REPÚBLICA DE COLOMBIA (octubre 4 de 2021) Radicado No. 18-238043 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y por el numeral 7 del artículo 16 del Decreto 4886 de 2011, y CONSIDERANDO:
PRIMERO: Que mediante Resolución No. 30003 del 23 de julio 2019 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa, y en consecuencia, formular pliego de cargos contra la sociedad SOLUCIONES VIDA FACIL S.A.S. identificada con Nit 901.081.770-8, por la presunta violación de las normas de protección de datos personales.
SEGUNDO: Que una vez agotada la etapa probatoria y efectuado el análisis del material probatorio allegado a la presente actuación administrativa, mediante Resolución No. 64884 del 15 de octubre de 2020, la Dirección de Investigación de Protección de Datos Personales encontró que la sociedad SOLUCIONES VIDA FACIL S.A.S. incumplió con los deberes establecidos en la Ley 1581 de 2012 y decidió lo siguiente: RESOLUCIÓN NÚMERO 64268 DE 2021 TERCERO: Que mediante escrito del 10 de noviembre de 2020, la representante legal de la sociedad SOLUCIONES VIDA FACIL S.A.S. presentó escrito de reposición y en subsidio de apelación contra la Resolución No. 64884 del 15 de octubre de 2020 solicitando se revoque o se disminuya la sanción basada en los siguientes argumentos: “1- La sociedad, presenta apelación debido a qué se sanciona de manera desproporcionada, teniendo en cuenta que realiza una sanción pecuniaria y una sanción de mejora, que a su vez ni efectos pecuniarios, y no se valora en la RESOLUCIÓN NÚMERO 64884 DE 2020 que no se causó afectación y/o daño al denunciante, ahora bien, la Corte Constitucional ha sentenciado: La potestad sancionatoria penal propende por la garantía del orden social en abstracto -bienes sociales más amplios-; la consecución de fines retributivos, preventivos y resocializadores; y presenta un mayor grado de afectación de los intereses jurídicamente protegidos que daría lugar a la privación de la libertad.
No ocurre lo mismo con la potestad sancionatoria administrativa al buscar primordialmente garantizar la organización y el funcionamiento de la Administración, y cumplir los cometidos estatales; cuestionar el incumplimiento de los deberes, prohibiciones y los mandatos consignados; que descartan la imposición de sanciones privativas de la libertad.1 De tal manera, que el fundamento de la sanción administrativa son los planes de mejora que beneficia no solo al denunciante, sino a los consumidores en general.
Ahora bien, la relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad SOLUCIONES VIDA FACIL S.A.S, esto en términos prácticos, también es una cesación de nuestras actividades comerciales, y medios de subsistencia, repercutiendo en una sanción pecuniaria, que también, lesiona nuestro patrimonio, en una economía absolutamente golpeada por la situación excepcionalísima del COVID-19, y más en nuestro sector económico que tardará en recuperarse, al ser considerado como servicio no esencial, se convierte en una doble sanción pecuniaria, y por lo tanto desproporcionada.
Corte Constitucional Sentencia C595 de 2010, Magistrado Ponente Jorge Iván Palacio RESOLUCIÓN NÚMERO 64268 DE 2021 2- Atenuantes de la multa, de conformidad con la ley 1480 del 2011, articulo 61 PARÁGRAFO 1o. Para efectos de graduar la multa, la Superintendencia de Industria y Comercio tendrá en cuenta los siguientes criterios: 1. El daño causado a los consumidores;
NO, se probó, ni tampoco la sociedad actuó con dolo, ni causó daño al denunciante, toda vez, que se comunicó con él, y se aclaró toda la situación al respecto. 2. La persistencia en la conducta infractora; NO es el caso, de la sociedad SOLUCIONES VIDA FÁCIL S.A.S ya que no ha sido sancionada en ocasiones anteriores por la conducta indilgada. 3.
