Apelación 30603 de 2022 — SIC

(20 MAYO 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Radicación 20-336298 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N° 70337 del 4 de noviembre de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa, y en consecuencia, formular pliego de cargos contra la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, por la presunta infracción a lo dispuesto: i. El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015. ii.

El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

SEGUNDO: Que la Resolución N° 70337 del 4 de noviembre de 2020 le fue notificada mediante Aviso N° 30399 del 18 de noviembre de 2020 a la sociedad COLOMBIA MOVIL S.A. ESP., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-336298-9 del 9 de diciembre de 2020.

TERCERO: Que, mediante escrito radicado bajo el número 20-336298-10, del 9 de diciembre de 2020 la sociedad investigada presentó su escrito de descargos, junto con las pruebas que pretende hacer valer dentro de la presente investigación administrativa CUARTO: Que mediante Resolución No. 22311 de 20 de abril de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-336298, con el valor legal que le corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los respectivos alegatos de conclusión.

QUINTO: Que la Resolución No. 22311 de 20 de abril de 2021 fue comunicada de manera electrónica el 28 de abril de 2021 a la sociedad investigada, a través de su Apoderada General, de acuerdo con certificación con expediente digital radicado 20-336298- 16 de 26 de mayo de 2021.

SEXTO: Que dentro del plazo otorgado, mediante la comunicación de fecha 5 de mayo de 2021 expediente digital radicado 20-336298-15 páginas 1 a 5, la sociedad investigada presentó alegatos de conclusión.

SÉPTIMO: Que mediante Resolución No. 66739 de 14 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 2, VERSIÓN PÚBLICA “IMPONER una sanción pecuniaria a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, de CIENTO CINCO MILLONES DOSCIENTOS NOVENTA Y TRES MIL DOSCIENTOS PESOS ($105.293.200) M/CTE, correspondiente a (2.900) unidades de valor tributaria- UVT, por la violación del i) literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, a la sociedad COLOMBIA MOVIL S.A. E.S.P.” “IMPARTIR las siguientes órdenes administrativas a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 así: i. La sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor XXXXXXXXXXXXXXXXXXXXXXXXX identificado con cédula de ciudadanía No. XXXXXX. ii.

La sociedad COLOMBIA MOVIL S.A. E.S.P., deberá desarrollar, implementar y mantener un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos. iii.

OCTAVO: Que la Resolución No. 66739 de 14 de octubre de 2021, fue notificada mediante aviso No. 26540 de 27 de octubre de 2021 a la sociedad COLOMBIA MOVIL S.A. ESP., según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 20-336298-24 del 27 de octubre de 2021.

NOVENO: Que mediante correo electrónico con radicado 20-336298-25 página 6 del viernes 11 de noviembre de 2021, a través de su Apoderada General COLOMBIA MOVIL S.A. ESP., presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución No. 66739 de 14 de octubre de 2021, para que se revoque la sanción impuesta con fundamento en: 9.1 Alega que, “El denunciante XXXXXXXXXXXXXXXXXXXXXXXXX presentó la solicitud de eliminación del dato personal el día 08 de febrero de 2016, sin embargo, respecto de esta solicitud en el mismo año 2016 mi representada dio respuesta a su PQR dentro de los términos establecidos y procedió a la eliminación del dato desde el mismo año 2016: El día 29 de febrero de 2016, tal como se probó desde el escrito de descargos, se emitió Ticket 3040965 CUN 4331-16-0001743272, dando la respectiva respuesta en los siguientes términos: “Efectuada la revisión de su requerimiento, nos permitimos indicarle que se realizaron las respectivas validaciones en nuestro sistema de información y le notificamos que hemos procedido según su solicitud y hemos escalado su caso a la agencia de cobranza encargada de esta gestión de cobranza para que la dirección electrónica de correo XXXXXXXXXXXXX sea retirada de sus base de datos y no sea asociada a la obligación número XXXXXXXX de la cual usted no es titular ni contacto relacionado”.

Esta situación ya había sido verificada por la Superintendencia de Industria y comercio mediante el radicado 17-298694 en la cual una vez investigados los hechos que podían haber llegar a manifestar una violación a los derecho del usuario en materia de Habeas Data, la misma Administración mediante resolución 37309 del 30 de mayo de 2018 una vez investigados los hechos decide archivar la investigación por hacerse demostrado y comprobado la superación de cualquier tipo de riesgo como el accionante en su momento.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 3, VERSIÓN PÚBLICA En este orden de ideas vemos como desde el 2016 mi representada ya había tomado todas las acciones respectivas y se había comprobado que no había riesgo alguno respecto del tratamiento de datos personales del señor XXXXXXXXXX Posteriormente en el año 2019 el accionante radica PQR ante mi presentada poniendo en copia a las respectivas entidades en el que solicita nuevamente se suprima su correo electrónico de las bases de datos de COLOMBIA MÓVIL, en razón a que él no mantenía vínculo contractual alguno ni adeudaba alguna obligación a la Compañía. Una vez verificadas nuestras bases datos se identificó que el día 30 de abril de 2019, el señor XXXX XXXXXXXXXXXXXXXXXXXXXXXXX, persona diferente al denunciante en este caso, se acercó a uno de nuestros puntos físicos de atención para realizar una transacción sobre su línea XXXXXXXXXX.

