención si se tiene en cuenta que la quejosa no tiene vinculo contractual alguno con COLOMBIA MÓVIL. Razones que, para este Despacho son suficientes para confirmar el acto administrativo recurrido.
4. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe RESOLUCIÓN NÚMERO DE 2021 un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”7.
Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos.
En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 268 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengas como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (accountability)”9. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. Cfr. Corte Constitucional, sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf RESOLUCIÓN NÚMERO DE 2021 El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza10 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”11 (Destacamos) El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los titulares de los datos personales y su gestión siempre sea respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los anteriores aspectos mencionados en la guía12, ponemos de presente que el principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que éste hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”13.
También se ha afirmado que “compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”14. Adicionalmente se precisa que “ya no vale Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos.
Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-de-compliance-iii/ RESOLUCIÓN NÚMERO DE 2021 solo intentar cumplir” la ley sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance” 15. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 16 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”17.
5. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES. El artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Según el artículo 22 de la ley 222 de 199518 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena Idem Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”.
Págs 16-18 Ibid. P 16 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO DE 2021 fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2419 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”20.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de todo lo anterior se exhorta al Representante Legal de COLOMBIA MÓVIL S.A. E.S.P. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: a) Respetar y garantizar los derechos de los titulares de los datos. b) Evitar que se repitan hechos como los que dieron origen a la presente investigación. c) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. d) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”21.
Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para responder las consultas y reclamos de los titulares de los datos. El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf RESOLUCIÓN NÚMERO DE 2021 e) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas. 6.
CONCLUSIONES. Sin perjuicio de lo establecido, no se accederá a las pretensiones de la RECURRENTE, por, entre otras, las siguientes razones: a. Se confirmó que COLOMBIA MOVIL infringió las normas sobre protección de datos personales consagradas en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la citada Ley. b. COLOMBIA MOVIL, envió unas facturas de venta a la dirección de domicilio de la quejosa, a nombre de una persona que no conocía, es decir, la dirección estaba asociada a una cuenta que no le pertenecía a la quejosa. c. A pesar de la solicitud presentada por la quejosa en el mes de noviembre de 2017 y de la respuesta dada a la misma, COLOMBIA MOVIL, continuó enviando facturas a la dirección de su domicilio. d. COLOMBIA MOVIL no cumplió con su palabra porque le respondió a la Titular que actualizaría la información y que implementaría medidas correctivas para no remitirle mas facturas, pero no lo hizo.
Le siguió enviando facturas a la quejosa. e. La actuación desplegada por COLOMBIA MOVIL, va en contravía de las normas que protegen el debido tratamiento de los datos personales. El titular del dato no está obligado a insistir para que se suprima su información de una base de datos, situación que se agrava aun más cuando dicho titular no tiene una relación contractual con el Responsable.
Es deber del Responsable del Tratamiento suprimir los datos dentro de los términos legales, sin que el Titular deba rogarle para que respeten su derecho. f. La sanción impuesta equivale al 2.84% del total permitido por la norma. De conformidad con lo anteriormente indicado y una vez analizadas las pruebas y documentos allegados a la presente actuación administrativa, encuentra este Despacho que el acto administrativo objeto de impugnación fue expedido observando la Ley.
De esta forma y de acuerdo con el artículo 80 del Código de Procedimiento Administrativo y lo Contencioso Administrativo y las consideraciones del Despacho, se confirmará la Resolución 20080 del 6 de mayo de 2020. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Confirmar en todas sus partes la Resolución 20080 del 6 de mayo de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO: Notificar personalmente en contenido de la presente decisión a la COLOMBIA MÓVIL S.A. E.S.P. identificada con el NIT 830.114.921-1, a través de su representante legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. RESOLUCIÓN NÚMERO DE 2021 ARTÍCULO TERCERO: Comunicar la presente decisión a la señora SANDRA PATRICIA OROZCO GIRALDO, identificada con la cédula de ciudadanía 52.108.324.
ARTÍCULO CUARTO: Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 08 de enero de 2021 El Superintendente Delegado para la Protección de Datos Personales, NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.01.08 15:38:21 -05'00' NELSON REMOLINA ANGARITA NTL RESOLUCIÓN NÚMERO DE 2021 NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: COLOMBIA MÓVIL S.A. E.S.P. Nit. 830.114.921-1 MARCELO CATALDO FRANCO C.E. 426572 Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: ANDREA MARIA ORREGO RAMIREZ C.C. 43.581.512 Avenida Calle 26 No. 92-32 Módulo G1 Bogotá D.C. notificacionesjudiciales@tigo.com.co COMUNICACIÓN: Titular de la Información: Señor: Identificación: Correo Electrónico: SANDRA PATRICIA OROZCO GIRALDO C.C. 52.108.324 orozco.sandra@hotmail.com