(28 ABRIL 2021) “Por la cual se impone una sanción” Radicación: 20-191197 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad AMERICAN BUSSINES S.A.S, (en adelante “la investigada”), identificada con Nit. 900.616.626-1, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.1 Que mediante Resolución No. 35959 del 13 de agosto de 20191, expedida por esta Dirección a través del Grupo de Investigación de Protección de Datos Personales, se ordenó lo siguiente: “ARTÍCULO PRIMERO: Imponer sanción pecuniaria a la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1, de TRES MILLONES TRECIENTOS DOCE MIL CUATROCIENTOS SESENTA Y CUATRO PESOS M/cte.
($3.312.464), equivalente a CUATRO (4) salarios mínimos legales mensuales vigentes; y sanción de suspensión de las actividades relacionadas con el Tratamiento de Datos Personales por un término de seis (6) meses contados a partir de la ejecutoria de la presente Resolución por violación de lo dispuesto en (i) la ley 1581 de 2012 artículo 17 literal b, en concordancia con su artículo 4, literal c, y su artículo 9 de la misma norma, y el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero; y (iii) la Ley 1581 de 2012 artículo 17 literal c, en concordancia con el artículo 4, literal b y el artículo 12 de la misma norma; y el Decreto 1074 de 2015, artículo 2.2.2.25.22, inciso primero.
PARÁGRAFO PRIMERO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, N.I.T. 899.999.090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta Resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso liquidados a la tasa del 12% efectivo anual.
PARÁGRAFO SEGUNDO: Los correctivos que debe adoptar la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1, son aquellos que debe cumplir para acatar la Orden Administrativa que por esta Resolución se imparte.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1 cumplir la siguiente instrucción, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión: • La sociedad AMERICAN BUSSINES S.A.S., debe implementar un mecanismo y/o procedimiento previo al Tratamiento de datos personales de Titulares de la Información, para: i) solicitar la autorización expresa de los mismos, en relación con el Tratamiento de sus datos personales;
(ii) informar a los Titulares sobre las finalidades específicas del Tratamiento de datos personales que realice. 1 Expediente digital, Consecutivo 1 HOJA N, 2 “Por la cual se impone una sanción” • La sociedad AMERICAN BUSSINES S.A.S., debe abstenerse de realizar tratamiento a datos personales, mediante contracto (telefónico, virtual u otro) de Titulares, cuyos datos no se encuentren autorizados previa, expresa e informadamente.
PARÁGRAFO PRIMERO: La sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta Entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo especializado en los temas que involucra la implementación de cada orden.
PARÁGRAFO SEGUNDO: El cumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, acreedora de las sanciones previstas en la Ley.” 1.2 Que la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1, fue notificada mediante notificación electrónica de la Resolución 35959 del 13 de agosto de 20192, de conformidad con la certificación expedida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia. 1.3 Que, vencido el término establecido en el artículo segundo de la Resolución No. 35959 de 2019, la sociedad AMERICAN BUSSINES S.A.S. no ha acreditado el cumplimiento de la orden impartida por este Despacho en la parte resolutiva de la Resolución 35959 del 13 de agosto de 2019.
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el literal o) del artículo 17 de la Ley 1581 de 2012, el 21 de Julio de 2020, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 39706 de 2020 por medio de la cual se formuló un (1) único cargo a la sociedad AMERICAN BUSSINES S.A.S., identificada con Nit. 900.616.626-1.
La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.
TERCERO: Que, dentro del término decretado, la investigada guardó silencio y no presentó escrito de descargos ni pruebas para hacer valer en la presente actuación administrativa.
CUARTO: Que mediante Resolución No. 717 del 13 de enero de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-191197, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
QUINTO: Que, dentro del término establecido, la investigada guardó silencio y no presentó escrito de Alegatos ni pruebas para hacer valer en la presente actuación administrativa.
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
SÉPTIMO: Análisis del caso 7.1 Adecuación típica 2 Expediente digital Consecutivo 1 HOJA N, 3 “Por la cual se impone una sanción” La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal o) del artículo 17 de la Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como el conjunto de pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones 7.2.1 Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Recordemos que el legislador mediante la Ley 1581 de 2012 le otorgó la potestad de vigilancia a la personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen de protección de datos personales.
Así las cosas, es importante traer a colación el artículo 21 de la citada ley, mediante el cual el legislador le otorga a la Superintendencia de Industria y Comercio, entre otras, las siguientes facultades: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales;
(…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Así las cosas, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular a conocer, actualizar rectificar y suprimir sus datos personales que se encuentren en cualquier base de datos y que sean susceptibles de tratamiento por parte de entidades de naturaleza pública o privada.
Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejerce la vigilancia de los 3 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, 4 “Por la cual se impone una sanción” Responsables y Encargados del Tratamiento, por ello, dentro de sus facultades esta ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así lo determine dentro de una investigación administrativa.
Ahora bien, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Al respecto, este Despacho a través de la Resolución No. 35959 del 13 de agosto de 2019 ordenó lo siguiente a la investigada: “ARTÍCULO PRIMERO: Imponer sanción pecuniaria a la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1, de TRES MILLONES TRECIENTOS DOCE MIL CUATROCIENTOS SESENTA Y CUATRO PESOS M/cte.
($3.312.464), equivalente a CUATRO (4) salarios mínimos legales mensuales vigentes; y sanción de suspensión de las actividades relacionadas con el Tratamiento de Datos Personales por un término de seis (6) meses contados a partir de la ejecutoria de la presente Resolución por violación de lo dispuesto en (i) la ley 1581 de 2012 artículo 17 literal b, en concordancia con su artículo 4, literal c, y su artículo 9 de la misma norma, y el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero; y (iii) la Ley 1581 de 2012 artículo 17 literal c, en concordancia con el artículo 4, literal b y el artículo 12 de la misma norma; y el Decreto 1074 de 2015, artículo 2.2.2.25.22, inciso primero.
PARÁGRAFO PRIMERO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, N.I.T. 899.999.090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta Resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso liquidados a la tasa del 12% efectivo anual.
PARÁGRAFO SEGUNDO: Los correctivos que debe adoptar la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1, son aquellos que debe cumplir para acatar la Orden Administrativa que por esta Resolución se imparte.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad AMERICAN BUSSINES S.A.S., con número de identificación tributaria 900.616.626-1 cumplir la siguiente instrucción, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión: • • La sociedad AMERICAN BUSSINES S.A.S., debe implementar un mecanismo y/o procedimiento previo al Tratamiento de datos personales de Titulares de la Información, para: i) solicitar la autorización expresa de los mismos, en relación con el Tratamiento de sus datos personales;
(ii) informar a los Titulares sobre las finalidades específicas del Tratamiento de datos personales que realice. La sociedad AMERICAN BUSSINES S.A.S., debe abstenerse de realizar tratamiento a datos personales, mediante contracto (telefónico, virtual u otro) de Titulares, cuyos datos no se encuentren autorizados previa, expresa e informadamente.
PARÁGRAFO PRIMERO: La sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta Entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo especializado en los temas que involucra la implementación de cada orden. HOJA N, 5 “Por la cual se impone una sanción”
PARÁGRAFO SEGUNDO: El cumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, acreedora de las sanciones previstas en la Ley.” En este sentido, esta Dirección encontró preliminarmente que la Resolución No. 35959 del 13 de agosto de 2019 fue debidamente notificada mediante notificación electrónica el día 13 de agosto de 2019, al correo de notificación judicial establecido por la investigada en el certificado de existencia y representación legal del Registro único empresarial RUES.
Por consiguiente, una vez transcurrido el término legal establecido en el artículo segundo de la Resolución No. 35959 de 2019 correspondiente a dos (2) meses desde la ejecutoria de la decisión y cinco (5) días hábiles siguientes a la expiración del plazo previsto, la investigada debía acreditar ante esta Superintendencia el cumplimiento de lo ordenado, mediante una certificación emitida por un auditor externo o interno; sin embargo, se ha constatado que la investigada aún no ha remitido comunicación alguna que permita acreditar el cumplimiento de la orden impartida.
Teniendo en cuenta que la investigada no presentó los correspondientes descargos y alegatos de conclusión junto con las pruebas que pretendía hacer valer en el presente proceso administrativo, se tendrán en cuenta las pruebas recaudadas en la etapa preliminar para adoptar la decisión que en derecho corresponda. Al respecto, el derecho de defensa en materia administrativa se traduce en la facultad que tiene el administrado de conocer la actuación o proceso administrativo que se adelante en su contra, e impugnar o contradecir las pruebas y las providencias que le sean adversas a sus intereses.
La administración debe garantizar al ciudadano interesado tal derecho y cualquier actuación que desconozca dicha garantía es contraria a la Constitución. Es así, como esta Dirección garantizó y respetó el debido proceso a la sociedad AMERICAN BUSSINES S.A.S, así como sus derechos de defensa y contradicción mediante el otorgamiento de los términos legalmente establecidos en cada una de las etapas de la investigación, sin embargo, la sociedad investigada guardó silencio.