El soporte de esta transacción fue enviado al correo electrónico que figuraba en el sistema suministrado por el solicitante en ese momento: XXXXXXXXXXXXXXX. Cabe aclarar que sólo hasta esta fecha el correo electrónico XXXXXXXXXXXXX fue nuevamente incluido en el sistema en razón a la transacción de fecha 30 de abril del 2019, lo que quiere decir que constituye un hecho continuado desde el año 2016.

Ahora bien, respecto del hecho anteriormente descrito y una vez identificados los hechos es necesario aclarar que el correo electrónico indicado por el señor XXXXXXXXXXXXXXXX el 30 de abril de 2019 fue XXXXXXXXXXXXX, sin embargo, por un error de digitación al momento de ingresar los datos al sistema este fue ingresado por el funcionario respectivo como XXXXXXXXXXXXX.

En el caso que nos ocupa, no se evidencia el cumplimiento de la verificación del principio de responsabilidad demostrada ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe. Ahora, una vez radicado el correo electrónico se procedió a corregir y eliminar nuevamente el dato del accionante XXXXXXXXXXXXXXX de nuestro sistema, situación que fue debidamente acreditada desde el escrito de descargos: Al realizar una validación de obligaciones asociadas al correo XXXXXXXXX no se obtienen resultados: Así las cosas, la Dirección de Investigación de Protección de Datos Personales erró al imponer una sanción a mi representada puesto que tal como se probó: 1) Colombia Móvil procedió a la supresión del dato del accionante desde el año 2016, cosa que fue verificada por la misma Administración mediante investigación, y por lo tanto no existe una violación a los derechos relacionados con la protección de datos desde el año 2016; y 2) no es cierto que mi representada hubiera omitido dar respuesta continuamente a los requerimientos del denunciante debido a que, tal como se indicó en la resolución objeto del presente recurso únicamente presentó dos requerimiento uno en el año “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 4, VERSIÓN PÚBLICA 2016 y otro en el año 2019 el último mediante el cual mi representada de inmediato procedió a corregir el error y a responder el respectivo requerimiento.” 9.2 Luego de lo anterior, señala “ Tal como se indicó en el parágrafo anterior, respectos de los hechos supuestamente imputados la Superintendencia de Industria y Comercio en el año 2018 había ya realizado una investigación, archivando también la misma, por la existencia de la superación de cualquier tipo de hecho que pudiera llegar a poner en peligro los derechos de habeas data del denunciante.

Dicha investigación administrativa se identifica con el Rad. 17- 298649 y fue la misma administración la que corroboró que no había vulneración alguna al régimen jurídico. Indica la Corte Constitucional en el expediente C 870 del 2002 que uno de los elementos fundamentales para el derecho sancionatorio es el cumplimiento del principio non bis in idem “El principio non bis in idem prohíbe que una persona, por el mismo hecho, (i) sea sometida a juicios sucesivos o (ii) le sean impuestas varias sanciones en el mismo juicio”; y por lo tanto en caso de imponer una sanción a mi representada por hechos que la administración ya había considerado como superados en el año 2016 viola directamente este principio así como el principio de legalidad como columna vertebral del derecho sancionador.” 9.3 Posteriormente alega que, “respecto de los hechos supuestamente imputados la investigación, archivando también la misma, por la existencia de la superación de cualquier tipo de hecho que pudiera llegar a poner en peligro los derechos de habeas data del denunciante.

Dicha investigación administrativa se identifica con el Rad. 17- 298649 y fue la misma administración la que corroboró que no había vulneración alguna al régimen jurídico.” 9.4 Igualmente señalan, “Desde la óptica del requisito de legalidad, en este caso la Administración hace referencia a una conducta continuada desde el año 2016, cosa que no es verdad y por lo tanto el supuesto de hecho imputado no corresponde a la sanción impuesta; y desde la óptica del principio de culpabilidad es necesario reiterar que en virtud de la aplicación del principio de presunción de inocencia y de responsabilidad demostrada no se evidencia el cumplimiento de la verificación de estos ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe el cual fue de inmediato corregido lo que demuestra además hecho superado.” 9.5 Por otro lado, argumentan, “De la Resolución Impugnada es posible evidenciar que cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, que está relacionada con el desarrollo, la implementación y el mantenimiento de un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos; la SIC como entidad sancionadora, optó por ordenar a COLOMBIA MÓVIL implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio, en tanto pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.” 9.6 También argumentan que “si bien la discrecionalidad es un aspecto que faculta al fallador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, esos criterios que acoge para imponerla deben ser soportados en bases jurídicas y fácticas y explicados claramente al sancionado para que tenga la posibilidad de controvertirlos.

La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad pues ello desdice del Estado Social de Derecho. (…) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 5, VERSIÓN PÚBLICA Como podemos observar en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios analizados al imponer la sanción a mi representada, lo que le impide a la Compañía controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la sociedad COLOMBIA MÓVIL S.A contrariando lo manifestado por la jurisprudencia. Como se ha insistido a lo largo del presente escrito, la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al usuario ni tener en cuenta que, como se indicó en varias ocasiones, se accedió favorablemente a su solicitud realizando el cobro a la persona que adquirió los servicios, ya que el caso analizado parte de un hecho privado y concreto relacionado con la reclamación de un usuario.

