REPÚBLICA DE COLOMBIA (06 de Julio) Radicación: 18-64211 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 18952 del 31 de mayo de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió:
SEGUNDO. Que mediante escrito del 9 de julio de 2019, la sociedad UNE EPM TELECOMUNICACIONES S.A. (en adelante la recurrente) interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 18952 del 31 de mayo de 2019, con fundamento en los siguientes argumentos: Indebida valoración probatoria. Empieza la recurrente por realizar un recuento de los hechos, a saber, cada una de las solicitudes elevadas por el quejoso a la compañía. Estas, por su parte, son: 4 de septiembre de 2017, 3 de noviembre de 2017 y, 2 de febrero de 2018.
Cada una de ellas fueron respondidas oportunamente según los términos legales. Por tanto, afirma que: Por último, concluye que esta Entidad realizó una indebida valoración probatoria toda vez que la linea 3045232009 fue, en últimas, desactivada. Lo anterior, en los siguientes términos: RESOLUCIÓN NÚMERO 35093 DE 2020 Afectación a la libertad de empresa.
Considera la recurrente que el actuar de esta Superintendencia influyen en las decisiones de negocio, lo que se considera, en sus palabras, un atentado en contra de la libertad de empresa y de sus decisiones de negocio. Ya que se le pretende imponer una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.
Más aún, afirma que se le ordenó la documentación e implementación de un procedimiento, lo cual, a su parecer, no resultan proporcionales ni ajustadas al caso que pretende resolver. Por último, se afirma que la Superintendencia optó por ordenar a la compañía que implementara procedimientos ya existentes en la compañía. Análisis de los factores de graduación de la sanción. Con respecto al análisis de los factores de graduación de la sanción, la recurrente afirma que: Cuantificación de la sanción impuesta.
Ahora, frente a la cuantificación de la sanción impuesta, la recurrente arguye lo siguiente: Por las razones expuestas, solicita que se revoque y deje sin efectos la Resolución Nº. 18952 de 31 de mayo de 2019.
TERCERO. Que mediante la Resolución Nº. 52503 de 7 de octubre de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, confirmando en todas sus partes la Resolución N° 18952 del 31 de mayo de 2019. RESOLUCIÓN NÚMERO 35093 DE 2020 CUARTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución Nº. 17629 de 29 de mayo de 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”.
2. DE LA SUPRESIÓN DE LOS DATOS PERSONALES. La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así́ como la limitación en las posibilidades de divulgación, publicación o Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO 35093 DE 2020 cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales. (…)2. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.
Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.
Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.
Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”3 La autorización es un mecanismo de legitimación del Tratamiento de datos personales, pero no es un título traslaticio de la propiedad del dato. El Responsable y/o el Encargado no son propietarios de los datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el tratamiento de los datos personales de cualquier manera sino solo como lo indica la Constitución y la ley.
La autorización no le permite a Responsables o Encargados obrar de cualquier manera cuando tratan datos personales porque ello atenta contra mandatos constitucionales y legales. Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los datos para que se pueda predicar que estamos frente a un tratamiento lícito de la información mencionada.
En este sentido, la Corte Constitucional, ha señalado lo siguiente: Como es sabido, la supresión de la información es un derecho del titular del dato, previsto en la Ley 1581 de 2012 en los siguientes términos: Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012).
Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. RESOLUCIÓN NÚMERO 35093 DE 2020 “Artículo 8°. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”4. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.
En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el decreto 1074 de 2015) y titulado “REVOCATORIA DE LA AUTORIZACIÓN Y/O SUPRESIÓN DEL DATO”.
“Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.
El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012.
RESOLUCIÓN NÚMERO 35093 DE 2020 personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, los Titulares pueden solicitar la exclusión o supresión de la información que repose en las bases de datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.
En el presente caso, el señor Juan Alberto Acosta Galindo, el 2 de febrero de 2018 presentó una queja ante la Superintendencia de Industria y Comercio contra UNE EPM TELCOMUNICACIONES S.A ya que ha realizado 3 solicitudes para que no le sigan remitiendo cobros a su celular de un contrato que no ha celebrado con la compañía. Lo anterior, en los siguientes términos5: Se destaca que la propia compañía el 6 de febrero6 de 2018 le confirmó al señor Juan Alberto Acosta Galindo que había solicitado el retiro inmediato de su número de teléfono celular al que le enviaban los mencionados mensajes, en los siguientes términos7: El 8 de noviembre de 20178 la recurrente le respondió al quejoso que procedería a “la desactivación de su número telefónico de nuestra base de datos con el fin de evitar que se presenten situaciones similares”.
No obstante lo anterior, la recurrente no obró conforme a su respuesta ya que el 30 de agosto de 2018 le envió otro mensaje de texto respecto del mismo número y contrato. A continuación resumimos lo anterior: Documento con número de radicado 118-064211- -00000-000. Comunicación de la compañía UNE EPM TELCOMUNICACIONES S.A hacia el quejo con número de radicado 1-8519893369616.
Documentos con radicado: 18-64211- -00007-0001 Documento con radicado: 18-64211- -00002-0000 RESOLUCIÓN NÚMERO 35093 DE 2020 Solicitud Respuesta 4 de septiembre de 2017. El Titular manifiesta inconformidad al recibir mensajes de texto cobrando una obligación que no le corresponde en su línea de celular. 7 de septiembre de 2017. El Responsable le solicita al Titular que le “comparta el número de celular al cual le llegan los mensajes de cobro, esto con el fin de poder validar y hacer las respectivas correcciones”. 8 de noviembre de 2017.
El Responsable le responde al Titular que, “se procedió con la desactivación de su número telefónico de nuestra base de datos con el fin de evitar que se presenten situaciones similares”. 6 de febrero de 2018. El Responsable le responde al Titular que, “se procedió con la desactivación de su número telefónico 3045232009 en relación al contrato 13881480 de nuestra base de datos con el fin de evitar que se presenten situaciones similares (…) Respecto a sus casos anteriores, se confirma el ingreso de los mismo y se genera una alerta para que se solucione de raíz su falla”.
(fuera de texto). 30 de agosto de 2018. 3 de noviembre de 2017. El Titular afirma no haber solicitado servicios con la compañía pero que aun así continuaba recibiendo mensajes de cobro a la línea celular 3045232009. 2 de febrero de 2018. El Titular manifiesta nuevamente su inconformidad toda vez que continuaba recibiendo mensajes de texto correspondiente a un cobro de una obligación con la cual no tenían ningún vínculo.
No hay actuar por parte del Titular. De lo anterior se concluye lo siguiente: En primer lugar, no existía una relación contractual entre el quejoso y la recurrente respecto de la línea telefónica a la cual el recurrente le enviaba mensajes de texto para cobrarle servicios respecto del contrato número 13881480. En otras palabras, RESOLUCIÓN NÚMERO 35093 DE 2020 el quejoso no era parte de ese contrato.
Por lo tanto, no existía ningún deber contractual para que el quejoso permaneciera en la base de datos de la recurrente respecto del citado contrato. En segundo lugar, el ciudadano tuvo que elevar por lo menos tres (3) peticiones para que supriman su número telefónico de la bases de datos de la recurrente para que le dejen de enviar mensajes de cobro sobre un servicio que no adquirió. Adicionalmente, la recurrente se demoró no menos de ocho (8) meses para que suprimieran su dato y le dejaran de enviar cuentas de cobro por un servicio que no adquirió con UNE EPM TELECOMUNICACIONES S.A Según el artículo 15 de la Ley 1581 de 2012, las solicitudes de supresión deben resolverse dentro de los quince (15) días hábiles, contados a partir del día siguiente de la fecha de recibo de la solicitud.
Dado lo anterior, no son de recibo los argumentos de la recurrente en el sentido que no incurrió en ninguna infracción de la ley 1581 de 2012. 3. VALORACIÓN PROBATORIA. La Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el derecho fundamental de la protección de datos personales y, de otra, respetar el debido proceso en cabeza de UNE EPM TELECOMUNICACIONES S.A. En línea con lo anterior, tanto la investigación administrativa como la sanción impuesta se hicieron observando lo que ordena la regulación colombiana.
No comparte esta Delegatura el sentir de la recurrente, ya que, esta Entidad efectuó una correcta valoración probatoria en el caso bajo estudio. En primer lugar, el cargo formulado a la recurrente se enmarca en la vulneración al literal a) del artículo 17 de la Ley 1581 de 2012. El mismo, establece un deber para el Responsable de garantizarle al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, en particular el derecho a la supresión del dato previsto en el literal e) del artículo 8 de la Ley 1581 de 2012.
En segundo lugar, garantizar el pleno y efectivo ejercicio de los derechos del Titular no se entiende satisfecho con una mera respuesta en el tiempo legal establecido sin que en la práctica se cumpla lo que se le responde al Titular del Dato. De nada sirve, responder que se suprimirá la información si en la práctica ello no se hace tal y como sucedió en el presente caso.
En tercer lugar, en materia de tratamiento de datos no basta obrar de buena fe sino de forma diligente, profesional y ética. No es correcto, afirmarle al Titular del Dato que se suprimirá la información y no proceder de esa manera en la práctica. Uno de los principios rectores es el de veracidad y calidad de la información. Según el literal d) del artículo 4 de la Ley 1581 de 2012, este principio exige que: RESOLUCIÓN NÚMERO 35093 DE 2020 “La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error”. En otras palabras, el Responsable es quien tiene la carga de asegurar que la información tratada sea veraz, completa y exacta. Por tanto, el ordenamiento supone una diligencia por parte del Responsable para garantizar la calidad del dato. En el caso bajo examen, la recurrente afirma lo siguiente: De esta manera, el Responsable realizó el Tratamiento de la información sin comprobar la veracidad de las mismas y no logró demostrarle a esta Entidad que había podido determinar cuál fue el motivo del error ocasionado.
Lo anterior, crea una mayor incertidumbre del procedimiento que se está utilizando para verificar y comprobar los datos de los Titulares. Esta Delegatura deja en evidencia las inconsistencias o contradicciones que presentan las diferentes respuestas de la recurrente a lo largo de la actuación administrativa. 1. En un primer término (comunicación del 20 de abril de 2018) la recurrente afirma que no cuenta con autorización para el Tratamiento de la información por cuanto el mismo es fruto de una inconsistencia informática en los siguientes términos: 2.
Posteriormente, arguye la recurrente que la información fue aportada por el señor VLADIMIR RENE LATORRE GONZALEZ, en los siguientes términos: Como se observa, la recurrente no cuenta con un procedimiento para verificar y comprobar los datos de los Titulares. RESOLUCIÓN NÚMERO 35093 DE 2020 En cuarto lugar, la recurrente cuando afirma que “mal haría la Superintendencia de Industria y Comercio, en considerar que nuestra compañía utilizó los datos del señor JUAN ALBERTO ACOSTA GALINDO de manera errada (…)”.
Las evidencias muestran que la recurrente utilizó los datos del Titular de forma errada porque no tenía la autorización para realizar dicho Tratamiento respecto del precitado contrato, así como, no había una obligación legal o contractual para hacerlo. Por tanto, el Tratamiento a todas luces es ilícito.
4. LA LIBERTAD DE EMPRESA Y EL DEBIDO TRATAMIENTO DE DATOS PERSONALES. El debido Tratamiento de datos personales no sólo es incompatible con la libertad de empresa, ya que esta no es absoluta y debe realizarse cumpliendo la ley y respetando los derechos humanos. En este sentido, la Constitución Política de Colombia en su artículo 333 reza: “La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley.
La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones. El Estado fortalecerá las organizaciones solidarias y estimulará el desarrollo empresarial. (…)” A punto seguido, la Corte Constitucional ha desarrollado el concepto de la libertad de empresa en los siguientes términos: “aquella (…) que se reconoce a los ciudadanos para afectar o destinar bienes de cualquier tipo (principalmente de capital) para la realización de actividades económicas para la producción e intercambio de bienes y servicios conforme a las pautas o modelos de organización típicas del mundo económico contemporáneo con vistas a la obtención de un beneficio o ganancia. El término empresa en este contexto parece por lo tanto cubrir dos aspectos, el inicial - la iniciativa o empresa como manifestación de la capacidad de emprender y acometer- y el instrumental -a través de una organización económica típica-, con abstracción de la forma jurídica (individual o societaria) y del estatuto jurídico patrimonial y laboral”9.
Más aún, la misma corporación se pronunció respecto de las libertades económicas en un modelo social de mercado en los siguientes términos: “En el modelo de economía social de mercado se reconocen las libertades económicas en cabeza de los individuos, entendidas éstas como la facultad que tiene toda persona de realizar actividades de carácter económico, según sus preferencias o habilidades, con miras a crear, mantener o incrementar su patrimonio; libertades Corte Constitucional.
