(18 MARZO 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 20-193255 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, el numeral 8 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante Resolución N°. 69804 del 28 de octubre del 2021 1, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la entidad ALMACENES ÉXITO S.A., identificada con el NIT. 890.900.608-9, de CIENTO CINCUENTA Y DOS MILLONES CUATROCIENTOS NOVENTA Y TRES MIL SEISCIENTOS PESOS M/CTE ($152.493.600) equivalente a (4.200 UVT) Unidades de Valor Tributario, por la infracción del deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
SEGUNDO: Que mediante escrito radicado el 25 de noviembre de 2021 con número de radicado 20-193255-38, ALMACENES ÉXITO S.A., a través de apoderado especial, interpuso recurso de reposición y en subsidio de apelación2 contra la Resolución N°. 69804 del 28 de octubre del 2019, con los siguientes argumentos: 2.1. Para empezar, la sociedad recurrente alegó una indebida graduación de la sanción debido a la valoración de la conducta y el principio de proporcionalidad, entre otros aspectos, así: “(…) es absolutamente desproporcionada para la conducta llevada a cabo por Almacenes Éxito.
Adicionalmente, la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación: (i) (ii) (iii) No se valoró adecuada la conducta de cara a la dimensión del daño o peligro de la conducta No tuvo en cuenta la colaboración de Almacenes Éxito dentro de la investigación aportando los elementos de prueba a través de los cuales se demuestra la gestión que Almacenes Éxito S.A. dio a la solicitud del titular, No se valoró de forma adecuada, con toda la información que reposa en los distintos expedientes de la compañía, la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos personales.
Al respecto, cita una jurisprudencia, en su criterio, aplicable al caso concreto. 2.2. Además, la sociedad recurrente argumentó una falta de valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta: “(…) La Dirección incurre en una clara falta al valorar la conducta, pues en ninguna parte de la Resolución recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta.
No se trata únicamente de determinar si la conducta existió o no, sino, además, de acuerdo a la norma y los criterios de proporcionalidad arriba desarrollados y traídos a colación por la propia Superintendencia, de determinar la dimensión bien del daño, si este ocurrió, o del peligro que la conducta generó para los derechos de la titular (…)”3. 1 Recuperado de radicado N°. 2021069804RE0000000001.
Páginas 1 a 26. 2 Recuperado de radicado N°. 20193255—0003800003. Páginas 1 a 14. 3 Recuperado de: radicado N°. 20193255—0003800003. Página 7. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2.3. Junto a esto, la sociedad recurrente indicó que este caso se enmarca en un hecho aislado y no sistemático en razón a que a su parecer ALMACENES ÉXITO S.A. cuenta con un programa integral de protección de datos personales específicamente en prácticas de buen gobierno corporativo y compliance particularmente en materia de protección de datos y, por lo tanto, a su parecer, no debe afirmarse por parte de esta Superintendencia que existe un actuar negligente, ya que: “(…) Almacenes Éxito S.A. es una organización comprometida con la protección de los datos personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.
En dicho sentido, la Compañía cuenta con un programa integral de protección de datos personales acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares. Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción en el presente caso a partir de la valoración probatoria que hace este despacho, no puede afirmarse que existe un actuar negligente.
Por el contrario, Almacenes Éxito ha demostrado la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial, incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos (…) ”4. 2.4. Como ya se mencionó, la sociedad recurrente recordó el programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo: “(…) El principio de la responsabilidad demostrada se ha consagrado dentro del ordenamiento jurídico, como un mecanismo que tiene la finalidad de promover el compromiso de las organizaciones frente a la protección de los datos personales, lo cual se desarrolla con la implementación de modelos y programas verificables que enriquezcan las garantías que se han desplegado dentro del ordenamiento Colombiano, frente a la materia.
De dicho principio deriva un reconocimiento de aquellas organizaciones comprometidas con la protección de los datos, el cual puede verse materializado como un criterio diferenciador que adopta la Superintendencia de Industria y Comercio, como autoridad competente en la materia, frente a la imposición de sanciones de carácter administrativo por las violaciones al régimen de protección de datos (…)”5. 2.5.