Adicionalmente la sanción impuesta tiene como fundamento hechos que han sido desvirtuados, hechos que fueron juzgados con anterioridad por la misma administración sobre los cuales no se halló mérito para la imposición de la sanción, y el desconocimiento de la aplicación de los principios del derecho sancionatorio encontrase desproporcionada respecto a la realidad fáctica y jurídica aplicable al caso.” 9.7 Por otro lado, indican que “respetuosamente consideramos que la sanción impuesta es desproporcionada respecto del bien jurídico que se protege, pues queda claro no existe una violación respecto a la protección de los derechos de habeas data del denunciante desde el año 2016, adicionalmente que mi representada fue diligente en la respuesta a la PQR del accionante que data del año 2019 y que en la actualidad los hechos que dieron origen al requerimiento del año 2019 ya fueron completamente superados.

Por último, se demostró que en el actual de mi representaba no se haya intención alguna respecto a la violación a los derecho del denunciante por cuanto el error fue involuntario por motivos de digitación. De igual forma, los factores que se tuvieron en cuenta para la imposición y graduación de la sanción no deben ser contradictorios con la parte considerativa del acto sancionatorio, ni deben llevar al investigado a confusión, como sucedió en este caso particular.” 9.8 Por último exponen “Respetuosamente, me permito solicitar a la Superintendencia de Industria y Comercio se sirva:

PRIMERO: REVOCAR íntegramente la decisión adoptada mediante la Resolución No 66739 del 14 de octubre del 2021 y en su lugar se sirva absolver a la Compañía COLOMBIA MÓVIL S.A. E.S.P respecto de los cargos formulados mediante la Resolución No. 70337 del 4 de noviembre de 2020, conforme a los descargos y pruebas que integran y acompañan el presente documento.

SEGUNDO: DISPONER el archivo de la actuación administrativa objeto del presente recurso.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 6, VERSIÓN PÚBLICA DÉCIMO PRIMERO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de aquellos.

Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 11.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Segundo de la parte resolutiva de la Resolución 66739 de 14 de octubre de 2021 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a: 11.1.1 La sociedad investigada fue notificada de manera electrónica el viernes 27 de octubre de 2021, a través de su Apoderada General, de acuerdo con la certificación con radicado 20-336298-24. 11.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 11 de noviembre de 2021, a través de correo electrónico con radicado 20-336298-25, encontrándose presentado dentro del término legal. 11.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 69303 de 29 de octubre de 2020, los cuales fueron expuestos en el numeral considerativo octavo de esta resolución. 11.3 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio.

La apoderada general en el acápite de Notificaciones del escrito con radicado 20-33629825 pagina 6 folio 10 de 11 de noviembre de 2021, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 66739 de 14 de octubre de 2021, señala nombre, dirección y correo electrónico de la recurrente para notificaciones. “COLOMBIA MÓVIL S.A. E.S.P: Carrera 50 # 96-12, Bogotá. Correo electrónico: notificacionesjudiciales@tigo.com.co”

DÉCIMO SEGUNDO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en solicitar la revocatoria de la sanción impuesta en dos aspectos, a saber (i) Aplicación del principio Non Bis In Idem (ii) Del presunto hecho superado iii) De las órdenes impartidas iv) De la proporcionalidad de la sanción v) De las pretensiones. 12.1 De la presunta violación del principio de “NON BIS IN IDEM” Sobre este cargo, la recurrente señala lo siguiente: “El denunciante XXXXXXXXXXXXXXXXXXXXXXX presentó la solicitud de eliminación del dato personal el día 08 de febrero de 2016, sin embargo, respecto de esta solicitud en el mismo año 2016 mi representada dio respuesta a su PQR dentro de los términos establecidos y procedió a la eliminación del dato desde el mismo año 2016: El día 29 de febrero de 2016, tal como se probó desde el escrito de descargos, se emitió Ticket 3040965 CUN 4331-16-0001743272, dando la respectiva respuesta en los siguientes términos: “Efectuada la revisión de su requerimiento, nos permitimos indicarle que se realizaron las respectivas validaciones en nuestro sistema de información y le notificamos que hemos procedido según su solicitud y hemos escalado su caso a la agencia de cobranza “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 7, VERSIÓN PÚBLICA encargada de esta gestión de cobranza para que la dirección electrónica de correo XXXXXXXXXX sea retirada de sus base de datos y no sea asociada a la obligación número XXXXXXXXX de la cual usted no es titular ni contacto relacionado”.

En este orden de ideas vemos como desde el 2016 mi representada ya había tomado todas las acciones respectivas y se había comprobado que no había riesgo alguno respecto del tratamiento de datos personales del señor XXXXXXXXX Posteriormente en el año 2019 el accionante radica PQR ante mi presentada poniendo en copia a las respectivas entidades en el que solicita nuevamente se suprima su correo electrónico de las bases de datos de COLOMBIA MÓVIL, en razón a que él no mantenía vínculo contractual alguno ni adeudaba alguna obligación a la Compañía. Una vez verificadas nuestras bases datos se identificó que el día 30 de abril de 2019, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX persona diferente al denunciante en este caso, se acercó a uno de nuestros puntos físicos de atención para realizar una transacción sobre su línea XXXXXXXX.

El soporte de esta transacción fue enviado al correo electrónico que figuraba en el sistema suministrado por el solicitante en ese momento: XXXXXXXXXXXXX Cabe aclarar que sólo hasta esta fecha el correo electrónico XXXXXXXXXXX fue nuevamente incluido en el sistema en razón a la transacción de fecha 30 de abril del 2019, lo que quiere decir que constituye un hecho continuado desde el año 2016.