La reincidencia en la comisión de las infracciones en materia de protección al consumidor. NO es el caso, de la sociedad SOLUCIONES VIDA FÁCIL S.A.S ya que no ha mostrado conducta reincidente por la conducta indilgada. 4. La disposición o no de buscar una solución adecuada a los consumidores. Con la sanción de suspensión por tres meses y los planes mejora, se logra el fin primordial de la superintendencia de proteger a los consumidores, y en consecuencia, la sanción pecuniaria no tiene el mismo efecto de inmediatez y eficacia, además que desestimula la existencia de la sociedad, en tiempo como los actuales en que se ha visto gravemente afecta por las restricciones sanitarias por el covid-19 en situación excepcionalísima ya que su principal fuente de comercialización son los servicios de recreación y turismo. 6.
(sic) El beneficio económico que se hubiere obtenido para el infractor o para terceros por la comisión de la infracción. En este caso, la sanción no beneficia al denunciante, además no se lucró la sociedad SOLUCIONES VIDA FACIL S.A.S con la conducta indilgada. 8. (sic) El grado de prudencia o diligencia con que se hayan atendido los deberes o se hayan aplicado las normas pertinentes.
A) Nunca en nuestro accionar se pretendió causar una VIOLACIÓN A LA PROTECCIÓN DE DATOS PERSONALES, como tampoco a lo dispuesto en la Ley 1581 de 2012, es de respetuosos de la Ley y de los Operadores Judiciales, reconocer las falencias y / o equivocaciones que claramente en el caso que nos ocupa corresponde a desconocimiento y en ninguna forma a mala fe o desobediencia, sea esa la única razón por la que NO ACEPTÉ en ningún momento la comisión de dichas actuaciones.
B) Sin embargo, las razones que generaron el proceso, al igual que lo ordenado en su fallo ya SE ENCUENTRA EN PROCESO DE SUBSANACIÓN y es nuestro compromiso cumplir fiel y cabalmente con los mandatos legales, no sólo ante los entes de control sino ante la clientela que es el soporte de nuestro sustento y la razón de nuestro trabajo profesional.
C) cabe aclarar y reiterar que nuestra labor comercial se ejerce con ética y respeto por todos los derechos de nuestros clientes, puesto que como Usted lo indica entendemos que la protección de datos personales es parte fundamental de los Derechos Humanos y que como tal se deben cumplir y resguardar con sigilo, integridad, responsabilidad y seriedad valores que la empresa a la cual represento Soluciones Vida Fácil ha cumplido a cabalidad e integridad.
D) Vale también resaltar, que en los años que tenemos de labores, no se han generado perjuicios a los clientes en ninguna forma ni por lo antes relacionado, ni por otras circunstancias, que no obtenemos beneficios económicos por los asuntos materia de éste debate y que como reiteré anteriormente mi interés es cumplir cabalmente con la Ley y especialmente lograr que la Empresa que represento sea reconocida con seriedad, compromiso y respeto para con nuestros clientes, que finalmente son nuestra razón de ser y de trabajar, buscando siempre proporcionarles bienestar y satisfacción. Conforme a lo anterior y en el marco del mayor respeto, apelando al principio de solidaridad y equilibrio, les solicito reconsiderar el monto de la multa y generar facilidad de pago por cuotas, RESOLUCIÓN NÚMERO 64268 DE 2021 pues la emergencia sanitaria por el COVID 19 ha generado una afectación económica de gran impacto, tanto para nuestra sobrevivencia familiar, como para la de nuestros colaboradores y una multa de tal magnitud, prácticamente nos dejaría en una circunstancia que nos impide continuar. 3- Con relación a la orden la superintendencia de Industria y Comercio, a modo de sanción, la sociedad anexa para su revisión y aprobación los manuales solicitados.
“ARTÍCULO SEGUNDO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, hasta que acredite que ha adoptado las siguientes acciones correctivas.” se anexan al presente documento manuales solicitados.