Sentencia C – 830 del 2010. M.P. Luis Ernesto Vargas Silva. RESOLUCIÓN NÚMERO 35093 DE 2020 que no son absolutas, pudiendo ser limitadas por el Estado para remediar las fallas del mercado y promover desarrollo con equidad.”10 De esta manera, el artículo 21 de la Ley 1581 de 2012 le asigna a la Superintendencia de Industria y Comercio la función de: “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley”11.
En línea con lo anterior, la Dirección de Investigación de Protección de Datos Personales por medio de la Resolución N°18952 del 31 de mayo de 2019, ordenó lo siguiente: Frente a dicha instrucción, la recurrente afirma que: “(…) la SIC optó por ordenar a UNE implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio (…)”12.
El reto de las organizaciones va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, la regulación sobre tratamiento de datos exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. Es decir, no basta con que UNE EPM TELECOMUNICACIONES S.A produzca documentos que esbozan procedimientos, si estos no serán materializados en la práctica.
El respeto de los derechos humanos - en este caso el derecho del debido tratamiento de datos personales- es uno de los límites del bien común que el ordenamiento constitucional le impone a la libertad de empresa. La orden impartida no atenta contra la libertad de empresa sino que busca que la misma se realice respetando la Constitución, la Ley y los derechos humanos. La libertad de empresa tiene limitaciones que se desprenden del citado texto constitucional.
Por lo anterior, no son procedentes los argumentos de la recurrente. 5. GRADUACIÓN Y DOSIMETRÍA PUNITIVA. Corte Constitucional. Sentencia C – 263 del 2011. M.P. Jorge Ignacio Pretelt Chaljub. Literal e) del Artículo 21 de la Ley 1581 de 2012. Expediente, folio 127. RESOLUCIÓN NÚMERO 35093 DE 2020 La recurrente considera que la Dirección de Investigación de Protección de Datos optó por tomar una decisión desproporcionada y en ausencia de un análisis de los factores de graduación de la sanción. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, como lo menciona la Dirección de Investigación de Protección de Datos personales, mediante la sentencia C -748 del 2011, la Corte Constitucional determinó la constitucionalidad del artículo 24 de la Ley 1581 de 2012 en los siguientes términos: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
En segundo lugar, el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. El actuar de la recurrente fue negligente y violatorio de la ley por las razones mencionadas. En tercer lugar, el monto de la multa impuesta no fue el máximo permitido (2000 salarios mínimos legales mensuales –SMLM-) sino de 200 SMLM que es equivalente al 10%.
Debe recordarse que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador, además se tendrán en cuenta los supuestos fácticos y jurídicos planteados en la queja o denuncia del Titular.
En cuarto lugar, la Resolución N°18952 del 31 de mayo de 2019 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.
De ahí que, la decisión emitida se ajuste a Derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En quinto lugar, la ley ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012.
En este orden de ideas, la artículo 23 de la Ley 11581 de 2012, y fue precisamente dentro de tales límites que impuso la sanción. En sexto lugar, es relevante tener presente que UNE EPM TELECOMUNICACIONES S.A trata datos de cerca de cuatro millones de ciudadanos con temas relacionados a cartera. RESOLUCIÓN NÚMERO 35093 DE 2020 Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los datos.
Esta es parte de la información que reportó esa sociedad en el Registro Nacional de Bases de Datos: Siendo esta la situación, la Delegatura confirma que, para la dosificación punitiva, además de lo expuesto hasta el momento, se consideró: el tamaño de la empresa, sus ingresos operacionales, patrimonio y en general, su información financiera.
Lo anterior, de tal manera que la sanción tuviera un efecto disuasorio más no confiscatorio. Esto, como se pudo esbozar en la resolución apelada en los siguientes términos: Por último, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas sobre tratamiento de datos personales no se refieren a la responsabilidad civil de los Responsables de la información. Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental13 a la protección de datos14.
De esta manera, la vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
RESOLUCIÓN NÚMERO 35093 DE 2020 convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”15. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia16.
Así las cosas, recalcamos, la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Aunque las razones anteriores son suficientes para analizar todos los argumentos expuestos en el recurso extemporáneo, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.
Responsabilidad jurídica de los Administradores
6. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.
Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”17. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Cfr. Corte Constitucional, sentencia T-227 de 2003. en: RESOLUCIÓN NÚMERO 35093 DE 2020 El artículo 2618 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”19 Ahora, respecto de la supresión del dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de tratamiento de información y ser comunicados a los titulares de los datos20.
El artículo 22, por su parte, establece que el responsable o encargado del tratamiento debe adoptar “las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean (…) actualizados, rectificados o suprimidos (…)”21. Conforme con esta disposición, y sin necesidad de mayor análisis, es El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento de los datos personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información.” El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases RESOLUCIÓN NÚMERO 35093 DE 2020 evidente la exigencia de la norma en el sentido de asegurarle al titular la posibilidad de supresión de sus datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato personal cuando sea procedente y permitida por el ordenamiento jurídico.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada22(accountability)23”. El término “accountability”24, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza25 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento”.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.
Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
RESOLUCIÓN NÚMERO 35093 DE 2020 apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 26.
(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 27, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”28.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 29. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ RESOLUCIÓN NÚMERO 35093 DE 2020 amenaza de sanciones si no son capaces de ello. Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”30.
Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability).
En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”31 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”32.
7. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES. Según el artículo 22 de la Ley 222 de 199533 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.
Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado.
Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas. Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.
No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18.
Ibidem. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 35093 DE 2020 El artículo 2434 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”35.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo expuesto, se considera imprescindible que los Administradores de la sociedad recurrente implementen en la práctica todo lo que ordena la regulación sobre tratamiento de datos personales.
8. DE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO
49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) Por su parte el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, dispone lo siguiente: Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores.
El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.
Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. RESOLUCIÓN NÚMERO 35093 DE 2020 ARTÍCULO
87. FIRMEZA DE LOS ACTOS ADMINISTRATIVOS. Los actos administrativos quedarán en firme: 1. Cuando contra ellos no proceda ningún recurso, desde el día siguiente al de su notificación, comunicación o publicación según el caso. 2. Desde el día siguiente a la publicación, comunicación o notificación de la decisión sobre los recursos interpuestos. 3.
Desde el día siguiente al del vencimiento del término para interponer los recursos, si estos no fueron interpuestos, o se hubiere renunciado expresamente a ellos. 4. Desde el día siguiente al de la notificación de la aceptación del desistimiento de los recursos. 5. Desde el día siguiente al de la protocolización a que alude el artículo 85 para el silencio administrativo positivo.
(destacamos) De conformidad con las normas anteriormente citadas, este Despacho modificará el artículo primero de la Resolución No. 18952 de 31 de mayo de 2019 para indicar en Unidades de Valor Tributario (UVT)36 el valor de la multa impuesta en pesos colombianos, de conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019. 9.
CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por las siguientes razones: 1. El quejoso presentó a UNE EPM TELECOMUNICACIONES S.A., tres (3) peticiones con el fin de que esta suprimiera su número telefónico de la Base de Datos de clientes. Esto, con el fin de evitar la recepción de constantes mensajes de texto mediante los cuales le cobraban un servicio que no había contratado.
Adicionalmente, la recurrente tardó más de ocho (8) meses en suprimir el Dato del Titular de la línea. 2. De acuerdo con lo establecido en la Ley 1581 de 2012, una (1) solicitud de supresión es suficiente para retirar el Dato del Titular. Por lo que, si la eliminación es procedente, debe realizarse dentro de los quince (15) días hábiles, contados a partir del día siguiente de la fecha de solicitud de la misma. 3.
No existió una relación contractual entre el quejoso y la recurrente respecto de la línea telefónica a la cual UNE EPM TELECOMUNICACIONES S.A le enviaba mensajes de texto para cobrarle servicios respecto del contrato número 13881480. En otras palabras, el quejoso no era parte de ese contrato. Por lo tanto, no existía ningún deber contractual para que el quejoso permaneciera en la base de datos de la recurrente respecto del citado contrato.
4. UNE EPM TELECOMUNICACIONES S.A. incumplió la Ley 1581 de 2012 al no atender oportunamente la solicitud de supresión del Titular de la información. 5. En materia de Tratamiento de Datos Personales no basta obrar de buena fe sino de forma diligente, profesional y ética. No es correcto, afirmarle al Titular del Dato que se suprimirá la información y no proceder de esa manera en la práctica. 6.
Los derechos de las personas deben garantizarse de manera oportuna y correcta. La ley exige a los Responsables del Tratamiento responder dentro de un plazo concreto. Esto quiere decir que, no están facultados para atender las solicitudes que reciban en cualquier momento, sino en el que la ley determine. De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 RESOLUCIÓN NÚMERO 35093 DE 2020
7. UNE EPM TELECOMUNICACIONES S.A. es el Responsable del Tratamiento de más de cuarto (4) millones de personas, razón suficiente para ser muy profesional y diligente en el debido Tratamiento de la información de las personas y garantizar la protección de sus derechos. 8. La violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. 9.
La facultad sancionatoria respecto de las normas de Tratamiento de Datos personales no busca indemnizar los eventuales daños y perjuicios causados por el indebido Tratamiento de esta información, pues, no es un asunto de responsabilidad civil. Así pues, solo es un asunto de responsabilidad administrativa del cual pueden derivar multas y/o sanciones por el solo hecho de incumplir la regulación sobre Tratamiento de Datos personales.
No es necesario que exista un daño o perjuicio para imponer una sanción. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente y las motivaciones expresadas en la resolución recurrida y el acto administrativo que resolvió el recurso de reposición37, concluye este Despacho que la resolución objeto de impugnación fue expedida observando la ley.
De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución 18952 del 31 de mayo de 2019. Para efectos de la notificación se procederá conforme lo ordena el artículo 438 del Decreto Legislativo 491 del 28 de marzo de 2020.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: MODIFICAR el ARTÍCULO PRIMERO de la Resolución No. 18952 de 31 de mayo de 2019 de conformidad con lo expuesto en la parte motiva del presente acto administrativo:
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad UNE EPM TELECOMUNICACIONES S.A identificada con Nit. 900.092.385 de CIENTO Resolución 52503 del 7 de octubre de 2019 El artículo 4 del Decreto Legislativo 491 de 2020 ordena lo siguiente: "Notificación o comunicación de actos administrativos. Hasta tanto permanezca vigente la Emergencia Sanitaria declarada por el Ministerio de Salud y Protección Social, la notificación o comunicación de los actos administrativos se hará por medios electrónicos.
Para el efecto en todo trámite, proceso o procedimiento que se inicie será obligatorio indicar la dirección electrónica para recibir notificaciones, y con la sola radicación se entenderá que se ha dado la autorización. En relación con las actuaciones administrativas que se encuentren en curso a la expedición del presente Decreto, los administrados deberán indicar a la autoridad competente la dirección electrónica en la cual recibirán notificaciones o comunicaciones." RESOLUCIÓN NÚMERO 35093 DE 2020 SESENTA Y CINCO MILLONES SEISCIENTOS VEINTITRÉS MIL DOSCIENTOS PESOS M/cte.
($165.623.200), equivalente a 4651,42247 Unidades de Valor Tributario (UVT), por la violación del literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012; así como del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, conforme a lo señalado en la parte motiva del presente acto administrativo.”
ARTÍCULO SEGUNDO. CONFIRMAR en todas sus partes la Resolución No. 18952 de 31 de mayo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a UNE EPM TELECOMUNICACIONES S.A, identificada con el Nit. 900092385 - 9 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión al señor JUAN ALBERTO ACOSTA GALINDO identificado con la Cédula de Ciudadanía No. 79.719.775, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO QUINTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 06 de Julio de 2020 El Superintendente Delegado para la Protección de Datos Personales ALC RESOLUCIÓN NÚMERO 35093 DE 2020 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: UNE EPM TELECOMUNICACIONES S.A Nit. 900092385 - 9 MARCELO CATALDO FRANCO C.E. 426.572 Carrera 16 11 A SUR 100 Medellín, Antioquia. notificacionesjudiciales@tigo.com.co Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: Andrea María Orrego Ramírez 43.581.512 Carrera 16 11 A SUR 100 Medellín, Antioquia. notificacionesjudiciales@tigo.com.co Comunicación Reclamante XXXXXX: Identificación: Correo electrónico: Ciudad: JUAN ALBERTO ACOSTA GALINDO C.C. Nº 79.719.775 jacostagalindo@hotmail.com Bogotá D.C.