Ahora bien, respecto del hecho anteriormente descrito y una vez identificados los hechos es necesario aclarar que el correo electrónico indicado por el señor XXXXXXXXXXX XXXXXX el 30 de abril de 2019 fue XXXXXXXXXXX, sin embargo, por un error de digitación al momento de ingresar los datos al sistema este fue ingresado por el funcionario respectivo como XXXXXXXXXXXXXX.

En el caso que nos ocupa, no se evidencia el cumplimiento de la verificación del principio de responsabilidad demostrada ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe. Ahora, una vez radicado el correo electrónico se procedió a corregir y eliminar nuevamente el dato del accionante XXXXXXXXXXXXXX de nuestro sistema, situación que fue debidamente acreditada desde el escrito de descargos: Al realizar una validación de obligaciones asociadas al correo XXXXXXXXXXXXXXX no se obtienen resultados: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 8, VERSIÓN PÚBLICA Así las cosas, la Dirección de Investigación de Protección de Datos Personales erró al imponer una sanción a mi representada puesto que tal como se probó: 1) Colombia Móvil procedió a la supresión del dato del accionante desde el año 2016, cosa que fue verificada por la misma Administración mediante investigación, y por lo tanto no existe una violación a los derechos relacionados con la protección de datos desde el año 2016; y 2) no es cierto que mi representada hubiera omitido dar respuesta continuamente a los requerimientos del denunciante debido a que, tal como se indicó en la resolución objeto del presente recurso únicamente presentó dos requerimiento uno en el año 2016 y otro en el año 2019 el último mediante el cual mi representada de inmediato procedió a corregir el error y a responder el respectivo requerimiento.” (Subrayado Sic) En primer lugar, esta Dirección precisa que el principio de Non Bis In Idem está previsto en el inciso 4 del artículo 29 de la Constitución Política de Colombia al disponer que “(…) Quien sea sindicado tiene derecho (…) a no ser juzgado dos veces por el mismo hecho”.

La Corte Constitucional ha hecho extensible este principio a la materia sancionatoria, como lo expuso en sentencia de constitucionalidad C-870/02 del 15 de octubre de 2002, M.P.: Manuel José Cepeda Espinosa, a saber: “(…) En efecto, la palabra sindicado puede ser interpretada de diferentes maneras, es decir, en sentido restringido o en sentido amplio.

Como se observa en el inciso primero del artículo 29 Superior, el ordenamiento constitucional colombiano ha escogido la segunda de las opciones, pues establece que los principios constitutivos del debido proceso penal se extienden, en lo pertinente y en el grado que corresponda dada la naturaleza del proceso no penal, a todas las ‘actuaciones judiciales y administrativas’ sancionatorias.

Por esto, la Corte Constitucional ha manifestado de manera reiterada que los principios que regulan el derecho penal son aplicables, con algunas variaciones, al derecho disciplinario en todas sus manifestaciones, por cuanto éste constituye una modalidad del derecho sancionatorio. [17] En concordancia con lo anterior, la aplicación del principio non bis in idem no está restringida al derecho penal, sino, como lo ha dicho esta Corporación, ‘se hace extensivo a todo el universo del derecho sancionatorio del cual forman parte las categorías del derecho penal delictivo, el derecho contravencional, el derecho disciplinario, el derecho correccional, el derecho de punición por indignidad política (impeachment) y el régimen jurídico especial ético - disciplinario aplicable a ciertos servidores públicos (pérdida de investidura de los Congresistas)’[18].

(…)”. (Subrayado fuera de texto) Además, en la citada jurisprudencia constitucional se establecen los supuestos de configuración del principio Non Bis In Idem, así: “Para definir los supuestos de aplicación del principio non bis in idem la Corte ha señalado que deben concurrir tres identidades. Así, la sentencia C-244 de 1996 establece que: Este principio que, de acuerdo con la jurisprudencia y la doctrina, tiene como objetivo primordial evitar la duplicidad de sanciones, sólo tiene operancia en los casos en que exista identidad de causa, identidad de objeto e identidad en la persona a la cual se le hace la imputación. ‘La identidad en la persona significa que el sujeto incriminado debe ser la misma persona física en dos procesos de la misma índole. ‘La identidad del objeto está construida por la del hecho respecto del cual se solicita la aplicación del correctivo penal.

Se exige entonces la correspondencia en la especie fáctica de la conducta en dos procesos de igual naturaleza. ‘La identidad en la causa se refiere a que el motivo de la iniciación del proceso sea el mismo en ambos casos.’[28] Igualmente, para la Corporación ‘la prohibición del doble enjuiciamiento no excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades.

Esta Corte ha precisado que el non bis in idem veda es que exista una doble sanción, cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción’.[29] ”. (Subrayado fuera de texto) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 9, VERSIÓN PÚBLICA Sobre este principio, el Consejo de Estado ha establecido que este se vulnera “(…) cuando por unos mismos hechos se sanciona a una persona natural o jurídica dos o más veces, en una misma modalidad, (…)”1.

Revisado el caso bajo estudio se encuentra que la Resolución No. 37309 del 30 de mayo de 2018 del expediente 17-298694 se fundamenta en la solicitud de supresión de los datos del señor XXXX XXXXXXXXXXXXXXXXXXXX de fecha 8 de febrero de 2016, caso que fue archivado debido a que se comprobó que el responsable suprimió el dato personal del señor XXXXXXXXXX, protegiendo de esta manera su derecho fundamental, y cumpliendo con lo establecido en el Régimen de Protección de Datos Personales contenidos en la Ley 1581 de 2012.

