Sanción 46569 de 2023 — SIC

(09 de agosto de 2023) “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Radicación 21-90216 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el artículo 17 numeral (4) del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581de 2012 por parte de la sociedad SÉGEN COMPANY S.A.S., identificada con el Nit. 901.274.754-9, por lo que decidió iniciar investigación administrativa mediante la Resolución N°. 17191 del 29 de marzo de 2021 en consideración a la remisión realizada por el Grupo de Trabajo de Habeas Data, el cual en la parte considerativa de la Resolución N°. 59128 del 24 de septiembre de 2020, evidenció que: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Hábeas Data lo pertinente” La Resolución N°. 59128 del 24 de septiembre de 2020, en su parte considerativa, señala lo siguiente: “6.1 Respecto del trámite a seguir cuando el titular de la información o sus causahabientes presente una petición frente al responsable del manejo de su información. El artículo 15 de la Ley 1581 de 2012, establece el procedimiento a seguir en caso de que el titular de la información o sus causahabientes, presente una petición frente al responsable del manejo de su información, conforme a lo siguiente: ‘Artículo 15: El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga ‘reclamo en trámite’ y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

En el caso en particular, encuentra este Despacho que el Titular de la Información afirma que el 19 de noviembre de 2019 presentó petición ante la sociedad denunciada solicitando le informaran; i) el medio por el que se recaudaron sus datos personales ii) la autorización que otorgó para el tratamiento de sus datos personales iii) se eliminaran los datos personales de sus bases de datos.

Petición que afirma no fue resuelta por la sociedad investigada. (Ver consecutivo No. 19-301476-0) Por su parte, este Despacho mediante comunicación del 24 de enero de 2020, le solicitó a la sociedad Ségen Company S.A.S., (Ver consecutivo No. 19- 301476-3) a: ‘. Informar si el titular de información ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.’.

Sin embargo, la sociedad denunciada se limitó a indicar que ‘(…) En el mes de noviembre de 2019 el señor (…) envío un derecho de petición el cual se respondió de la manera en cómo se está respondiendo este oficio (…)’ (Ver consecutivo No. 19-301476-4). Ahora bien, este Despacho procedió a revisar las pruebas obrantes en el plenario y evidencia que el titular aportó copia de la guía de envío No. XXXXXXX perteneciente a la empresa de servicios postales Servientrega (Ver Consecutivo No. 19-301476-0), misma que, se encuentra dirigida a la sociedad Ségen Company S.A.S., adicionalmente, se observa que, se encuentra firmada en el acápite de recibido conforme por parte de la sociedad denunciada.

Sin embargo, de su lectura no se observa de manera clara y legible la fecha y hora de entrega tal y como se evidencia en la siguiente imagen: (…)’ Por su parte, esta Dirección a fin de determinar la fecha exacta y hora de entrega en que la sociedad Ségen Company S.A.S. recibió lo enviado a través de la guía de envío No. (…) consultó en el sitio web de la empresa de mensajería Servientrega el rastro de la mencionada guía. Donde se señala como fecha de entrega el día 20 de noviembre de 2019 con hora de entrega a las 13:41, tal y como se evidencia en la siguiente imagen: “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Información corroborable a través del siguiente link: https://www.servientrega.com/wps/portal/Colombia/transacciones-personas/rastreo-envios En ese orden de ideas, el artículo 15 de la Ley 1581 de 2012, establece que los Responsables o Encargados del Tratamiento cuentan con el término de quince (15) días hábiles para atender las peticiones presentadas por los titulares, contados a partir de la fecha de recibo de este y podrán prorrogarlo por el término de ocho (8) días hábiles más. De este modo, frente a la petición presentada por el titular el día 20 de noviembre de 2019 (Ver consecutivo No. 19-301476-0) el término para dar respuesta se cumplía el día 18 de diciembre de 2019.

Así pues, en vista que esta Dirección no evidencia que repose prueba técnica en la que conste que la respuesta al derecho de petición emitida por parte de la sociedad en referencia haya sido efectivamente enviada, se tiene que, la sociedad investigada se encuentra fuera del término establecido en el artículo 15 de la Ley 1581 de 2012 para otorgar respuesta al reclamante.

En virtud de lo anterior, es importante resaltar a la sociedad Ségen Company S.A.S. que el titular tiene derecho a obtener una respuesta clara, completa de fondo y dentro del término legal sobre el asunto solicitado. Conforme a lo anterior, y teniendo en cuenta que dicha sociedad no allegó ningún documento técnico que demostrase el envío de la respuesta al derecho de petición presentado por el titular, se tiene que la sociedad Ségen Company S.A.S., posiblemente no dio cumplimiento al deber establecido en el artículo 15 de la Ley 1581 de 2012. 6.2.