Así mismo, teniendo en cuenta que mediante la resolución No. 35959 de 2019 no solo se impartieron las ordenes objeto de estudio, sino que se sancionó a la sociedad de acuerdo a lo establecido en el literal b) del artículo 23 de la Ley 1581 “ b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar”. Es claro que las órdenes impartidas no solo conllevaban al incumplimiento de las instrucciones dadas por la autoridad en protección de datos personales, sino que no adoptó los correctivos indicados para que se levantara o no continuara la suspensión de actividades señalada en la resolución No. 35959 de 2019 Por lo anterior, se encuentra demostrado el actuar negligente de la investigada respecto al acatamiento de las órdenes proferidas por esta Superintendencia, toda vez que no acreditó el cumplimiento de estas dentro del plazo y forma establecidos, de conformidad con el literal o) del artículo 17 de la Ley 1581 de 2012.
En consecuencia, procede una sanción.
OCTAVO: Que el parágrafo del artículo 2 de la Ley 1581 de 20124 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 20155. 4Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
(…)
PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 5Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: HOJA N, 6 “Por la cual se impone una sanción” Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1.
Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.
La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.
Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 19951 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”1 (subrayamos) (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3.
El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N, 7 “Por la cual se impone una sanción” capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23.
Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”1. En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad AMERICAN BUSSINES S.A.S para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente el de legalidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
NOVENO: Imposición y graduación de la sanción 9.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”.(subraya fuera del texto) De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”1 HOJA N, 8 “Por la cual se impone una sanción” Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia. En virtud de lo expuesto y en ejercicio de la potestad sancionatoria otorgada en la Ley 1581 de 2012 se procede a imponer la siguiente sanción: 9.2 Cierre temporal de las operaciones relacionadas con el Tratamiento una vez trascurrido el término sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
En el caso sub-examine, quedó demostrado que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable por lo siguiente: (i) La investigada no atendió en forma oportuna las órdenes administrativas impartidas mediante la Resolución No. 35959 del 13 de agosto de 2019, órdenes señaladas necesarias para la protección del derecho fundamental de habeas data de los titulares cuyos datos personales obran bajo custoria de la investigada, así mismo, son órdenes establecidas como correctivos de obligatoria adopción durante el término de suspesión de actividades relacionadas con el tratamiento.
Por lo anterior, es clara la negligencia de la investigada frente al cumplimiento de los deberes establecidos en la Ley, puesto que las órdenes impartidas en la Resolución No. 35959 del 13 de agosto de 2019 se generaron en virtud de lo siguiente: (ii) Se encontró probado el actuar negligente e ilegal de la sociedad AMERICAN BUSSINES S.A.S., al Contactar telefónicamente al Titular XXXX XXXXX XXXXX y realizar Tratamiento de sus datos personales, sin acreditar haber solicitado y obtenido su consentimiento y/o autorización previa y expresa para ese efecto, previa a esta llamada; hecho que restringió injustificadamente su derecho a la autodeterminación informática respecto de su información HOJA N, 9 “Por la cual se impone una sanción” personal y que impidió que, como Titular y dueño de sus datos, pudiese decidir sobre su Tratamiento.
Situación que configuró el incumplimiento del deber legal establecido en la Ley 1581 de 2012, artículo 17, literal b, en concordancia con el artículo 4, literal c y el artículo 9 de la misma norma; en concordancia con el Decreto 1074 de 2015, artículo 2.2.2.25.2.2, inciso primero. (ii) Así mismo, no informó al Titular XXXXXXXXXXXXX, sobre la finalidad de la recolección de sus datos personales y sobre sus derechos al respecto, incumplimiento así lo dispuesto en la Ley 1581 de 2012, artículo 17, literal c, en concordancia con el artículo 4, literal b y el artículo 12 de la misma norma; y en el Decreto 1074 de 2015, artículo 2.2.2.25.2.2, inciso primero. En virtud de lo expuesto, es claro que la sociedad vulneró el derecho fundamental de habeas data y no cumplió las órdenes establecidas por la Autoridad de Protección de Datos Personales encaminadas a que la sociedad implementara las medidas necesarias para realizar tratamiento de datos personales de acuerdo a lo establecido en la Ley 1581 de 2012.
En virtud de lo expuesto se procederá a aplicar contra la sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, la sanción establecida en el literal c) del artículo 23 de la Ley 1581 de 2012, cumplido el requisito establecido en la Ley que es "una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio”, procede la sancion de cierre temporal de las operaciones relacionadas con el Tratamiento de datos personales hasta que la sociedad acredite el cumplimiento de las órdenes impartidas mediante la Resolución 35959 del 13 de agosto de 2019.