Ahora bien, analizando los hechos que dieron lugar a la denuncia por parte del quejoso, esta Dirección encuentra que se fundamentan en unos hechos posteriores, específicamente en un correo electrónico que recibió el quejoso el día 30 de abril de 2019, el cual contenía los datos personales de otra persona, tal como aparece a continuación: En razón de lo antes expuesto, no se trata de un Non Bis In Idem, pues se trata de dos investigaciones que analizan hechos vulneratorios diferentes y que ocurrieron en momentos diferentes. 12.2 Frente al presunto hecho superado Mediante el escrito del recurso, la recurrente manifestó lo siguiente: “Teniendo en cuenta los limites de la potestad sancionatoria de la Administración y con base en la reiterada Jurisprudencia del Consejo de Estado, al momento de ejercer la potestad sancionatoria, la admiración debe verificar el cumplimiento de los presupuestos de legalidad, antijuricidad y culpabilidad para la aplicación de la misma.

Desde la óptica del requisito de legalidad, en este caso la Administración hace referencia a una conducta continuada desde el año 2016, cosa que no es verdad y por lo tanto el supuesto de hecho imputado no corresponde a la sanción impuesta; y desde la óptica del principio de culpabilidad es necesario reiterar que en virtud de la aplicación del principio de presunción de inocencia y de responsabilidad demostrada no se evidencia el cumplimiento de la verificación de estos ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Primera, C.P.: Gabriel Eduardo Mendoza Martelo, sentencia del 29 de noviembre de 2001, radicado 25000-23-24-000-1996-8048-01(6075).

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, VERSIÓN PÚBLICA correspondió a un hecho involuntario, error humano y acción de buena fe el cual fue de inmediato corregido lo que demuestra además hecho superado.” La figura del hecho superado se puede configurar ante el amparo del derecho fundamental de habeas data y que como consecuencia no haya lugar a impartir una orden administrativa.

De este modo, se habla de hecho superado cuando: “(…) entre el momento de la interposición de la acción de tutela y el momento del fallo se satisface por completo la pretensión contenida en la demanda de amparo, razón por la cual cualquier orden judicial en tal sentido se torna innecesaria. En otras palabras, aquello que se pretendía lograr mediante la orden del juez de tutela ha acaecido antes de que el mismo diera orden alguna.” Vale la pena aclarar que en la Delegatura para la Protección de Datos Personales existen dos Grupos, el Grupo de Trabajo de Habeas Data encargado de proteger de manera inmediata el derecho fundamental de Habeas Data y la Dirección de Investigaciones Administrativas encargado de verificar el cumplimiento de la Ley 1266 de 2008 y Ley 1581 de 2012.

De manera que, en el transcurso del amparo del derecho fundamental por parte del Grupo de Trabajo de Habeas Data, podría configurarse esta figura (hecho superado) si los actos que vulneran el derecho fundamental desaparecen y como consecuencia la orden encaminada a proteger de amparar de manera inmediata el derecho fundamental pierde su razón de ser.

No obstante, La Dirección de Trabajo de Investigaciones Administrativas encargado de verificar el cumplimiento de la Ley 1266 de 2008 y Ley 1581 de 2012 a través de una investigación de carácter sancionatorio analiza si se cumplió con los deberes establecidos en la Ley, razón por la cual, la recurrente no puede pretender solicitar el archivo de la investigación argumentando que ya eliminó los datos del titular.

En consecuencia, la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido una organización frente al tratamiento de datos personales. El hecho de que una empresa corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales.

De igual modo, es necesario aclarar y reiterar respecto del argumento de la recurrente donde asegura que los hechos ocurrieron en el 2016 y que erróneamente estamos suponiendo una conducta continuada, que el señor XXXXXXXXXXXXXXXXXXXXXXXX presentó diversas solicitudes de supresión de sus datos personales ante la sociedad investigada a través de twitter y un PQR presentado el día 8 de febrero de 2016 bajo el número CUN 4331-16-0001743272 a través del medio virtual Tigo OnLine.

Y que el 29 de febrero de 2019, recibió una respuesta en la que la sociedad investigada señala “que se realizaron las respectivas validaciones en nuestro sistema de información y le notificamos que hemos procedido según su solicitud y hemos escalado su caso a la agencia de cobranza encargada de esta gestión de cobranza para que la dirección electrónica de correo XXXXXXXXXXXXXXXXX sea retirada de sus base de datos y no sea asociada a la obligación número XXXXXXXXXX de la cual usted no es titular ni contacto relacionado.”2 En este punto, es importante enfatizar que el correo del quejoso es xxxxxxxxxxxxxxxxxxxxx, con el signo ortográfico de puntuación en el medio del nombre y del apellido, el cual no se evidencia en la respuesta a su solicitud de supresión de datos personales.