Respecto de la autorización previa, expresa e informada otorgada por el titular y la solicitud de supresión de información personal. Frente a la posibilidad que tienen los titulares de solicitar la supresión de sus datos personales, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: ‘Artículo 8°. Derechos de los Titulares.

El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución’.

De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: ‘Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…)’.

Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio ‘haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (Ley 1581 de 2012)’.

Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada ley, determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho fundamental de hábeas data. En efecto, “Por la cual se impone una sanción y se imparten unas órdenes administrativas” siguiendo a dicha Corporación: ‘el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato’.

(Negrillas fuera del texto). Continúa señalando que: ‘(c)considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional.

Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular. En cada una de estas decisiones se ha planteado que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático, descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal’ (…)’.

Por su parte, la Ley 1581 de 2012 desarrolló el artículo 15 de la Constitución Política, el cual consagró el derecho constitucional que tienen todas las personas a actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales; así como el derecho a la información consagrado en el artículo 20 de la misma.

Al respecto, la Corte Constitucional en sentencia C748 del 2011, por medio de la cual adelantó el estudio de exequibilidad de la ley 1581 de 2012, señaló lo siguiente: ‘(…) El artículo 15 de la Constitución de 1991 reconoció explícitamente el ‘(…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas’ y además dispuso que ‘[e]n la recolección, tratamiento y circulación de datos se respetará la libertad y demás garantías consagradas en la Constitución’.

Estos preceptos leídos en conjunto con la primera parte del mismo artículo 15 –sobre el derecho a la intimidad, el artículo 16 –que reconoce el derecho al libre desarrollo de la personalidad- y el artículo 20 –sobre el derecho a la información activo y pasivo y el derecho a la rectificaciónde la Carta, han dado lugar al reconocimiento de un derecho fundamental autónomo catalogado como derecho al habeas data, y en algunas oportunidades, como derecho a la autodeterminación informativa o informática.(…)’.

En el artículo 9 de la Ley 1581 del 2012, se establece lo relacionado a la autorización previa e informada por parte del titular de la información, la cual se encuentra ligada a que este cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, que resultan vitales para salvaguardar los derechos a la intimidad y al buen nombre, al respecto la corte en la Sentencia T-017 de 2011 se pronunció en los siguientes términos: ‘En cuanto al núcleo esencial del habeas data, se ha dicho que está constituido por el derecho a la autodeterminación informática y por la libertad en general, y en especial la libertad económica.

Quiere esto decir que el habeas data confiere a su titular la posibilidad efectiva de controlar la inclusión de su información personal en los referidos archivos y bancos de datos, siendo la autorización previa y consciente de la persona concernida un requisito indispensable para la válida recolección y almacenamiento de estos datos. La autodeterminación informática incluye también la posibilidad que toda persona tiene de conocer, actualizar y rectificar la información personal que se haya recogido sobre ella.

En cuanto a la libertad económica, ha dicho la Corte que ésta puede ser vulnerada al restringirse indebidamente en virtud de la circulación de datos que no sean veraces, o que no hayan sido autorizados por la persona concernida o por la ley.’ Por su parte, el literal b) del artículo 17 de la Ley 1581 de 2012, establece los deberes que le asisten a los responsables del tratamiento de la información respecto de la solicitud y conservación de copia de la respectiva autorización otorgada por los titulares para el tratamiento de sus datos personales. ‘Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…)’. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.’ “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Anudado a lo anterior es necesario mencionar que el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 donde se define la forma en que se debe otorgar la autorización: ‘(…)

ARTÍCULO 2. 2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (Decreto 1377 de 2013, art. 5)

ARTÍCULO 2. 2.2.25.2.3. De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley. En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones: 1.

Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. 2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles. (…)’ Ahora bien, en el caso bajo examen, se observa que el reclamante manifiesta que el 6 de noviembre de 2019 recibió una llamada por parte de la sociedad Ségen Company S.A.S., a pesar de carecer de autorización para el manejo y tratamiento de sus datos personales, adicionalmente, afirmó que dicha sociedad conocía datos personales suyos como: Dirección de domicilio, cédula de ciudadanía, nombre completo, y la franquicia con la cual tenía una tarjeta de crédito con el banco Davivienda, como consecuencia de ello, solicita se exija a la sociedad investigada la autorización para el tratamiento de sus datos personales y que elimine de manera definitiva estos de sus bases de datos.

Al respecto, la sociedad Ségen Company S.A.S., manifestó que el ( ) titular ( ) accedió en calidad de referido a su base de datos, además, que no solicitó la autorización previa del titular por tratarse ‘solamente’ de su nombre y de un dato con naturaleza pública, adicionalmente, señaló ser una empresa que comercializa un producto de servicios de manera telefónica, y que ‘(…) la manera en cómo llegamos a nuestros clientes es a través de una lista de referidos es así como nos comunicamos con el solicitante, como bien es cierto y teniendo como precedente la ley 1581 de 2012, y rigiéndonos por esta, el acceso a la información es aquella que no requiere previa autorización del titular, en este caso los datos de naturaleza pública(…) (Id) (Ver consecutivo No. 19-301476-4) Frente al caso que nos ocupa, es importante manifestar que con base en lo señalado por el reclamante y la sociedad denunciada, se pudo evidenciar que los datos asociados al señor ( ) titular ( ) en la base de datos de la sociedad Ségen Company S.A.S. no corresponden únicamente al nombre del titular, pues, en primer lugar, se tiene que el reclamante manifestó que el 6 de noviembre de 2019 recibió una llamada por parte de la sociedad denunciada sin haber brindado información referente a sus datos u otorgado autorización para el tratamiento de sus datos personales, y por otra parte la confesión brindada por la sociedad investigada donde asegura que, Ségen Company S.A.S. es una empresa que comercializa productos de servicios de manera telefónica, y que el titular accedió a su base de datos en calidad de referido.

En este sentido, no obra prueba de la autorización otorgada por el señor ( ) titular ( ) para que la sociedad Ségen Company S.A.S. trate sus datos personales. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Ciertamente, si bien es cierto que el nombre es un dato público, el cual se encuentra dentro de una de las excepciones previstas en la ley frente a las obligaciones de los responsables de contar con la autorización previa y expresa de los titulares, resulta claro que dicha compañía, a su vez, contaba con el número telefónico del reclamante, sin que, como esta misma lo aseguró, contara con una autorización de su parte, para el efecto.

Así, pues, se evidencia un posible incumplimiento al derecho fundamental de Habeas Data del señor ( ) titular ( ) Por otro lado, esta Superintendencia le solicitó a la sociedad investigada bajo el consecutivo (19- 301476-3) que ‘En caso de ser procedente, acreditar prueba mediante la cual se demuestre que ustedes eliminaron, actualizaron o corrigieron la información del Titular de la información’ frente a lo cual, dicha sociedad manifestó que no accede a las pretensiones de la solicitud debido a que ‘(…) la única información que teníamos del solicitante es el nombre, adicionalmente a esto no hemos tratado información en ninguna de sus calidades pues como se mencionó no se requería autorización previa de la información, si el denunciante hubiese confirmado los datos sensibles ahí si es necesario solicitar la previa autorización tal y como lo pide la ley ( )’ (Ver consecutivo No. 19-301476-4) Expuesto todo lo anterior, tenemos que no se detalla en el acervo probatorio que la sociedad Ségen Company S.A.S. le fuera otorgada autorización previa, expresa e informada por parte del señor ( ) titular (...) para el tratamiento de sus datos personales, además, que no obra prueba por la cual se demuestre que la sociedad investigada haya eliminado la información de sus bases de datos, conforme a la solicitud realizada por parte del titular.

Por los argumentos mencionados, este Despacho concluye, que la sociedad Ségen Company S.A.S., realiza Tratamiento de los datos personales del titular sin el lleno de los requisitos impuestos por la Ley 1581 de 2012 y el Decreto 1074 de 2015, toda vez que la misma no demostró que el reclamante otorgó su autorización previa, expresa e informada para el tratamiento de sus datos personales en los términos del Decreto y la precita Ley, ya que dentro del expediente no reposa prueba alguna del consentimiento otorgado por el señor ( ) titular.

Así las cosas, esta Dirección encuentra que es procedente ordenar en el término establecido en la parte resolutiva de este acto administrativo, a la sociedad Ségen Company S.A.S., que suprima todos los datos registrados a nombre del señor ( ), en sus bases de datos, como medida para la protección de su derecho fundamental de habeas data, toda vez que se observó el posible incumplimiento del deber contenido en el literal a y b del artículo 17 de la ley 1581 de 2012 por parte de la sociedad investigada.