Una vez expuestos los argumentos la sociedad hace las siguientes peticiones: “1- Por lo anterior, les solicito reconsiderar la multa, pues realmente de no lograr éxito en mi petición, desde ya debo manifestar con toda honestidad que no cuento en éste momento con los recursos para satisfacer la sanción y cumplir con diligencia y responsabilidad la sanción impuesta. 2- Se solicita a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, ATRAVÉS DE LA DIRECCIÓN DE INVESTIGACIONES, reconsiderar la sanción primera de la RESOLUCIÓN NÚMERO 64884 DE 2020 y en consecuencia, revocarla, o disminuirla en virtud de lo antes expuesto, y en virtud de la situación financiera actual de la sociedad. 3- Recibir y acreditar los documentos enviados por la SOCIEDAD SOLUCIONES VIDA FACIL S.A.S como parte de las oportunidades de mejora.” Adicionalmente con el recurso aporta, los siguientes documentos para acreditar el cumplimiento de lo establecido en el artículo segundo de la Resolución No. 64884 del 15 de octubre de 2020: • • • • • • • • • Documento manual de solicitud PQR en 2 folios.
Documento manual de Políticas para el Tratamiento de datos personales en 10 folios. Documento manual de Política de protección a menores en 2 folios. Documento manual de Términos y Condiciones en 9 folios. Documento manual de Tratamiento de datos personales por terceros en 3 folios. Documento manual Políticas de privacidad y tratamiento de datos personales, clientes y/o usuario en 5 folios.
Documento Certificado SSL (secure sockets layer – capa de conexión segura) dando cumplimiento a la evidencia técnica. Certificado de existencia y representación Registro Nacional De Turismo (RNT)
CUARTO: Que mediante Resolución No. 80433 del 15 de diciembre de 2020 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la sociedad SOLUCIONES VIDA FACIL S.A.S., confirmando en todas sus partes la Resolución No. 64884 del 15 de octubre de 2020 y concediendo el recurso de apelación presentado de forma subsidiaria.
QUINTO: Que mediante Resolución No. 11792 del 16 de marzo de 2020 de esta entidad se ordenó lo siguiente: “ARTÍCULO 1o. SUSPENDER los términos procesales de las actuaciones administrativas que se surten ante las dependencias de esta Superintendencia, desde el 17 al 31 de marzo de 2020 (inclusive), fechas en que no correrán los términos para todos los efectos de ley, ni los siguientes servicios de la plataforma tecnológica en relación con dichos asuntos: Portal Web, correo electrónico, sistemas de información, Internet, el sistema de trámites, sistemas de recaudos para la legalización de pagos y servicio al ciudadano.” RESOLUCIÓN NÚMERO 64268 DE 2021 Por medio del artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta superintendencia se decretó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Adicionalmente, en el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)” Finalmente, la Resolución 70723 del 6 de noviembre de 2020 de esta entidad estableció “SUSPENDER los términos procesales de las actuaciones que se surten ante las dependencias de la Superintendencia de Industria y Comercio durante el día trece (13) de noviembre de 2020, fecha en que no correrán los términos para todos los efectos de ley”
SEXTO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto por la sociedad SOLUCIONES VIDA FACIL S.A.S. contra la Resolución No. 64884 del 15 de octubre de 2020 y con base en lo expuesto por éste se harán las siguientes consideraciones: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)” (Énfasis añadido) El artículo 19 de la Ley 1581 de 2012, por su parte, establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respete los principios, derechos, garantías y procedimientos previstos en la presente ley.
2. DE LA RECOLECCIÓN, USO Y CIRCULACIÓN DE DATOS PERSONALES La recolección, uso, circulación y el tratamiento de los datos personales privados, semiprivados y sensibles solo puede realizarse cuando exista la autorización previa, expresa Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO 64268 DE 2021 e informada del Titular tal y como lo establece el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 20123. Nótese que está prohibido “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. Es imperativo tener presente que la información no se puede recolectar para hacer cualquier cosa con ella, sino sólo para finalidades específicas que se deben informar a las personas.
Tampoco se puede recolectar cualquier dato personal, sino solo aquellos que sean imprescindibles para cumplir la finalidad para la cual son colectados. En este sentido, la regulación ordena que “la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos”4.