Así mismo, es imperante indicar que si bien la sociedad COLOMBIA MOVIL S.A. E.S.P. aportó a esta investigación una serie de pantallazos tanto en el escrito de descargos, los alegatos de conclusión, así como con el recurso de reposición, como aparece a continuación: “Al validar los correos, el de XXXXXXXXXXXX se encuentra Inactivo: Para la cédula No XXXXXXXXX no se evidencia información en Adminfo: 2 Expediente digital radicado 19-98675-5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, VERSIÓN PÚBLICA Para la cédula XXXXXXX no se evidencia registros en Adminfo: Con la referencia No XXXXXXX no tiene información en Adminfo: Al realizar una validación de obligaciones asociadas al correo XXXXXXXX no se obtienen resultados: ”3 3 Recurso de reposición, Expediente digital radicado 20-336298-25 página 6 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, VERSIÓN PÚBLICA Se encuentra que los mismos no constituyen una prueba conducente para acreditar que en efecto en esa fecha se haya cumplido con el deber de rectificación de los datos del titular en sus bases de datos y las de sus encargados.

De este modo, esta Dirección luego de revisar el expediente nuevamente, evidenció que con posterioridad a las solicitudes de supresión de datos personales por parte del quejoso, éste nuevamente recibe el 30 de abril de 2019, a su correo electrónico un mensaje que contenía los datos personales de otra persona y aunque la sociedad señala que posteriormente en 2019 el correo es indicado por un tercero, en las pruebas que aportan no se evidencia el correo del denunciante, tal como aparece a continuación: Conforme a lo anterior, es claro que la recurrente mantuvo en sus bases de datos el correo electrónico del denunciante sin su autorización y que con posterioridad a la solicitud de supresión del dato, se encuentra que la recurrente vulneró el derecho de habeas data del titular realizando tratamiento de sus datos personales a pesar de la solicitud de supresión en ejercicio de su derecho fundamental de habeas data.

Así las cosas, esta Dirección observa que no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales y de existir una serie de capturas de pantalla, mediante las cuales la sociedad investigada argumenta dar cumplimiento con dicha supresión, lo cierto es que, la investigada no pudo lograr un proceso satisfactorio para demostrar dicha supresión, pues el Titular siguió recibiendo mensajes a su correo electrónico, y al día de hoy no se tiene certeza de la fecha de eliminación del correo electrónico del quejoso, pues la recurrente durante la investigación, aporta pruebas que corresponden a un correo electrónico diferente.

En consecuencia de todo lo anterior, es claro que la recurrente no aportó en ningún momento alguna prueba idonea que permitiera a esta Dirección deducir que en efecto los datos del Titular fueron eleminados de la base de datos. 12.3 Respecto de las órdenes impartidas Al respecto la recurrente alega lo siguiente: “De la Resolución Impugnada es posible evidenciar que cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, que está relacionada con el desarrollo, la implementación y el mantenimiento de un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos; la SIC como entidad sancionadora, optó por ordenar a COLOMBIA MÓVIL implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio, en tanto “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, VERSIÓN PÚBLICA pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.

Al respecto, la Corte Constitucional ha manifestado lo siguiente: “Ahora bien, la intervención del Estado en la economía se lleva a cabo con la concurrencia de las ramas del poder público. En primer lugar, en virtud de los principios democrático y pro libertate, la definición de los elementos básicos de las limitaciones de las libertades económicas corresponde exclusivamente al Legislador, es decir, es una materia sujeta a reserva de ley, de ahí que el artículo 333 de la Constitución prevé que para el ejercicio de las libertades económicas “nadie podrá exigir permisos previos o requisitos, sin autorización de la ley” y que “la ley delimitará el alcance de la libertad económica”.

Esto significa que es deber del Legislador definir los instrumentos de intervención en la economía, sus limites y la forma cómo las demás autoridades públicas pueden participar en la regulación de las actividades económicas”1 (subrayas y negrilla fuera del texto original).” Revisado el caso bajo estudio se encuentra que mediante la Resolución No. 66739 de 14 de octubre de 2021, se impartieron los siguientes órdenes: “i. La sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con cédula de ciudadanía No. xxxxxxxxx. ii.

La sociedad COLOMBIA MOVIL S.A. E.S.P deberá desarrollar, implementar y mantener un programa de capacitación periódico para sus empleados y contratistas sobre su política de seguridad de la información, su política de gestión de incidente de seguridad de datos personales y su política de tratamiento de datos personales (o privacidad).” En primer lugar, respecto de la primera orden impartida, esta Dirección considera que se confirmará la orden, en tanto la sociedad recurrente no ha acreditado la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con cédula de ciudadanía No. xxxxxxxx, tal como se expuso en líneas anteriores en el punto 12.2.

En segundo lugar, en referencia a la segunda orden impartida, se encuentra que la recurrente aporta junto con el escrito de descargos, expediente digital 20-336298-10 página 2, un documento denominado “Estandares seguridad de la información” que contiene el título “Reporte de Eventos y Vulnerabilidades de Seguridad de da Información” sin embargo, una vez revisado el documento, se encuentra que este no contempla ningún procedimiento para informar sin dilación indebida a esta Autoridad de Protección de Datos (SIC) y ni a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos.

En consecuencia de lo anterior, debido a que la recurrente no aportó ningún documento a lo largo de la investigación, ni con el recurso de reposición que acredite que si cuentan con lo anterior, se confirmará la orden impartida. En tercer lugar, en referencia a la tercera orden impartida, se encuentra que en el documento “Estandares seguridad de la información”4 aportado por la recurrente, se hace mención a que es “La Vicepresidencia de Gestión Humana es responsable de promover mecanismos de capacitación relacionados con los temas Seguridad de la Información.”, en ninguna parte se evidencia que la recurrente haya en efecto implementado y mantenido un programa de capacitación periódico para sus empleados y contratistas sobre su política de seguridad de la información, su política de gestión de incidente de seguridad de datos personales y su política de tratamiento de datos personales (o privacidad).