Por último, frente a la solicitud del titular respecto de iniciar una investigación y posible sanción a la sociedad Ségen Company S.A.S., este Despacho ordenará la remisión de la copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2012 por parte de la sociedad Ségen Company S.A.S.” Que, de acuerdo con lo anterior, esta Dirección, mediante Resolución N°. 17191 del 29 de marzo de 2021, inició investigación administrativa y formuló cargos en contra de la sociedad SÉGEN COMPANY S.A.S., por la presunta contravención de lo dispuesto en: - El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el procedimiento establecido en el artículo 15 de la misma Ley; - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

La mencionada resolución le fue notificada a la sociedad investigada mediante aviso N°. 6308 del 13 de abril de 2021, de conformidad con la certificación del 14 de abril de 2021 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-90216-9, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer “Por la cual se impone una sanción y se imparten unas órdenes administrativas” valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de dicha actuación al denunciante.

Que la sociedad investigada se abstuvo de presentar descargos. Que, mediante Resolución N°. 55020 del 27 de agosto de 2021, esta Dirección incorporó unas pruebas, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión. Las pruebas incorporadas son las siguientes: Denuncia y anexos presentados ante esta Superintendencia por parte del señor (…), en contra de la sociedad SÉGEN COMPANY S.A.S., bajo radicado No. 19- 301476- -0 del 27 de diciembre de 2019, obrante en el radicado 21-90216- -1 del 24 de marzo de 2021.

Solicitud de explicaciones efectuada por este Despacho a la sociedad SÉGEN COMPANY S.A.S. bajo radicado No. 19-301476- -3 del 24 de enero de 2020, obrante en el radicado 21- 90216- -1 del 24 de marzo de 2021. Respuesta a la solicitud de explicaciones por parte de la sociedad SÉGEN COMPANY S.A.S. bajo radicado No. 19-301476- -4 del 17 de febrero de 2020, obrante en el radicado 21-90216- -1 del 24 de marzo de 2021.

La mencionada resolución le fue comunicada a la sociedad investigada el 30 de agosto de 2021, de conformidad con la certificación del 13 de septiembre de 2021 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-90216-13. Que la sociedad investigada se abstuvo de presentar alegatos de conclusión. Competencia de la Superintendencia de Industria y Comercio Adecuación típica El artículo 19 de la Ley 1581 de 2012 establece que la función de vigilancia le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

La Corte Constitucional, mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se sena ̃ la que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del tratamiento de los datos personales de los titulares. El incumplimiento de tales deberes dará́ lugar a la aplicación de cualquiera de las sanciones definidas en el artić ulo 23 de la Ley 1581 de 2012;

(ii) De conformidad con los hechos enunciados, que dieron lugar a la apertura de la presente investigación, y de la preponderancia de la evidencia obrante dentro del expediente, se puede indicar que la conducta desplegada por parte de la sociedad investigada, como responsable del tratamiento, se concreta la posible vulneración de las disposiciones previstas en: 1 Corte Constitucional [C.C.] Sentencia C-748/11, M.P. Jorge Ignacio Pretelt Chaljub, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 5) (Colom.).

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” - El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el procedimiento establecido en el artículo 15 de la misma Ley; - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

De esta manera, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos objeto de investigación, así́ como el conjunto de pruebas allegadas al expediente, tal como pasará a analizarse a continuación: Del deber de tramitar los reclamos formulados por la titular de la información El literal j) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes a cargo de los Responsables de la Información en los siguientes términos:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” A su turno, el artículo 15 del cuerpo normativo en cita dispone lo siguiente: “ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En referencia a los artículos en cita, la Cote Constitucional, mediante sentencia C- 748 de 20112, realizó las siguientes precisiones: “Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data.” En la misma sentencia, la Corte de refirió a las características que debe tener la respuesta para que se entienda satisfecho el derecho de petición3, así: “En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.” Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 17191 del 29 de marzo de 2021, que: “Sobre el particular, el Titular de la información el señor (…) manifesto en su denuncia radicada con el número 19-301476-0 del 27 de diciembre de 2019 que el 19 de noviembre de 2019 presentó una reclamación ante la sociedad SÉGEN COMPANY S.A.S., adicionalmente aportó copia de la correspondiente guía de envío No. (…) de la empresa de servicios postales Servientrega, dirigida a la sociedad SÉGEN COMPANY S.A.S., y firmada en el acápite de recibido por esta, la cual al ser consultada por este Despacho en el sitio web de la empresa de mensajería Servientrega, se pudo determinar que fue entregada el día 20 de noviembre de 2019 a las 13:41.

Por su parte, la sociedad SÉGEN COMPANY S.A.S. mediante comunicación radicada con el número 19-301476-4 del 17 de febrero de 2020, afirma haber dado respuesta a la reclamación del señor (…), sin embargo, no menciona la fecha de la presunta respuesta, ni aporta ningún tipo de evidencia para sustentar dicha afirmación. Así las cosas, se considera que la sociedad SÉGEN COMPANY S.A.S., Responsable del tratamiento de datos, presuntamente incumplió el término establecido en el numeral 3 del artículo 15 de la Ley 1581 de 2012 para atender el reclamo del señor (…), lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal j) del artículo 17 de la Ley 1581 de 2012.