A su vez, el artículo 9 de la Ley 1581 de 2012, dispone que “sin perjuicio de las excepciones previstas en la ley5, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y, en este mismo sentido, el artículo 17 de dicha norma consagró como deber de los Responsables del Tratamiento el de “b) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.
El artículo 4 del decreto 1377 de 20136 reitera, entre otras, lo siguiente: “Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular” y el artículo 5 del mismo decreto establece que “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
El artículo 12 de la Ley 1581 de 2012, por su parte, instituyó que el Responsable del Tratamiento al momento de solicitar la autorización del Titular “(…) deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento (…)”.
En este orden de ideas, es pertinente indicar que el artículo 2.2.2.25.2.4 del Decreto 1074 de 20157 (Decreto 1377 de 2013, art. 7), estableció los diversos modos de obtener la autorización para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, a saber: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.
Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento". Cfr. Artículo 4 del Decreto 1377 de 2013 El artículo 10 de la ley 1581 de 2012 ordena lo siguiente: “ARTÍCULO
10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” Incorporado en el Decreto 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”.
RESOLUCIÓN NÚMERO 64268 DE 2021 razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca” De lo anterior, se entiende que el Titular ha dado su autorización para el tratamiento de sus datos personales cuando: (i) sea por escrito; (ii) sea verbal o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. En otras palabras, la autorización también se podrá obtener a partir de conductas evidentes, claras e incontrovertibles del Titular que no admitan duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados.
En todo caso y al margen del modo como se obtenga la autorización, esta no sólo debe ser previa e informada, sino que el Responsable del Tratamiento tiene la carga probatoria de acreditar evidencia de la autorización y de que informó lo que ordena el artículo 12 de la ley 1581 de 2012.
3. SOBRE LA FACULTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES. CRITERIOS DE GRADUACIÓN DE LAS SANCIONES. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”8. La recurrente manifiesta que la sanción impuesta por medio de la Resolución No. 64884 del 15 de octubre de 2020 es desproporcionada.
Respecto a este argumento este Despacho considera necesario hacer las siguientes precisiones: La multa impuesta equivale al 0,36% del máximo legal permitido (2000 Salarios mínimos legales mensuales). La Ley Estatutaria 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23.
Esta facultad, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 9, 410 y 611 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo.12 La Corte Constitucional señaló sobre este asunto: Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.
(negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).
RESOLUCIÓN NÚMERO 64268 DE 2021 "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”13 (negrita añadida) Así mismo, la citada ley 1581, establece las reglas especiales que debe tener en cuenta esta entidad para la imposición y graduación de las sanciones por vulneración de las normas sobre tratamiento de datos personales. En efecto, el artículo 23 señala que “la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: (…).”.
Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)”. Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 Constitucional.14 Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f).
De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer sus funciones de forma tal que, dentro de los límites legales, logre un equilibrio entre la sanción, la finalidad de la norma vulnerada y la gravedad de la violación del derecho humano fundamental a la protección de datos personales.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar los criterios de graduación que sean pertinentes o como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada Ley16.
Ese efecto Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. (negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de RESOLUCIÓN NÚMERO 64268 DE 2021 negativo tiene como finalidad no sólo sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 17.
En el caso en concreto, la recurrente argumenta que la sanción es desproporcionada pues en la Resolución No. 64884 del 15 de octubre de 2020 se impone una sanción pecuniaria y una sanción de mejora, que a su vez tiene efectos pecuniarios para la sociedad. Frente a esto es necesario recordar lo que establece el artículo 23 de la Ley 1581 de 2012 antes mencionado: “ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; (…)” Como allí se expone, la Ley 1581 de 2012 le dio a esta Superintendencia la facultad de imponer a los Responsables y Encargados del tratamiento sanciones no solo de carácter pecuniario sino también aquellas que suspenden las actividades relacionadas con el Tratamiento.