En consecuencia de lo anterior, debido a que la 4 Expediente digital 20-336298-10 página 2 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, VERSIÓN PÚBLICA recurrente no aportó ningún documento a lo largo de la investigación, ni con el recurso de reposición que acredite que si cuentan con lo anterior, se confirmará la orden impartida. 12.4 Respecto de la proporcionalidad de la sanción Al respecto la recurrente alega lo siguiente: “Como podemos observar en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios analizados al imponer la sanción a mi representada, lo que le impide a la Compañía controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la sociedad COLOMBIA MÓVIL S.A contrariando lo manifestado por la jurisprudencia. Como se ha insistido a lo largo del presente escrito, la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al usuario ni tener en cuenta que, como se indicó en varias ocasiones, se accedió favorablemente a su solicitud realizando el cobro a la persona que adquirió los servicios, ya que el caso analizado parte de un hecho privado y concreto relacionado con la reclamación de un usuario.

Aclarado lo anterior, es importante señalar que haya lugar a la imposición de una sanción basta que la conducta desplegada haya esto en PELIGRO el bien jurídico tutelado y en el caso en cuestión se encuentra plenamente probado el actuar negligente de la sociedad frente al cumplimiento del deber contemplado en i) literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley.

Probada la negligencia en el cumplimiento del deber mencionado, respecto del monto de la sanción impuesto se aclara que esta Superintendencia realizó una debida graduación de la sanción toda vez que se vulneró el derecho fundamental de habeas data de los Titulares al incumplir deberes establecidos en la Ley 1581 de 2012. Al respecto se hace necesario precisar que la arbitrariedad de la autoridad al momento de imponer la sanción está limitada por una serie de criterios que hacen posible que la actividad sancionatoria obedezca a criterios de razonabilidad y ponderación que hace que la administración se sujete a unos límites y no desborde sus competencias así como tampoco vulnere los derechos del administrado.

Es por ello que el mismo artículo 24 de la Ley 1581 de 2012 señala en su parte inicial que estos criterios deberán ser tenidos en cuenta “en cuanto resulten aplicables”. Al respecto, el tenor literal de la norma consagra: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, VERSIÓN PÚBLICA c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Honorable Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales5 por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro y violó el derecho fundamental de habeas data del titular.

Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables del tratamiento de datos personales la mayor diligencia en su actuar.

En virtud de lo expuesto, contrario a lo que afirma la recurrente, con su actuar vulneró el derecho fundamental de habeas data del titular pues como bien se expuso en la Resolución No. 66739 de 14 de octubre de 2021 y se demostró a lo largo de la investigación con base en las pruebas obrantes en el expediente, lo siguiente: i. Que la conducta de la recurrente afectó de forma real y concreta los derechos fundamentales del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con cédula de ciudadanía No. xxxxxxxx, vulnerando el deber consagrado el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 y por lo tanto se impuso una sanción multa de CUARENTA Y TRES MILLONES QUINIENTOS SESENTA Y NUEVE MIL SEISCIENTOS PESOS ($ 43.569.600 pesos) M/CTE, correspondiente a (1.200) unidades de valor tributaria – UVT. ii.

Que se confirma que la sociedad recurrente actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, al permitir el acceso no autorizado de un tercero a los datos personales del señor xxxxxxxxxxxxxxxxxxxxxx, nombre, cédula, número celular, fotografías, huella, firma, RH, entre otros, que obran en su custodia, vulnerando así el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley.

Por lo tanto, se impuso una sanción multa de CUARENTA Y TRES MILLONES QUINIENTOS SESENTA Y NUEVE MIL SEISCIENTOS PESOS ($ 43.569.600 pesos) M/CTE, correspondiente a (1.200) unidades de valor tributaria – UVT. 5 “ARTICULO 36. DECISIONES DISCRECIONALES. <Código derogado por el artículo 309 de la Ley 1437 de 2011. Rige a partir del dos (2) de julio del año 2012.

El texto vigente hasta esta fecha es el siguiente:> “En la medida en que el contenido de una decisión, de carácter general o particular, sea discrecional, debe ser adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, VERSIÓN PÚBLICA iii.

Que quedó plenamente demostrada la reincidencia en el incumplimiento de los deberes previstos en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, Razón por la cual se tuvo en cuenta el criterio establecido en el literal c) del artículo del artículo 19 de la Ley 1581 de 2012 aumentando la sanción por los dos cargos en un valor equivalente a QUINIENTAS (500) UNIDADES DE VALOR TRIBUTARIO – UVT.

En consecuencia, es claro que, para calcular el monto de la sanción impuesta, esta Dirección analizó la dimensión del daño o peligro a los intereses jurídicos tutelados, el posible beneficio económico, así como la colaboración del Responsable, teniendo en cuenta el tamaño de la empresa, sus ingresos patrimonio y en general su información financiera, determinando que para la vulneración específica y la puesta en peligro del derecho de los demás titulares la sanción multa corresponde a una suma equivalente a (2.900) unidades de valor tributaria- UVT.

Por ende, se encuentra que, contrario a lo que manifiesta la recurrente, esta Dirección, al momento de impartir la sanción analizó los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012, y para el caso en específico encontró que, de los criterios agravantes de la sanción, el literal a) y c) eran aplicables al caso.

Por último, debe aclararse que la Ley 1581 de 2012 no estableció en el artículo 23 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Protección de Datos Personales. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda. 12.4 Respecto de las pretensiones del recurrente La sociedad recurrente indicó como pretensiones: “5 Respetuosamente, me permito solicitar a la Superintendencia de Industria y Comercio se sirva:

SEGUNDO: DISPONER el archivo de la actuación administrativa objeto del presente recurso.

TERCERO: Si el Despacho insiste en imponer sanción por supuesto incumplimiento, entonces ésta sea la mínima establecida en la norma para este tipo de casos. PETICIÓN SUBSIDIARIA: Que se conceda el Recurso de Apelación en el evento en que el Recurso de Reposición interpuesto como principal sea resuelto de manera desfavorable para mi representada.” Al respecto, al haberse confirmado la conducta negligente de la recurrente por del incumplimiento de los deberes consagrados en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, este Despacho tasó la sanción de acuerdo con los parámetros legales pertinentes y en vista del bien jurídico tutelado, por lo que no hay lugar a revocar la sanción, ni las órdenes impuestas, así como tampoco disminuir el monto de la sanción. Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 17, VERSIÓN PÚBLICA mediante el acto administrativo impugnado obedeció a que la sociedad recurrente vulneró el derecho fundamental de habeas data de la titular y puso en peligro el derecho fundamental de todos los titulares cuyos datos obran bajo su custodia y que, como se confirmó, en varias ocasiones han sido vulnerados por la negligencia en el cumplimiento de los deberes bajo estudio, hecho que generó agravante de la sanción por dos reincidencias.

En consecuencia, no se encuentra procedente acceder a las pretensiones de revocar la resolución recurrida, o disminuir el monto de la sanción, por lo que se concede el recurso de apelación interpuesto subsidiariamente por la recurrente.

DÉCIMO TERCERO: Conclusiones 13.1 Se confirma la negligencia de la recurrente respecto del cumplimiento de los deberes establecidos en: i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley. 13.2 Que en el presente caso no es procedente aplicar el principio de Non Bis In Idem, en tanto la presente investigación tiene como objeto unos hechos que tuvieron lugar en el año 2019, y resultan diferentes a los que fundamentaron la Resolución No. 37309 del 30 de mayo de 2018 del expediente 17-298694, los cuales sucedieron en el 2016. 13.3 Que no procede la figura del “hecho superado” en tanto la recurrente no puede pretender solicitar el archivo de la investigación argumentando que ya eliminó los datos del titular.

Lo anterior debido a que, la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido una organización frente al tratamiento de datos personales. El hecho de que una empresa corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales. 13.4 Que esta Dirección procederá a confirmar las tres órdenes impartidas, por las siguientes razones: i. La sociedad recurrente no ha acreditado la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con cédula de ciudadanía No. xxxxxxxxx. ii.

La sociedad recurrente no aportó ningún documento a lo largo de la investigación, ni con el recurso de reposición que acredite que si cuentan con un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos. iii.

La sociedad recurrente no aportó ningún documento a lo largo de la investigación, ni con el recurso de reposición que acredite que si cuentan con un programa de capacitación periódico para sus empleados y contratistas sobre su política de seguridad de la información, su política de gestión de incidente de seguridad de datos personales y su política de tratamiento de datos personales (o privacidad).” 13.5 Acorde con el principio de proporcionalidad, la autoridad administrativa en la imposición de la sanción debe lograr el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Estos criterios fueron tenidos en cuenta al dosificar la sanción impuesta en el acto administrativo recurrido, ya que Vulneró el derecho fundamental de habeas data del titular y puso en peligro el derecho de los demás titulares cuyos datos personales obran en las bases de datos del Titular al demostrarse que incumplió con los deberes: i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 18, VERSIÓN PÚBLICA 13.6 Para determinar la sanción no solo se tuvo en cuenta el criterio para agravar la sanción del literal a) del artículo 24 de la Ley 1581 de 2012, sino también el literal c) del artículo del artículo 19 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 fue sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado reincidencia en el cumplimiento de los deberes previstos en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley.

DÉCIMO CUARTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se modificará el artículo segundo y se confirmará en sus demás partes la Resolución No. 66739 de 14 de octubre de 2021.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, esta Dirección concedió el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR integralmente la Resolución No. 66739 de 14 de octubre de 2021, por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, a través de su representante legal, entregándole copia de la misma.

ARTÍCULO CUARTO: COMUNICAR al señor al señor xxxxxxxxxxxxxxxxxxxxxxxxxx identificado con la cédula No. xxxxxxxx, el contenido de la presente resolución.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, VERSIÓN PÚBLICA - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

COMUNÍQUESE,

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 20 MAYO 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por CARLOS ENRIQUE CARLOS ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.05.20 13:57:36 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JBG Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: COLOMBIA MÓVIL S.A. E.S.P. Identificación: NIT. 830.114.921-1 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxx Correo electrónico: notificacionesjudiciales@tigo.com.co Dirección: Carrera 50 # 96-12 Ciudad: Bogotá D.C. - Colombia COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxx6 6 El denunciante no mencionó una dirección física de domicilio.

Resolución sancionatoria N° 30603 de 2022

CONSIDERANDO

RESUELVE