Con base en lo anterior, esta Dirección encuentra de manera preliminar que la sociedad SÉGEN COMPANY S.A.S., presuntamente vulneró lo dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012. En este punto, resulta relevante reiterar que la sociedad SÉGEN COMPANY S.A.S. guardó silencio frente a las oportunidades procesales para presentar descargos y alegatos de conclusión. Ahora bien, realizada la anterior precisión, este Despacho encuentra lo siguiente en relación con el acervo probatorio: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXX XXXXX XXXXX ante esta Superintendencia el día 27 de diciembre de 2019 4, en la cual manifestó, entre otras cosas, haber remitido un reclamo el día 19 de noviembre de 2019 a la dirección física de la sociedad SÉGEN COMPANY S.A.S., mediante guía de envío número XXXXXXXXXX.

No obstante lo anterior, asevera que la sociedad investigada no dio respuesta a dicha reclamación. Con el propósito de reunir elementos de juicio suficientes, la Coordinación del Grupo de Trabajo de Hábeas Data requirió a la sociedad investigada el día 24 de enero de 2020, bajo el número de Cfr. Corte Constitucional, sentencia C 748 del 2011, seis (6) de octubre de dos mil once (2011), de fecha Magistrado Ponente Jorge Ignacio Pretelt Chaljub Idem Radicado 19-301476-0 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” radicación 19-301476-3, para que informara, entre otras cosas, si el Titular había presentado alguna reclamación o petición ante la compañía, y que en caso de ser afirmativa la respuesta, se sirviera aportar copia de la (s) misma (s) con su respectiva respuesta.

En respuesta al requerimiento en cita, la sociedad investigada, mediante oficio radicado el día 17 de febrero de 2020 bajo el número 19-301476-4, informó, entre otras cosas, lo siguiente: “En el mes de noviembre de 2019 el señor XXXXXX XXXXX XXXXX envío (sic) un derecho de petición el cual se respondió de la manera en como se está respondiendo en este oficio.” No obstante lo anterior, la sociedad investigada no aportó soporte documental alguno que dé cuenta de lo afirmado.

En relación con la afirmación realizada por la sociedad investigada en su respuesta del 17 de febrero de 2020 y de conformidad con la información allegada por el Titular junto con su escrito de denuncia, a la luz de lo previsto en el numeral 1 del artículo 15 de la Ley Estatutaria 1581 de 2012, este Despacho encuentra que: - El reclamo formulado por el señor XXXXXX XXXXX XXXXX el día 19 de noviembre de 2019 fue dirigido a la dirección física registrada en el certificado de existencia y representación legal de la sociedad SÉGEN COMPANY S.A.S., carrera 106 # 81-19 en la ciudad de Bogotá. - Se advierte por parte de este Despacho, que la sociedad investigada no aportó prueba que demuestre que, conforme a lo estipulado en el artículo 15 de la Ley Estatutaria 1581 de 20122, requirió al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para informarle sobre posibles motivos de demora de la respuesta y la fecha en la que sería atendido su reclamo, como lo ha manifestado la Corte Constitucional en reiterada jurisprudencia, insistiendo que, aún en ese escenario, dicha extensión temporal en ningún caso podría superar los ocho (8) días hábiles siguientes al vencimiento del primer término para otorgar cada una de las respuestas. - Fenecido el término para que la sociedad investigada diera respuesta a la reclamación presentada por el Titular, esta guardó silencio.

Así las cosas, se encuentra suficientemente acreditado que la sociedad SÉGEN COMPANY S.A.S. no atendió el reclamo presentado por el Titular de la información, dentro del término legal previsto para el efecto, conducta con la que transgredió el deber dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el procedimiento establecido en el artículo 15 de la misma ley; razón por la cual, se impartirá una orden administrativa.

Del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización” 5. es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de estos para la finalidad especificada.

Este principio es desarrollado por los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley., copia de la respectiva autorización otorgada por el Titular".

Además de lo anterior, el Decreto Único Reglamentario 1074 del 2015 6 señala en su artículo 2.2.2.25.2.2. que: Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Decreto únic Reglamentario del Sector Comercio, Industria y Turismo. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Así mismo, el artículo 2.2.2.25.2.5. este decreto señala que: “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.

Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 17191 del 29 de marzo de 2021, que: “Este Despacho requirió a la sociedad SÉGEN COMPANY S.A.S. mediante comunicación con radicado 19-301476-3 del 24 de enero de 2020 para que presentara evidencia de que contaba con la autorización del señor (…) para el tratamiento de sus datos personales; en la comunicación radicada con el número 19-301476-4 del 17 de febrero de 2020 la investigada afirmó haber usado una “lista de referidos” para contactar al señor (…) y no solicitar autorización previa para el tratamiento de los datos personales del Titular “por tratarse solamente del nombre del titular, siendo un dato de naturaleza pública”, sin embargo, resulta evidente que para contactar al Titular telefónicamente la investigada no se limitó a tratar únicamente el nombre de este.

En este sentido, se considera que la sociedad SÉGEN COMPANY S.A.S., Responsable del tratamiento de datos, presuntamente llevó a cabo el tratamiento de los datos personales del señor (…) sin obtener el consentimiento, previo, expreso e informado del Titular para realizar el tratamiento de los mismos, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

En este punto, resulta relevante reiterar que la sociedad SÉGEN COMPANY S.A.S. guardó silencio frente a las oportunidades procesales para presentar descargos y alegatos de conclusión. Ahora bien, realizada la anterior precisión, este Despacho encuentra lo siguiente en relación con el acervo probatorio: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXX XXXXX XXXXX ante esta Superintendencia el día 27 de diciembre de 2019 7, en la cual manifestó, entre otras cosas, lo siguiente: “1.

El 6 de noviembre de 2019 me realizan una llamada de la empresa SEGEN COMPANY S.A.S, empresa a la cual en ningún momento le he brindado la autorización para darle tratamiento a mis datos personales y mucho menos le he brindado mis datos. 2. En la llamada me dan TODOS MIS DATOS PERSONALES, como: mi dirección de domicilio, mi cédula, mi nombre completo, y la franquicia con la cual tenía tarjeta de crédito Davivienda y posterior a que me brindan toda mi información, desean corroborarla. 3.

En el momento en que la asesora se presenta como representante del banco Davivienda y me habla de unas franquicias con las que no tengo al momento tarjeta de crédito, le manifiesto que esta información es errada y la reacción de la asesora fue colgarme el teléfono sin darme razón ni de por qué tenía mis datos registrados, ni tampoco la razón por la cual le registraba otra franquicia diferente.” Con el propósito de reunir elementos de juicio suficientes, la Coordinación del Grupo de Trabajo de Hábeas Data requirió a la sociedad investigada el día 24 de enero de 2020, bajo el número de radicación 19-301476-3, para que, entre otras cosas, acreditara prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales.

Radicado 19-301476-0 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” En respuesta al requerimiento en cita, la sociedad investigada, mediante oficio radicado el día 17 de febrero de 2020 bajo el número 19-301476-4, informó, entre otras cosas, lo siguiente: “SEGEN COMPANY SAS, es una empresa que comercializa un producto de servicios de manera telefónica, la manera en como llegamos a nuestros clients es a través de una lista de referidos es así como nos comunicamos con el solicitante, como bien es cierto y teniendo como precedente la ley 1581 de 2012, y rigiéndonos por esta, el acceso a la información es aquella que no require previa autorización del titular, en este caso los datos de naturaleza pública.

Por lo anterior, no solicitamos autorización previa por tratarse solamente del nombre del titular, siendo un dato de naturaleza pública, y posteriormente, este enc alidad de referido accedió a nuestra base de datos. No es possible acceder a las pretensions de la solicitud, dado que la única información que teníamos del solicitante es el nombre, adicional a esto no hemos tratado la infomación en ninguna de sus calidades pues como se menciono (sic) no se requería autorización previa de la información, si el denunciante hubiese confirmado los datos sensibles ahí si es necesario solicitor la previa autorización tal y como lo pide la ley.” Dada la magnitud de las afirmaciones realizadas por la sociedad investigada en su oficio del 17 de febrero de 2020, resulta necesario realizar las siguientes precisiones: El objeto de la Ley 1581 de 2012, por medio de la cual se dictan disposiciones generales para la protección de datos personales, es “desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos (…)”8.

Tal derecho constitucional a conocer, actualizar y rectificar la información recopilada en bases de datos es lo que se conoce con el nombre de derecho a la protección de datos personales y se encuentra establecido en el artículo 15 de la Constitución Política, que señala lo siguiente: “Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” A su vez, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento como aquella “(p)persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Para determinar el alcance del concepto de “dato personal”, es necesario traer a colación la definición dada por el literal c) del artículo 3 de la Ley 1581 de 2012, de acuerdo con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”. Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercer de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”9 En referencia a los datos de contacto como el número de la línea móvil celular o el de la línea fija, estos también pertenecen al ámbito privado de la persona.