Este aspecto de la facultad sancionadora de esta Superintendencia esta encaminado a asegurar el adecuado manejo de la información personal por parte de los sujetos obligados dentro de lo establecido en la Ley 1581 de 2012. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”18.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia19. esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm RESOLUCIÓN NÚMERO 64268 DE 2021 Por lo que si esta Superintendencia considera necesario asegurar el cumplimiento del adecuado manejo de la información personal de los Titulares, mediante la suspensión de las actividades relacionadas con el tratamiento por un término de tiempo, que en este caso son tres meses, esta facultada para hacerlo.
En cuanto a las acciones correctivas que debe adoptar y posteriormente acreditar la sociedad SOLUCIONES VIDA FACIL S.A.S., esta Delegatura puede ver que estas responden al incumplimiento de las normas que se evidenció en la presente actuación administrativa y que son un reflejo de los deberes que le asisten en virtud de la Ley 1581 de 2012: • • • • El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.3 del Decreto Único Reglamentario 1074 de 2015; El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015 El literal k) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
Al analizar los documentos que obran en el expediente, este Despacho encuentra que, a pesar de haber contado con las oportunidades procesales para hacerlo, la sociedad no acreditó que cuenta con la autorización del titular, no demostró haberle informado la finalidad del Tratamiento y los derechos que le asisten por la recolección de los datos, tampoco aportó ni acreditó la implementación un manual que describa los procedimientos usados para la recolección, uso, circulación y supresión de la información ni un manual de políticas de seguridad de la información. Motivos por los que resulta especialmente relevante la implementación de los correctivos que se establecen en el artículo segundo de la Resolución No. 64884 del 15 de octubre de 2020.
Imponer una sanción de este tipo, no resulta desproporcionada pues lo que busca es que se corrijan las medidas al interior de la sociedad que dieron lugar a la violación de las normas contenidas en la Ley. Ahora, los criterios para graduar la sanción en la presente actuación administrativa son aquellos establecidos en en artículo 24 de la Ley 1581 de 2012 y no los establecidos en el articulo 61 parágrafo 1º. de la ley 1480 del 2011 como argumenta la recurrente.
Si bien esta norma hace referencia a las funciones delegadas a la Superintendencia de Industria y Comercio, lo hace dentro del marco de aplicación de la Ley 1480 de 2011 Por medio de la cual se expide el Estatuto del Consumidor y se dictan otras disposiciones y no en lo referente al régimen general para la protección de datos personales establecido en la Ley 1581 de 2012.
Por lo que la misma no tiene aplicación en el caso que nos ocupa. De la lectura del artículo 24 de la Ley 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley. La norma, pues, hace una distinción entre el daño efectivamente causado y el peligro o riesgo a los intereses jurídicos tutelados, entre otros, la protección del derecho fundamental a la protección de datos personales y habeas data.
Sobre esto último no puede perderse de vista que la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. RESOLUCIÓN NÚMERO 64268 DE 2021 Frente a los criterios para graduar la sanción, en la Resolución No. 64884 del 15 de octubre de 2020 se expuso: “Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación.” En el presente caso se aplicó el criterio establecido en el literal “a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley.” (énfasis añadido) Como ya se expuso, para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la sociedad haya puesto en peligro los intereses jurídicos tutelados por la Ley, por lo que el argumento de la recurrente donde afirma que la sanción es desproporcionada pues con su actuar “no se causó afectación y/o daño al denunciante” no esta llamado a prosperar.
En virtud de lo anterior, no son de recibo los argumentos de la recurrente porque la multa impuesta se ajusta a derecho y se impuso observando la regulación vigente. Por ende, se confirmará la sanción impuesta por la primera instancia mediante Resolución No. 64884 del 15 de octubre de 2020.
4. DEL CUMPLIMIENTO DE LAS ACCIONES CORRECTIVAS ESTABLECIDAS EN EL ARTÍCULO SEGUNDO DE LA RESOLUCIÓN NO. 64884 DEL 15 DE OCTUBRE DE 2020 Frente a los documentos allegados para acreditar el cumplimiento de lo establecido en el artículo segundo de la Resolución No. 64884 del 15 de octubre de 2020, este Despacho debe resaltar que no es competente para pronunciarse sobre el cumplimiento de los correctivos ordenados, ya que ello se debe acreditar ante la Dirección de Investigaciones.
No obstante, observando los documentos aportados, este Despacho debe resaltar que una política de seguridad de la información es diferente a una política de tratamiento de la información. La Política de tratamiento de la información, corresponde a lo indicado en Artículo 2.2.2.25.3.1 Sección 3 Capítulo 25 del Decreto Único Reglamentario 1074 de 2015.
Por otra parte, una política de seguridad de la información es aquella que contiene los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de la base de datos. Por consiguiente, un documento de seguridad de la información personal es aquel que contiene los lineamientos y/o políticas administrativas, humanas y técnicas que se deben adoptar por todas las áreas de la organización y cada uno de sus integrantes en el cuidado de los datos personales, con el objeto de cumplir el principio de seguridad a que se refiere la Ley 1581 de 2012 el cual enuncia: Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.” (negrita fuera de texto) RESOLUCIÓN NÚMERO 64268 DE 2021 Ahora, en términos generales, un Sistema de Gestión de Seguridad de la Información, en adelante SGSI es, un conjunto de lineamientos, y/o políticas administrativas, humanas y técnicas de administración de la información. Por medio del SGSI, la organización realiza el diseño, implementación y mantenimiento de un conjunto de procesos para gestionar de manera eficiente el acceso y uso de la información, con base en los principios de la seguridad de la misma, que son la confidencialidad, integridad y disponibilidad, para de esta manera minimizar los riesgos asociados a la información, de acuerdo con su clasificación. El concepto de SGSI es utilizado por diferentes estándares, principalmente por la ISO/IEC 27001, la cual se tiene en cuenta como un referente de lo que se considera como buenas prácticas20 en materia de seguridad de la información. Es de resaltar que el literal g del artículo 4 de la Ley 1581 de 2012, antes citado, establece de manera específica que las medidas de seguridad se deben adoptar teniendo en cuenta diversos factores que son propios de cada organización entre los que se encuentran su tamaño y naturaleza jurídica, la naturaleza de los datos tratados, el tipo de tratamiento al que se someta la información y los riesgos potenciales que implique para los titulares la recolección y posterior uso o circulación de esos datos.
Adicionalmente, los deberes tanto para los responsables como para los Encargados disponen: Artículo 17. Deberes de los Responsables del Tratamiento: d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Artículo 18. Deberes de los Encargados del Tratamiento: b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
(negrita fuera de texto) Por lo anterior, son los Responsables y Encargados quienes deben establecer los lineamientos y/o políticas administrativas, humanas y técnicas que, dependiendo de sus necesidades, tamaño, estructura organizacional, naturaleza de los datos que tratan, crean se deben adoptar en el cuidado de los datos personales. Finalmente, es necesario resaltar que la política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.
Esto debido a que el tratamiento de datos sensibles puede “generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos”21, razón por la cual, los Responsables y Encargados que realizan tratamiento de este tipo de datos “tienen una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI”22 de la ley 1581 de 2012.
En vista de lo expuesto, la orden impartida en la Resolución No. 64884 del 15 de octubre de 2020 busca que la sociedad desarrolle y documente, un manual interno de políticas de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, Las buenas prácticas son lineamientos que han sido usados, comprobados y mejorados en forma reiterativa por los actores intervinientes en la seguridad de la información. Se forman por consenso y se aplican dentro de un marco de referencia, determinado por políticas, objetivos y métricas.
Cfr. Corte Constitucional, sentencia C-748 de 2011, numeral 2.8.4 Loc. cit. RESOLUCIÓN NÚMERO 64268 DE 2021 consulta, uso o acceso no autorizado o fraudulento. Lo anterior, como ya se expuso es diferente a la política de tratamiento de la información que anexa la recurrente.
5. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora, según el artículo 22 de la ley 222 de 1995 23 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.
Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 64268 DE 2021 buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2424 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”25.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de todo lo anterior se exhorta al Representante Legal SOLUCIONES VIDA FACIL S.A.S. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1) Respetar y garantizar los derechos de los titulares de los datos. 2) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”26.
El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf RESOLUCIÓN NÚMERO 64268 DE 2021 5) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.
CONCLUSIONES: Sin perjuicio de lo establecido, no se accederá a las peticiones de la recurrente por, entre otras, las siguientes razones: 1. El artículo 23 de la Ley 1581 de 2012 faculta a esta superintendencia para imponer, además de las sanciones pecuniarias, sanciones que implican la suspensión de las actividades relacionadas con el tratamiento.
Lo anterior con miras a asegurar el cumplimiento del adecuado manejo de la información personal de los Titulares. Imponer una sanción de este tipo, no resulta desproporcionado, pues lo que busca es que se corrijan las medidas al interior de la sociedad que dieron lugar a la violación de las normas contenidas en la Ley. 2. Los criterios para graduar la sanción en la presente actuación administrativa son aquellos establecidos en en artículo 24 de la Ley 1581 de 2012 y no los establecidos en el articulo 61 parágrafo 1º. de la ley 1480 del 2011 como argumenta la recurrente.
Las acciones de SOLUCIONES VIDA FACIL S.A.S. pusieron en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por lo que es aplicable el criterio establecido en el literal a) del artículo 24 de la citada Ley. Los demás criterios no tienen aplicación en el presente caso, por lo que la sanción se encuentra ajustada a derecho. 3.
La multa impuesta equivale al 0,36% del máximo legal permitido (2000 Salarios mínimos legales mensuales). 4. Este Despacho no es competente para pronunciarse sobre el cumplimiento de lo establecido en el artículo segundo de la Resolución No. 64884 del 15 de octubre de 2020, ya que ello se debe acreditar ante la Dirección quién emitió la sanción. Como consecuencia de lo anterior, este Despacho confirmará la sanción impuesta por la primera instancia mediante Resolución No. 64884 del 15 de octubre de 2020, por cuanto se comprobó que SOLUCIONES VIDA FACIL S.A.S. infringió las normas sobre protección de datos personales consagradas en los artículos antes citados.
SÉPTIMO: Que analizada la cuestión planteada, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la decisión contenida en la Resolución No. 64884 del 15 de octubre de 2020.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Confirmar integralmente la Resolución No. 64884 del 15 de octubre de 2020, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a SOLUCIONES VIDA FACIL S.A.S., identificada con el NIT. 901.081.770-8, a través de su RESOLUCIÓN NÚMERO 64268 DE 2021 representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO: COMUNICAR al señor Xxxxxxxx Xxxxxxxx Xxxxxxx, identificado con la CC. xx.xxx.xxx el contenido de la presente decisión.
ARTÍCULO CUARTO: Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNIQUESE Y CÚMPLASE Dada en Bogotá, D.C., octubre 4 de 2021 El Superintendente Delegado para la Protección de Datos Personales NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.10.04 20:47:14 -05'00' NELSON REMOLINA ANGARITA MPM RESOLUCIÓN NÚMERO 64268 DE 2021 NOTIFICACIÓN: Entidad: SOLUCIONES VIDA FACIL S.A.S. Identificación: 901.081.770-8 Representante Legal: Yury Carolina Gómez Pineda Identificación: C.C. No. 1.020.797.607 Dirección: Carrera 74 b # 55-60 interior 2 Ciudad: Bogotá D.C., Colombia Correo electrónico: gerencia@solucionesvidafacil.com COMUNICACIÓN: Señor: Xxxxxxxx Xxxxxxxx Xxxxxxx Identificación: C.C No. xx.xxx.xxx Dirección: Xxxxx x Xxxxxxx x X xx Xxxxxx Xx Xxxxx Ciudad: Xxxxxxxxxxxxx xxx Xxxxxx-Xxxxxxxxx-Xxxxx