Incluso, la sociedad recurrente manifestó que de acuerdo con la guía expedida por la del programa de protección de datos personales: “(…), se establecen tres componentes fundamentales, que deberán tenerse en cuenta siempre que se vaya a proceder con la creación de un programa integral para la protección de los datos (…)”6. 2.6. En efecto, la sociedad recurrente señaló que se realiza una evaluación y revisión continúa del programa de protección de datos: “(…) Como ya se ha puesto de presente a este Despacho, Almacenes Éxito, cuenta con un área especializada, el Área de Cumplimiento, que hace un seguimiento permanente al programa, para monitorear el estado de su implementación y adecuado desarrollo.
Al justificar la decisión impugnada, la Superintendencia no tiene en cuenta que en el pasado ya había hecho el mismo reconocimiento frente a Almacenes Éxito, y había reconocido que en efecto dicha sociedad sí cuenta con un programa integral de protección de datos, que efectivamente refleja el compromiso de la organización con el tratamiento de la información de los titulares en sus bases de datos (…)”7. 4 Recuperado de: radicado N°. 20193255—0003800003.
Página 9. 5 Recuperado de: radicado N°. 20193255—0003800003. Página 10. 6 Ibidem. 7 Recuperado de: radicado N°. 20193255—0003800003. Página 12. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2.7. Para terminar, la sociedad recurrente concluyó cuatro razones para modificar la multa, a saber: “(…) Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Almacenes Éxito, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: (i) La Dirección no tuvo adecuadamente en cuenta la dimensión del daño y peligro de la conducta y en consecuencia no disminuyó la multa de manera sustancial.
(ii) La Dirección no tuvo en cuenta la colaboración de Almacenes Éxito durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial (iii) Aun si se afirmara que la valoración probatoria de las evidencias técnicas estuvo acorde para dar cuenta de una posible infracción, la Dirección no tuvo en cuenta el carácter excepcional y no sistemático de la situación objeto de análisis.
(iv) La Dirección no tuvo en cuenta la creación y despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y que se ha ajustado a las dinámicas del negocio en armonía con las disposiciones legales vigentes en la materia y a lo estipulado por la Dirección. (…)”8.
TERCERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
CUARTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por el apoderado de la recurrente se encuentra que los mismos se concretan en tres aspectos, a saber: (i) Graduación de la multa (ii) Discusión de un programa integral de protección de datos personales (iii) Conclusiones. 4.1.
Frente a la graduación de la multa La sociedad recurrente alega la falta de proporcionalidad en el siguiente sentido “(…) es absolutamente desproporcionada para la conducta llevada a cabo por Almacenes Éxito. Adicionalmente, la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación (i) No se valoró adecuada la conducta de cara a la dimensión del daño o peligro de la conducta (ii) No tuvo en cuenta la colaboración de Almacenes Éxito dentro de la investigación aportando los elementos de prueba a través de los cuales se demuestra la gestión que Almacenes Éxito S.A. dio a la solicitud del titular, (iii) No se valoró de forma adecuada, con toda la información que reposa en los distintos expedientes de la compañía, la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos personales.
(…) 1. Falta de proporcionalidad en la graduación de la sanción No podemos desconocer que la facultad sancionatoria de la Superintendencia tiene una función importante correspondiente a evitar que conductas gravemente lesivas del ordenamiento y del régimen legal de protección de datos personales sigan ocurriendo (…) Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad (…)”9.
Dicho argumento se enmarca en la proporcionalidad de la sanción impuesta, por lo que esta Dirección le aclara a la investigada que al momento de proferir la Resolución N°. 69804 del 28 de octubre del 2021 tomó en cuenta los criterios dispuestos en el artículo 19 de la Ley 1581 de 2012, los cuales son: 8 Recuperado de: radicado N°. 20193255—0003800003.
Página 13. 9 Recuperado de: radicado N°. 20193255—0003800003. Páginas 5 a 6. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “ARTÍCULO
19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-0110 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos (…)”.
Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso si se envió una comunicación al titular, pero esa comunicación no atendió los requisitos previstos en la Ley 1581 de 2012.
Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la entidad investigada vulneró las reglas contenidas en el deber legal señalado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
Dicha vulneración se concretó al no atender en forma oportuna y eficiente la solicitud del Titular en el sentido eliminar de las bases de datos de los clientes de la compañía y el numero celular del mismo. Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.
Así las cosas, se analizó la dimensión del daño o peligro a los intereses jurídicos tutelados, teniendo en cuenta el tamaño de la empresa, sus ingresos patrimonio y en general su información financiera, como también el número de peticiones interpuestas por el Titular de los Datos, la gravedad de la conducta cometida por la entidad sancionada, así como las características de la misma que fueron objeto de verificación, determinando así que para las vulneraciones especificas corresponden a la suma de (4.200 UVT) Unidades de Valor Tributario.
Por ende, es claro que al momento de imponer la sanción e impartir las ordenes administrativas se analizaron los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012, y para el caso en específico se encontró que, de los criterios agravantes de la sanción, el literal a) era aplicable 10 Consejo de Estado, sentencia 25000-23-24-000-2002-00524-01.
Consejero de Ponente: Rafael E. Ostau de Lafont Pianeta. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” al caso y que, en la medida en que no hubo reconocimiento de la infracción previa a la imposición de la sanción, el literal f) no fue tenido en cuenta. Justamente, cabe recordarle al apoderado de la recurrente que la Ley 1581 de 2012 no estableció en el artículo 24 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Habeas Data.
Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.
Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Igualmente, se tiene que en dichos documentos no se detallan, ni especifican los controles y procedimientos de cada uno de los Manuales, ni de los Procedimientos Internos desarrollados por la recurrente. De manera que, vale la pena reiterar la negligencia de la recurrente respecto del cumplimiento del deber de “garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, del cual se evidenció su desconocimiento al suprimir los datos de la denunciante, aproximadamente, 8 meses después de que solicitara la eliminación de todos sus datos de las bases de datos de la compañía. Esta negligencia implica el desconocimiento del derecho fundamental de hábeas data que es el objeto de amparo a través de la Ley 1581 de 2012. 4.2.
Frente a la discusión de un programa integral de protección de datos personales La sociedad recurrente alega que “(…) La Dirección incurre en una clara falta al valorar la conducta, pues en ninguna parte de la Resolución recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta. No se trata únicamente de determinar si la conducta existió o no, sino, además, de acuerdo a la norma y los criterios de proporcionalidad arriba desarrollados y traídos a colación por la propia Superintendencia, de determinar la dimensión bien del daño, si este ocurrió, o del peligro que la conducta generó para los derechos de la titular (…)”11.
Junto a esto, la sociedad recurrente indicó que este caso se enmarca dentro de un hecho aislado y no sistemático en razón a que a su parecer ALMACENES ÉXITO S.A. cuenta con un programa integral de protección de datos personales específicamente en prácticas de buen gobierno corporativo y compliance particularmente en materia de protección de datos.
Por lo tanto, a su parecer, no debe afirmarse por parte de esta Superintendencia que existe un actuar negligente, ya que: “(…) Almacenes Éxito S.A. es una organización comprometida con la protección de los datos personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social. 11 Recuperado de: radicado N°. 20193255—0003800003.
Páginas 7 y 8. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En dicho sentido, la Compañía cuenta con un programa integral de protección de datos personales acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares.
Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales. En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción en el presente caso a partir de la valoración probatoria que hace este despacho, no puede afirmarse que existe un actuar negligente.
Por el contrario, Almacenes Éxito ha demostrado la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial, incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos (…) ”12. Como ya se mencionó, la sociedad recurrente recordó el programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo a lo que llama hecho aislado y no sistemático: “(…) El principio de la responsabilidad demostrada se ha consagrado dentro del ordenamiento jurídico, como un mecanismo que tiene la finalidad de promover el compromiso de las organizaciones frente a la protección de los datos personales, lo cual se desarrolla con la implementación de modelos y programas verificables que enriquezcan las garantías que se han desplegado dentro del ordenamiento Colombiano, frente a la materia.
De dicho principio deriva un reconocimiento de aquellas organizaciones comprometidas con la protección de los datos, el cual puede verse materializado como un criterio diferenciador que adopta la Superintendencia de Industria y Comercio, como autoridad competente en la materia, frente a la imposición de sanciones de carácter administrativo por las violaciones al régimen de protección de datos (…)”13.
Incluso, la sociedad recurrente manifestó que de acuerdo con la guía expedida por la Superintendencia de Industria y Comercio se establecieron componentes fundamentales del programa de protección de datos personales: “(…), se establecen tres componentes fundamentales, que deberán tenerse en cuenta siempre que se vaya a proceder con la creación de un programa integral para la protección de los datos (…)”14.
En efecto, la sociedad recurrente señaló que se realiza una evaluación y revisión continúa del programa de protección de datos: “(…) Como ya se ha puesto de presente a este Despacho, Almacenes Éxito, cuenta con un área especializada, el Área de Cumplimiento, que hace un seguimiento permanente al programa, para monitorear el estado de su implementación y adecuado desarrollo.
Al justificar la decisión impugnada, la Superintendencia no tiene en cuenta que en el pasado ya había hecho el mismo reconocimiento frente a Almacenes Éxito, y había reconocido que en efecto dicha sociedad sí cuenta con un programa integral de protección de datos, que efectivamente refleja el compromiso de la organización con el tratamiento de la información de los titulares en sus bases de datos (…)”15.
Frente a este tema, este Despacho encuentra indispensable reiterarle a la recurrente que el Programa Integral de Protección de Datos Personales, el cual alega fue desarrollado conforme a la Guía para el Principio de Responsabilidad Demostrada de la Superintendencia de Industria y Comercio fue implementado con POSTERIORIDAD a la fecha de ocurrencia de los hechos, ya que dentro de la resolución recurrida se encontró que: “Sobre el particular, la sociedad investigada aporta como prueba el Acta No. 84 del 13 de agosto de 2019 de la reunión ordinaria Comité de Auditoría y Riesgos, respecto de la cual el Despacho encuentra que: (i) corresponde a una reunión llevada a cabo con posterioridad a la ocurrencia de los hechos objeto de esta actuación administrativa, ya que los derechos del denunciante se vulneraron hasta el 30 de julio de 2019, fecha en la cual aún continuaba recibiendo mensajes 12 Recuperado de: radicado N°. 20193255—0003800003.
Página 9. 13 Recuperado de: radicado N°. 20193255—0003800003. Página 10. 14 Ibidem. 15 Recuperado de: radicado N°. 20193255—0003800003. Página 12. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” publicitarios por parte de la investigada y; (ii) en el orden del día previsto en el acta, en el numeral 5 el tema a tratar indicado es el de Cumplimiento – Protección de Datos Personales y en el numeral 3.3. del desarrollo de la reunión enuncian este tema; no obstante, dentro del título 3.3 Cumplimiento – Protección de Datos Personales no hay contenido alguno (…) Por lo anterior, este Despacho reitera que, en aras de demostrar el cumplimiento del principio de responsabilidad demostrada, no basta con que los procesos o documentos estén elaborados y dispuestos para consulta y aceptación de los empleados de la ALMACENES ÉXITO S.A. El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.
(…) Sin embargo, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría (como se demostró en la resolución recurrida), sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la recurrente sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.
Por otra parte, se reitera que el objeto de esta actuación administrativa ha sido investigar la presunta vulneración por parte de la sociedad investigada del deber previsto en: (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, por lo cual el análisis de este principio no se realizará a mayor profundidad”.
Por estas razones, este Despacho encuentra que aun cuando hay elemento de juicio que permite señalar que la compañía se encuentra comprometida con la aplicación del Régimen General de Protección de Datos, en el caso concreto se evidencia que las políticas y procedimientos internos implementados por el Responsables se efectuaron con posterioridad a la ocurrencia de la conducta, lo que evidencia una contradicción en las argumentaciones de la recurrente.
Al respecto, cabe traer a colación la postura adoptada por esta Superintendencia sobre el principio de responsabilidad demostrada. A manera de ejemplo, la Resolución N°. 44019 del 31 de julio de 2020 16 indicó que la regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.
Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante” 17. En ese mismo sentido, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución N°. 12192 del 1 de abril de 2020, en la cual se indica: “El término “accountability”, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.
El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. 16 Recuperado de: Radicado 2020044019RE0000000001.
Páginas 1 a 23. 17 Corte Constitucional, sentencia T-227 de 2003. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Medidas “apropiadas” son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y “efectivas”, son las que permiten lograr el resultado o efecto que se desea o espera.
En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas. Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.
Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones”18.
El artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 –titulado Demostraciónestablece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Nótese como le corresponde al Responsable o Encargado probar que ha puesto en marcha medidas adecuadas, útiles y eficaces para cumplir la regulación. Lo anterior significa que un administrador no puede utilizar cualquier tipo de política o herramienta para dicho efecto sino solo aquellas que sirvan para que los postulados legales no sean meras elucubraciones teóricas sino realidades verificables.
Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos. En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada.
Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al titular la posibilidad de supresión de sus datos, pues al tratarse de una obligación legal de resultado, deberá proceder eliminación definitiva de dato personal cuando sea procedente y permita por el ordenamiento jurídico.
En adición a lo anterior, es importante señalar que no es la primera vez que ALMACENES ÉXITO S.A. es sancionada por no respetar los derechos de los titulares de los datos. Sumado a esto, es relevante tener presente que ALMACENES ÉXITO S.A. trata datos de aproximadamente catorce (14) millones de ciudadanos lo cual lo obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los titulares de los datos.
De manera que, en esta actuación administrativa, en virtud del principio de responsabilidad demostrada, la sociedad recurrente debió probar que para la época de los hechos contaban con las medidas pertinentes, útiles, efectivas y verificables para garantizar el debido ejercicio del derecho de hábeas data de los titulares y el cumplimiento del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
Al respecto, este Despacho precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento y; (iv) los riesgos potenciales que el tratamiento podría causar sobre el derecho de los titulares. 18 Recuperado de: Radicado N°. 2020044019RE0000000001. Página 14. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar los Responsables, dispuso lo siguiente: “Artículo 2.2.2.25.6.2.
Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.
La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida” Ahora bien, con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada 19 (accountability) 20 ”.
En este sentido, el término “accountability” 21, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.
Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza22 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.
El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.
Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. 19 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 20 “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, signif ica ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 21 Cfr. Grupo de trabajo de protección de datos del artículo 29.
Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimism o involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”. 23 (Énfasis añadido).
Adicionalmente, el principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: (i) los derechos de los titulares de los datos personales y (ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía24, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”25.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”26. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”27. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales” 28 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”29.
De todo lo anterior, es claro que ALMACENES ÉXITO S.A., para el caso concreto no acredita el cumplimiento efectivo del principio de responsabilidad demostrada a través de una Política Integral de Protección de Datos Personales y de sus medidas específicas puestas en marcha con antelación a la fecha de ocurrencia de los hechos materia de investigación. Conforme con lo anterior, los documentos y procedimientos aportados en esta investigación como en otras por la recurrente, son insuficientes para demostrar el principio de responsabilidad demostrada de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, tendientes a disminuir el monto de la sanción impuesta, ya que no se evidencia que sean eficaces y efectivos para la garantía del derecho de hábeas data de los titulares, específicamente respecto del deber de “garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data” previsto Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que gu arda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ Ibídem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs. 16-18. 29 Ibídem.
HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. Así las cosas, teniendo en cuenta todo lo anterior, no es posible aceptar el argumento de la recurrente.
QUINTO: Conclusiones (i) Respecto de la desproporción de la sanción administrativa quedo claro que la misma obedeció a los parámetros legales y que de ninguna manera es excesiva (ii) Se demostró que a pesar de que la sociedad recurrente tenga un llamado Programa Integral de Protección de Datos Personales, lo cierto es que el mismo fue implementado con posterioridad a los hechos materia de investigación y que a partir de ello, no se puede tener por cumplido el principio de responsabilidad demostrada.
SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentan la resolución impugnada, por lo que la misma será confirmada.
Con fundamento en lo anterior, este Despacho procederá a confirmar la Resolución N°. 69804 del 28 de octubre de 2021.
SÉPTIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad ALMACENES ÉXITO S.A., con Número de Identificación Tributaria 890.900.608-9, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad njudiciales@grupoexito.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad ALMACENES ÉXITO S.A., identificada con número de Nit. 890.900.608-9, considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N°. 69804 del 28 de octubre del 2021, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales. HOJA NnNº,2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ALMACENES ÉXITO S.A. identificada con NIT. 890.900.608-9, a través de su representante legal y apoderado, entregándole copia de esta.
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXX XXXXXXX XXXXXX XXXX, identificado con la C.C. XXXXXXXXX.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 18 MARZO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.03.18 13:56:11 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: BFPL Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante legal: Identificación: Correo electrónico: Dirección: Ciudad: ALMACENES ÉXITO S.A. NIT. 890.900.608-9 Carlos Mario Giraldo Moreno C.C. N°. 71.590.612 njudiciales@grupo-exito.com Carrera 48 No. 32B SUR - 139 Envigado, Antioquia.
Apoderada: Identificación: Tarjeta Profesional: Dirección: Correo Electrónico: Ciudad: María Natalia Vesga Osorio C.C. No. 52.690.531 No. 125.634 del C.S.J. Carrera 48 N° 32B SUR 139 njudiciales@grupo-exito.com Envigado, Antioquia. COMUNICACIÓN: Señor: Identificación: Correo electrónico: Xxxx Xxxxxxx Xxxxxxx Xxxxx C.C. No. x.xxx.xxx.xxx xxxxxxxxxxxxxxxxxxxxx