Para el caso puntual de las líneas de telefonía móvil, las cuales funcionan a través de dispositivos electrónicos, se configura como un Artículo 1 de la Ley Estatutaria 1581 de 2012. Sentencia C-748 de 2011 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” hecho notorio que estos se han convertido en una de las herramientas más íntimas de la mayoría de las personas y son datos semiprivados 10.

Hoy en día, el número de la línea móvil celular se encuentra vinculada, cada vez más, con aplicaciones y servicios en línea que están profundamente relacionados con la vida personal de un determinado individuo, ameritando un especial cuidado, manejo y respeto. Por lo anterior, solo si el Titular, consiente que el número asignado a su línea móvil celular personal sea registrado en un archivo de libre circulación, este podrá ser incorporado en dicha pieza y ser divulgado masivamente, pues en este punto el Titular habrá ejercido su derecho a la autodeterminación informativa, de tal forma que el Responsable de la publicación de la información ya no será garante del uso que terceros puedan hacer del dato.

Sin embargo, es necesario precisar que a pesar de que se divulgue el número telefónico personal de un titular, no cambia la naturaleza del dato, esto es, no pierde su carácter de dato personal de naturaleza privada, por lo que su tratamiento estará limitado a la autorización que el titular otorgue para la finalidad que le haya sido informada y frente a la cual haya manifestado su consentimiento.

Por lo mencionado, es claro que los números de líneas telefónicas, sean fijas o móviles, tienen la connotación de dato personal al poder asociarse a una persona natural, por lo que su tratamiento es regulado por la Ley 1581 de 2012 y la vigilancia y control del mismo es competencia de este Despacho. En este punto, resulta relevante reiterar que la sociedad SÉGEN COMPANY S.A.S. guardó silencio frente a las oportunidades procesales para presentar descargos y alegatos de conclusión. El consecuencia, esta Dirección encuentra que la sociedad investigada no solo no cuenta con la autorización para el tratamiento de datos personales del Titular de la información, sino que desconoce abiertamente las disposiciones que cimientan el Régimen General de Protección de Datos Personales; razón por la cual, se impondrá una sanción pecuniaria y se impartirá una orden administrativa.

Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada El artículo 17 de la Ley 1581 de 2012 señala, que: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…)” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por 10 Literal g) del artículo 3 de la Ley 1266 de 2008: g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”.11 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 17191 del 29 de marzo de 2021, que: “Con relación a lo anterior, tal como se analizó en el cargo segundo, la sociedad SÉGEN COMPANY S.A.S. presentó ante este Despacho comunicación radicada con el número 19301476-4 del 17 de febrero de 2020 en la cual afirmó haber usado una “lista de referidos” para contactar al señor (…) y no solicitar autorización previa para el tratamiento de los datos personales del Titular “por tratarse solamente del nombre del titular, siendo un dato de naturaleza pública”, sin embargo, resulta evidente que para contactar al Titular telefónicamente la investigada no se limitó a tratar únicamente el nombre de este.

En este sentido, se considera que la sociedad SÉGEN COMPANY S.A.S., Responsable del tratamiento de datos, presuntamente llevó a cabo el tratamiento de los datos personales del señor (…) sin informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten en virtud de la autorización que debió otorgar, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Siendo así, esta Dirección encuentra de manera preliminar que la sociedad SÉGEN COMPANY S.A.S., presuntamente vulneró lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” De acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la investigada rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta guardó silencio respecto de haberle informado al Titular la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada para el Tratamiento de sus datos personales.

Así las cosas, se evidencia el incumplimiento de la investigada del deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; razón por la cual, se impondrá una sanción pecuniaria y se impartirá una orden administrativa. “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Respecto de la Responsabilidad de los Administradores en materia de Datos Personales Así mismo, en este punto es oportuno traer a acotación lo conceptuado en la Resolución No.83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, el cual prevé lo siguiente: “Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 12 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”13 (subrayamos) (…) Nótese que el artículo 2414 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Crf.

Numeral 2 del artículo 23 de la ley 222 de 1995 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” estatutos”. Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”15 En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( )lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta instancia procederá a impartir las siguientes instrucciones:  La sociedad SÉGEN COMPANY S.A.S. deberá implementar los procedimientos necesarios para tramitar las consultas, reclamos y peticiones en materia de datos personales, de conformidad con lo previsto en la Ley 1581 de 2012 y sus disposiciones regalmentarias.  La sociedad SÉGEN COMPANY S.A.S. deberá implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar a información personal de los titulares respecto de los cuales no conserve copia de la autorización.  La sociedad SÉGEN COMPANY S.A.S. deberá implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Adicionalmente, debe abstenerse de hacer uso de los datos personales recolectados sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información. De lo anteriormente ordenado la sociedad SÉGEN COMPANY S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

Imposición y graduación de la sanción Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal.

Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos Crf. Parte inicial del artículo 24 de la ley 222 de 1995 “Por la cual se impone una sanción y se imparten unas órdenes administrativas” d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 16.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional17 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten unas órdenes administrativas” administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2322 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamient o y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción y se imparten unas órdenes administrativas” “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”23 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 23 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción y se imparten unas órdenes administrativas” del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados24. También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto, la sociedad SÉGEN COMPANY S.A.S.: Incumplió el deber de solicitar y conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titular de la información, transgrediendo el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción pecuniaria de UN MILLÓN DOSCIENTOS SETENTA Y DOS MIL TRESCIENTOS SESENTA PESOS M/CTE ($1.272.360) equivalente a TREINTA (30) Unidades de Valor Tributario (UVT) vigentes. No le informó al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, con lo que transgredió el deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción pecuniaria de UN MILLÓN DOSCIENTOS SETENTA Y DOS MIL TRESCIENTOS SESENTA PESOS M/CTE ($1.272.360) equivalente a TREINTA (30) Unidades de Valor Tributario (UVT) vigentes. Así las cosas, en vista de la gravedad de los cargos imputados y probados aunado al hecho que la investigada no se pronunció frente a la formulación de cada uno de los cargos imputados, este Despacho encuentra procedente imponer la sanción dispuesta en el literal a) y el literal b) del artículo 23 de la Ley 1581 de 2012.

Por lo tanto, se impondrá la sanción pecuniaria tasada, así como la sanción de “(…) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar (…)”. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción a los deberes analizados en el presente acto administrativo. CONCLUSIONES Según lo expuesto por esta Dirección, la sociedad SÉGEN COMPANY S.A.S.: 24 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.0 00) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incum plimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una v ez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para q ue adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten unas órdenes administrativas” Incumplió el deber de solicitar y conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titularde la información. No le informó al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, con el correo electrónico de notificación judicial alejandra.pineros@cedroit.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-90216. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, de DOS MILLONES QUINIENTOS CUARENTA Y CUATRO MIL SETECIENTOS VEINTE PESOS M/CTE ($2.544.720) equivalente a SESENTA (60) Unidades de Valor Tributario (UVT) vigentes, por la transgresión a los deberes contemplados en: - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. IMPONER la sanción de suspensión de las actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses; termino dentro del cual deberá implementar las correcciones señaladas en el artículo siguiente. Parágrafo. Vencido dicho término, esta Superintendencia verificará el cumplimiento de lo ordenado.

En caso de incumplir con lo señalado, se impondrá la sanción dispuesta en el literal c) del artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: (…) c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la “Por la cual se impone una sanción y se imparten unas órdenes administrativas” (…) ”.

ARTÍCULO 3. ORDENAR a la sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, cumplir con las siguientes instrucciones:  Implementar los procedimientos necesarios para tramitar las consultas, reclamos y peticiones en materia de datos personales, de conformidad con lo previsto en la Ley 1581 de 2012 y sus disposiciones regalmentarias.  Implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar a información personal de los titulares respecto de los cuales no conserve copia de la autorización.  Implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Adicionalmente, debe abstenerse de hacer uso de los datos personales recolectados sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información. Parágrafo primero. La sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, deberá cumplir lo ordenado en esta resolución dentro de los TRES (3) MESES siguientes a la ejecutoria del presente acto administrativo.

Parágrafo segundo. La sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. Parágrafo tercero. El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO 4. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SÉGEN COMPANY S.A.S., identificada con NIT. 901.274.754-9, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 5. COMUNICAR al señor XXXXXX XXXXX XXXXX, identificado con la cédula de ciudadanía XXXXXXXXXX, el contenido de la presente decisión.

ARTÍCULO 6. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Carrera 7 No. 31A - 36 Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 09 de agosto de 2023 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por ENRIQUE CARLOS ENRIQUE CARLOS SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2023.08.09 11:02:18 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JATS Revisó: MRFA/AMCC Aprobó: CESM “Por la cual se impone una sanción y se imparten unas órdenes administrativas” NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: SÉGEN COMPANY S.A.S. 901.274.754-9 Alejandra Piñeros Martínez 20.740.073 Carrera 106 No. 81 - 19 Bogotá D.C. alejandra.pineros@cedroit.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXX XXXXXXXXXXXX XXXXXXXXXXX XXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 46569 de 2023

CONSIDERANDO

ARTÍCULO

RESUELVE