DÉCIMO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: • La investigada no dio cumplimiento a las ordenes impartida por esta Superintendencia mediante la Resolución No. 35959 del 13 de agosto de 2019, toda vez que no acreditó el cumplimiento de estas dentro del plazo y forma establecidos, de conformidad con el literal o) del artículo 17 de la Ley 1581 de 2012. • Las órdenes incumplidas por la sociedad se generaron en virtud de encontrarse demostrado que la sociedad (i) vulneró el derecho de habeas data del señor XXXXXXXXXXXXXXX al y realizar Tratamiento de sus datos personales sin acreditar haber solicitado y obtenido su consentimiento y/o autorización previa y expresa para ese efecto, previa a esta llamada; hecho que restringió injustificadamente su derecho a la autodeterminación informática respecto de su información personal y que impidió que, como Titular y dueño de sus datos, pudiese decidir sobre su Tratamiento.
Situación que configuró el incumplimiento del deber legal establecido en la Ley 1581 de 2012, artículo 17, literal b, en concordancia con el artículo 4, literal c y el artículo 9 de la misma norma; en concordancia con el Decreto 1074 de 2015, artículo 2.2.2.25.2.2, inciso primero; así mismo no informó al Titular XXXXXXXXXXXXX, sobre la finalidad de la recolección de sus datos personales y sobre sus derechos al respecto, incumplimiento así lo dispuesto en la Ley 1581 de 2012, artículo 17, literal c, en concordancia con el artículo 4, literal b y el artículo 12 de la misma norma; y en el Decreto 1074 de 2015, artículo 2.2.2.25.2.2, inciso primero. • En virtud de lo expuesto, es claro que la sociedad vulneró el derecho fundamental de habeas data y no cumplió las órdenes establecidas por la Autoridad de Protección de Datos Personales encaminadas a que la sociedad implementara las medidas necesarias para realizar tratamiento de datos personales de acuerdo a lo establecido en la Ley 1581 de 2012.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente al cierre temporal de las operaciones relacionadas con el Tratamiento de datos personales a la sociedad AMERICAN BUSSINES S.A.S. HOJA N 10, “Por la cual se impone una sanción”
DÉCIMO PRIMERO: Que, en virtud de la situación actual, teniendo en cuenta la Emergencia Sanitaria decretado por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;
Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. (ii) No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER la sanción de cierre temporal de las operaciones relacionadas con el Tratamiento a la sociedad AMERICAN BUSSINES S.A.S identificada con el Nit. 900.616.626-1, a partir de la ejecutoria de la presente Resolución.
PARÁGRAFO PRIMERO: El cierre de las operaciones relacionadas con el Tratamiento se mantendrá hasta que la sociedad AMERICAN BUSSINES S.A.S, identificada con el NIT. 900.616.626-1, acredite el cumplimiento de las órdenes impartidas mediante la Resolución No. 35959 del 13 de agosto de 2019, que señalan lo siguiente: • • La sociedad AMERICAN BUSSINES S.A.S., debe implementar un mecanismo y/o procedimiento previo al Tratamiento de datos personales de Titulares de la Información, para: i) solicitar la autorización expresa de los mismos, en relación con el Tratamiento de sus datos personales;
(ii) informar a los Titulares sobre las finalidades específicas del Tratamiento de datos personales que realice. La sociedad AMERICAN BUSSINES S.A.S., debe abstenerse de realizar tratamiento a datos personales, mediante contracto (telefónico, virtual u otro) de Titulares, cuyos datos no se encuentren autorizados previa, expresa e informadamente.
PARÁGRAFO SEGUNDO: La sociedad AMERICAN BUSSINES S.A.S. con número de identificación tributaria 900.616.626-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia mediante una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo especializado en los temas que involucra la implementación de cada orden.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a la sociedad AMERICAN BUSSINES S.A.S identificada con el Nit. 900.616.626-1 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO TERCERO: COMUNICAR al señor XXXXXXXXXXXXXX, identificado con C.C. 4.387.646 el contenido de la presente decisión. HOJA N 11, “Por la cual se impone una sanción”
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.28 16:10:42 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DMPRB Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: AMERICAN BUSSINES S.A.S Identificación: Nit.: 900.616.626-1 Representante Legal: WALTER ALEJANDRO SÁNCHEZ PENAGOS Identificación: C.C. No. 79.853.321 Dirección: CALLE 40 SUR # 52B - 26 OFICINA 301 Ciudad: Bogotá D.C Correo electrónico: virtualoficesas@gmail.com COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXX Identificación: C.C. XXXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXX