(26 FEBRERO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 18-64963 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que el 2 de febrero de 2018, acorde con el radicado 18-064963- -00000, se presentó ante esta Superintendencia denuncia por la presunta vulneración de normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con NIT 827.000.6167, indicando el denunciante que: 1.1 Estuvo vinculado a la Unión Temporal ICBF 2015, conformada por la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A, RONDACOL LTDA y SEGURIDAD DIGITAL LTDA, desde el 23 de diciembre de 2015 hasta el 15 de marzo de 2016. 1.2 El 15 de marzo de 2016 recibió una carta de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., en la cual se le informó su desvinculación de la organización por no cumplir con el “periodo de adaptación al modelo cooperativo”. 1.3 Posteriormente, solicitó “copia de su contrato de trabajo a la Unión Temporal ICBF 2015 y las empresas que lo conforman”. 1.4 La solicitud aludida en el anterior numeral fue contestada con oficio sin fecha en los siguientes términos: “(…) no es posible allegar la documentación solicitada en consecuencia que la carpeta donde reposaba esta documentación se extravió en el envío de la sede principal a Bogotá, razón por el cual se interpuso denuncio de (sic) estay demás documentación de la Cooperativa”.
(Subraya en texto original)
SEGUNDO: Que en desarrollo de la etapa preliminar se solicitaron y recaudaron los siguientes documentos: 2.1 Oficio con radicado 18-64963-4 del 20 de febrero de 2019, al interior del cual se solicitó a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. lo siguiente: 1. “Sírvase remitir copia de la denuncia presentada ante la Fiscalía General de la Nación por la pérdida o extravió de la carpeta que contenía toda la historia laboral y/o el “convenio de trabajo asociado” del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, quien estuvo vinculado en la COOPERATIVA AUTÓNOMA DE SEGURIDAD desde el 23 de diciembre de 2015 hasta el 15 de marzo de 2016. 2.
Sírvase remitir copia del Manual de Política de tratamiento de datos personales implementado al interior de su organización. 3. Remita copia del procedimiento del ciclo del dato realizado por su organización. 4. Remita copia del manual de atención de consultas y reclamos utilizado por su organización para dar trámite a las solicitudes de los Titulares.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 5. Remita copia del manual de políticas de tratamiento de seguridad implementado por su organización. 6. Informen si tienen implementado procedimientos y protocolos de gestión de incidentes. Sírvase remitir copia de esto. 7. Informe cuál fue el procedimiento adelantado una vez el denunciante puso en conocimiento la situación. 8.
Informe si para la fecha de ocurrencia de los hechos (pérdida o extravío de la historia laboral y/o “convenio de trabajo asociado”), el Titular fue informado sobre la situación. 9. Informe si extraviaron las carpetas de otros Titulares en el incidente que tuvo lugar en sus instalaciones. 10. Indique cuáles fueron las medidas preventivas y correctivas tomadas por la sociedad luego de haberse presentado el incidente para que tales hechos no se vuelvan a presentar.” 2.2 Comunicación con radicado 18-64963-00005 del 7 de marzo de 2019 mediante el cual la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. informó lo siguiente: “1.
(…) Dando alcance al requerimiento adjunto copia de: CONSTANCIA POR PÉRDIDA DE DOCUMENTOS Y/O ELEMENTOS con consecutivo Nr. 103237073718484073 expedida por la Policía Nacional autoridad competente para elevar la denuncian. (…) 2. (…) Dando alcance al requerimiento adjunto copia de: POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES DE LA COOPERATIVA AUTÓNOMA DE SEGURIDAD Codificada con Anexo-SIG-05.
(…) 3. (…) 4. (…) Dando alcance al requerimiento adjunto copia de: INSTRUCTIVO CICLO DEL DATO Codificado con Anexo-SIG-06. (…) 5. (…) Dando alcance al requerimiento adjunto copia de: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” POLÍTICA DE TRATAMIENTO PROTECCIÓN DE DATOS PERSONALES DE LA COOPERATIVA AUTONOMA DE SEGURIDAD Codificada con Anexo-SIG-05, AVISO DE PRIVACIDAD Y AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES Codificado con F-TH-29.
ACTUALIZACIÓN DE DATOS PARA TRABAJADOR ASOCIADO Codificado con F-TH24. (…) 6. (…) Dando alcance al requerimiento informo que el procedimiento y protocolo de gestión de incidentes se tramita por medio del: PROCEDIMIENTO SERVICIO AL CLIENTE Codificado con P-SIG-09 RECLAMACIÓN DE DATOS PERSONALES Codificado con F-TH-30 (…) 7. Dando alcance al requerimiento informo que: Que una vez recibida la petición del señor XXXXXXXXXXX por medio de su apoderado, en la cual solicitaba copia de su hoja de vida con sus anexos, se adelantaron los trámites internos correspondientes para responder a dicha solicitud, en el proceso de recolección de información no se encontró la carpeta que contenía el folio de vida del Sr. En (sic) mención, por tanto, se procede a informarle la situación y de inmediato se eleva denuncia por pérdida de documentos ante la autoridad competente, siguiendo así los procedimientos establecidos por la cooperativa para la protección de datos y activando los protocolos de seguridad frente a este tipo de información,.
(sic) dando así respuesta de fondo a la solicitud del Sr. xxxxxxxxx (sic), así mismo se le adjuntó copia de la denuncia presentada. A nivel interno se tomaron correctivos con el personal responsable y encargado de la custodia de los documentos puntuales, con el objeto de que aun cuando no se podría (sic) resarcir la perdida (sic), así mitigar nuevas ocurrencias. 8.
(…) Dando alcance al requerimiento que: Como fue mencionado en el literal anterior, una vez se tuvo conocimiento de la perdida (sic) de la información fue informado al titular y emitida copia de la denuncia interpuesta ante la autoridad competente. Es importante anotar que el Sr. xxxxxxxxxxx (sic) no interpuso reclamación ante la Cooperativa por el extravío de su hoja de vida con sus anexos, sin embargo, cuando se halló la pérdida de la documentación objeto de la presente investigación fue informado al Titular. 9.
(…) Dando alcance al requerimiento informo que: A la fecha de firma del presente documento no se tiene registro de perdida (sic) de alguna carpeta, ni antes, ni después del incidente. Siendo a hoy el único evento de este tipo. 10. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (…) Dando alcance al requerimiento informo que: Se tomó en cuenta la información recogida en la investigación y la auditoria (sic) interna del caso y conforme a la misma se desarrollo (sic) y diligencio (sic) lo plasmado en el Formato ACCIONES CORRECTIVAS Y PREVENTIVAS Codificado F-SIG-08”.
TERCERO: Que de cara a la denuncia presentada contra la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. y las averiguaciones preliminares llevadas a cabo por el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, se evidenció la presunta violación de las normas de protección de datos personales y en particular las disposiciones contenidas en: i) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y; ii) el literal n) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, mediante la expedición de la Resolución No. 10321 del 30 de abril de 2019 se inició la presente investigación administrativa y se formularon cargos a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. La mencionada resolución fue notificada personalmente el 9 de mayo de 2019 a la investigada, acorde con la constancia de notificación emitida por la Secretaria General Ad-Hoc de esta Superintendencia mediante el radicado 18-64963- -12 del 17 de junio de 2019, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente se comunicó la actuación al denunciante.
CUARTO: Que mediante escrito con radicado 18-064963- -00011 del 29 de mayo de 2019, el representante legal de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., presentó durante el término establecido para tal fin, escrito de descargos.
QUINTO: Que mediante la Resolución No. 47039 del 18 de septiembre de 2019 este Despacho procedió a: (i) incorporar las pruebas obrantes en el expediente; (ii) prescindir del término para el periodo probatorio y; (iii) correr traslado para presentar alegatos de conclusión. Esta resolución fue comunicada el 18 de septiembre de 2019 a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., a través de su representante legal, como consta en la certificación con radicado 18-64963- -18 del 24 de octubre de 2019 de la Secretaria General AdHoc de esta entidad.
SEXTO: Que dentro del término señalado en la Resolución No. 47039 del 18 de septiembre de 2019 para presentar alegatos de conclusión, correspondiente a diez (10) días hábiles, la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. los presentó dentro del término previsto para el efecto, mediante comunicación con radicado 18-64963-00017 del 3 de octubre de 2019.
SÉPTIMO: Que mediante la Resolución No. 53373 del 2 de septiembre de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con NIT. 827.000.616-7, de CIEN MILLONES CINCUENTA Y CINCO MIL SEISCIENTOS SETENTA PESOS M/CTE ($100.055.670) equivalente a DOS MIL OCHOCIENTAS DIEZ (2.810) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración de lo dispuesto en (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem. De igual manera, se ordenó a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con el NIT 827.000.616-7, lo siguiente: “En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 deberá desarrollar y documentar un manual interno a través del cual se describan los procedimientos para garantizar la seguridad en la custodia de la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” información personal a cargo de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A, incluyendo archivos físicos, digitales y magnéticos”.
Adicionalmente, se exhortó al representante legal de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., “para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente el principio de seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.”
OCTAVO: Que la Resolución No. 53373 del 2 de septiembre de 2020 fue notificada por aviso No. 22854 el 16 de septiembre de 2020 a la sociedad investigada, a través de su representante legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 18-64963- -25 del 25 de septiembre de 2020.
NOVENO: Que mediante correo electrónico con radicado 18-64963- -00026 del 29 de septiembre de 2020, a través de su representante legal, la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 53373 del 2 de septiembre de 2020 para que se revoque en su integridad la citada resolución, con fundamento en: 9.1 Alega que la formulación de cargos mediante la Resolución No. 10321 de 2019 y la sanción impuesta con la Resolución No. 53373 de 2020, se sustentan en la presunta vulneración de (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, encontrándose demostrado en esta actuación administrativa que “(…) se desvirtuaron los cargos al demostrar que la carpeta del señor xxxxxx y no está perdida (sic) y que la Cooperativa cuenta con Manual Interno de Políticas y Procedimientos y para atender consultas y reclamos, de que trata el literal k) del artículo 17 de la Ley 1581 de 2012, y que el ‘Manual de Políticas de Seguridad’ es un documento diferente al exigido en la norma supuestamente vulnerada”. 9.2 Arguye que los cargos formulados y la sanción impuesta no están relacionados con los hechos puestos en conocimiento con la denuncia, ya que lo establecido en esta es “1.
Reparación por la pérdida de la carpeta; ii) Se investigue y sancione a la Cooperativa por haberse extraviado la carpeta y otros documentos y iii) Se tome medidas con relación al ente certificador de la Cooperativa, por cuanto la certificación no se compadece con la realidad de la empresa”. 9.3 Invoca la sentencia C-089 del 16 de febrero de 2011, Exp.
D-8206, M.P.: Luis Ernesto Vargas Silva, para concluir que se quebrantó el debido proceso al proferirse una decisión fundamentada en responsabilidad objetiva, la cual está proscrita en la ley y solo pueden proferirse en casos donde la ley lo consagre de forma expresa, y en este caso no se cumplieron los requisitos establecidos en la ley para su procedencia, ya que en la investigación y sanción impuesta “(…) se afectan derechos fundamentales, la sanción no solo es monetaria y el monto de la misma es de mayor entidad”. 9.4 Expresa que se configura una deficiente adecuación típica en el pliego de cargos porque no hay relación entre la norma presuntamente infringida, literal k) del artículo 17 de la ley 1581 de 2012, y la conducta investigada, ya que la norma que posiblemente se vulneró hace referencia a un “manual interno de políticas y procedimientos para garantizar el “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” adecuado cumplimiento de esta ley y en especial, para la atención de consultas y reclamos” mientras que el cargo cuestionó la falta de un manual de seguridad de la compañía, el cual no es exigido por el citado literal k) ni por norma positiva alguna. 9.5 Agrega que, en todo caso, cumplió con el deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 como lo demostró con la respuesta con radicado 18-64963-00005 del 7 de marzo de 2019 con la que aportó “el Manual Interno de Políticas y Procedimientos y de Atención de Consultas y Reclamos”. 9.6 Señala que “(…) el investigador confunde el manual con el principio, desconociendo que el primero se limita a documentar los procedimientos para garantizar el segundo y las medidas adoptadas buscan disminuir el riesgo de la seguridad de la información, sin que sea dable que por presentarse una falla en la seguridad de la información, hay inexistencia del Manual, por cuanto el manual existe por sí mismo”. 9.7 Alega que no incumplió con el deber señalado en el literal n) del artículo 17 de la Ley 1581 de 2012, en consideración a que “( ) el deber de informar se genera únicamente por violaciones a los (sic) ‘Código de Seguridad’ o riesgos en la administración de información contenida en bases de datos, más no en carpetas físicas, por cuanto éstas (sic) no tienen ‘Código de Seguridad’ al no estar contenidas en bases de datos, menos aun cuando la carpeta del Sr. Xxxxxxxx xxxxxx, no contiene información sensible (…)”. 9.8 La recurrente considera que se está cometiendo también una indebida adecuación fáctica porque el literal n) del artículo 17 de la Ley 1581 de 2012 presuntamente infringido, se refiere a que se debe “informar cuando se presentes violaciones a los códigos de seguridad y existan riesgos en la administración de los titulares”, mientras que el cargo formulado es por el “extravío de una carpeta física que contenía la historia laboral del quejoso”. 9.9 Así mismo, expresó que el extravío de una carpeta física es competencia de las autoridades jurisdiccionales, procedimiento llevado a cabo por la recurrente ante la pérdida de la carpeta, la cual, en todo caso, apareció con posterioridad y se encuentra en poder de la Cooperativa. 9.10 Argumenta que “(…) la vinculación del peticionario a la cooperativa estar (sic) ligado al ámbito personal o doméstico, que no cuenta con una naturaleza propia para la divulgación de datos personales, y en este sentido sus implicaciones son diferentes”.
Y agrega, que “(…) los principios y disposiciones contenidas en la ley serán aplicables a los datos personales registrados en cualquier base de datos que lo haga susceptible de tratamiento por entidades de naturaleza pública o privada, excluyendo de aplicación a las a las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico, (…)”.
(Subraya en texto original) 9.11 Aduce que esta Superintendencia no demostró que se hubiese configurado violación a los códigos de seguridad, correspondiéndole la carga de la prueba al investigador y no al investigado. 9.12 Manifiesta que el denunciante no agotó el requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012, en cuanto la petición del 29 de marzo de 2017 presentada por él no cumple con los requisitos de reclamo que predica esta norma porque no hay relación entre la petición y la queja radicada ante la Superintendencia de Industria y Comercio, así como tampoco con los cargos formulados.
Además, indica que el requerimiento que le realizó esta entidad el 22 de diciembre de 2017 tampoco hace las veces de reclamo, ya que se le requirió después de presentada la queja y durante el curso de la investigación. 9.13 Agrega que “(…) el pliego de cargos no indica cuales (sic) fueron las averiguaciones preliminares adelantadas por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, ni las pruebas idóneas recaudadas con mérito para el inicio de la investigación administrativa (…)”. 9.14 Arguye que se incurrió en falsa motivación, abuso del poder y se vulneraron las normas en materia de derecho sancionatorio, en consideración a que se desconoció el artículo 27 del “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Código Civil al exigirse en la formulación del primer cargo un manual de seguridad que “(…) no se exige en la ley y muchos menos para concluir que el manual adoptado es inexistente por haber ocurrido el extravió (sic) de una carpeta, que como se demostró no se ha perdido (sic)”.
Además, en razón a que “(…) adopta una decisión subjetiva y discrecional, que no está adecuada a la queja formulada ni a la norma invocada, adicional a que la sanción no es proporcional a los hechos que le sirven de causa, como se verá más adelante”. 9.15 Expresa que la Superintendencia no probó lo manifestado en la queja ni las conductas que presuntamente se le atribuyeron a la Cooperativa y por las cuales se le formularon cargos, correspondiéndole a la entidad la carga de la prueba y no al investigado.
Añade la recurrente que la Superintendencia desconoció la libertad probatoria y el principio de favorabilidad al no tener en cuenta la prueba aportada por ella. 9.16 Alega que la sanción impuesta es desproporcionada y se estableció por parte de la administración de forma subjetiva y caprichosa al no indicar el procedimiento utilizado para su cuantificación, por lo cual le es imposible ejercer su derecho de defensa.
Además que, se le impuso una sanción superior a 2000 UVT, a pesar que no incurrió en los criterios de graduación previstos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012. 9.17 En cuanto a la sanción impuesta, también señala que es “(…) desproporcionada, improcedente, indebida e injustificada (…)”, en consideración a que la Cooperativa sí cumplió con el deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012. 9.18 Solicita que “(…) se ACLARE y precise la orden impartida, en el sentido de indicar cuales (sic) son las deficiencias del manual frente a la política de tratamiento de seguridad implementado por la Cooperativa, y que (sic) debemos cambiar o mejorar del mismo (…)”. 9.19 Pide que se revoque la Resolución No. 53373 de 2020 con fundamento en las causales del artículo 93 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, al “(…) haber sido expedida con desconocimiento de las normas constitucionales y legales para este tipo de actuaciones respecto del debido proceso, carga de la prueba y proporcionalidad de la sanción”.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO PRIMERO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 11.1 El recurso fue interpuesto por el representante legal de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución No. 53373 del 2 de septiembre de 2020 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 11.1.1 La sociedad investigada fue notificada por aviso No. 22854 el 16 de septiembre de 2020 de la Resolución No. 53373 del 2 de septiembre de 2020, a través de su representante legal, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 18-64963- -25 del 25 de septiembre de 2020. 11.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 1 de septiembre de 2020 a través de correo electrónico con radicado 18-64963- -00026 del 29 de septiembre de 2020, encontrándose presentado dentro del término legal.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 11.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución No. 53373 del 2 de septiembre de 2020, los cuales fueron expuestos en el numeral considerativo noveno de esta resolución. 11.3 Respecto de los documentos aportados como pruebas por la recurrente.
Mediante el correo electrónico con radicado 18-64963- -00026 del 29 de septiembre de 2020, allegó lo siguiente: 11.3.1 Escrito de recurso de reposición y en subsidio de apelación. 11.4 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio. Al respecto, si bien la recurrente en el recurso de reposición y en subsidio de apelación que interpone, a través de su representante legal, mediante radicado 18-64963- -00026 del 29 de septiembre de 2020, no indica la dirección o correo electrónico para ser notificada, este Despacho, en aras de garantizar el debido proceso y el derecho de defensa que le asiste a la recurrente, y en razón a que se conoce del expediente de la presente actuación administrativa la dirección física y electrónica de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., se considera que no hay óbice para rechazar el recurso por la omisión de lo previsto en el numeral 4 del artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo.
DÉCIMO SEGUNDO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en nueve aspectos, a saber: (i) congruencia entre los hechos investigados, los mencionados en la denuncia y los sancionados en el acto administrativo impugnado, (ii) responsabilidad objetiva y el debido proceso, (iii) inexistencia de la vulneración del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, (iv) inexistencia de la vulneración del deber contemplado en el literal n) del artículo 17 de la Ley 1581 de 2012, (v) falta de agotamiento del requisito de procedibilidad, (vi) carga de la prueba, (vii) proporcionalidad de la sanción impuesta, (viii) orden impartida en el acto administrativo impugnado y;
(ix) de las pretensiones. 12.1 Respecto a la congruencia entre los hechos investigados, los mencionados en la denuncia y los sancionados en el acto administrativo impugnado La recurrente señala que la denuncia tiene “(…) tres temas principales: 1) Reparación por la pérdida de la carpeta; ii) Se investigue y sancione a la Cooperativa por haber extraviado la carpeta y otros documentos y, iii) Se tome medidas con relación al ente certificador de la Cooperativa, por cuanto la certificación no se compadece con la realidad de la empresa”.
Agrega que la formulación de cargos con Resolución No. 10321 de 2019 y la sanción impuesta a través de la Resolución No. 53373 de 2020, se basan en la presunta vulneración de: “i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, por cuanto no se acreditó que la organización contara con el manual de políticas de seguridad.
(ii) el (sic) literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, por no informar a la autoridad de protección de datos acerca del incidente consistente en el extravío de la carpeta que contenía la historia laboral del señor xxxxxxxxxxxxxxxxxxxxx”. Aunado con lo anterior, la recurrente arguye que las situaciones que dieron lugar a los cargos formulados y sancionados distan del objeto de la denuncia, a pesar de que esta es clara.
Ahora bien, este Despacho procede a indicar que en la Resolución No. 53373 de 2020 se explicó lo siguiente: “Así mismo, es necesario aclarar que el acto de formulación de cargos no solo halla su sustento en los hechos denunciados, sino que esta Dirección, adicionalmente, tuvo en cuenta el resultado de las averiguaciones preliminares adelantadas por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, de acuerdo con lo previsto en el artículo 47 del “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Código de Procedimiento Administrativo y de lo Contencioso Administrativo, con el fin de contar con las pruebas idóneas con mérito para el inicio de una investigación administrativa de carácter sancionatorio.
Es imperioso, además, destacar que la petición del denunciante siempre estuvo encaminada a solicitar la carpeta que contiene sus datos personales, y que fue la investigada quien le informó que: “no es posible (…) allegar la documentación solicitada en consecuencia (sic) que la carpeta donde reposaba esta documentación se extravió en el envío de la sede principal a Bogotá”1, estas afirmaciones fueron plasmadas en el considerando primero de la Resolución 10321 del 30 de abril de 2019; motivo por el cual, la petición presentada a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A sí guarda relación con el requerimiento efectuado ante este Despacho, pues el denunciante tras evidenciar el extravío de su documentación puso en conocimiento dicha situación ante esta Superintendencia”.
Como lo ha señalado este Despacho, es claro que el objeto de la denuncia 2 fue poner en conocimiento de esta Superintendencia la pérdida de la carpeta física que contiene datos personales del Titular, por lo cual se procedió dentro del marco del artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (en adelante CPACA) a realizar las averiguaciones preliminares.
Al respecto, es necesario señalar que, ante una denuncia, a través de averiguaciones preliminares esta autoridad administrativa concluye si posiblemente se incurrió en una infracción al Régimen de Protección de Datos Personales por parte de la denunciada frente a los hechos presentados en la denuncia, como se predica en el caso objeto de la sanción impuesta en la Resolución No. 53373 de 2020.
En todo caso, es necesario aclarar que en el escenario en el que tras realizarse las averiguaciones preliminares se determine que posiblemente se incurrió por parte del Responsable y/o Encargado del Tratamiento en infracciones que no están relacionadas directamente con los hechos materia de la denuncia, también se pueden formular cargos por parte de este Despacho.
Esto en consideración a que esta Superintendencia debe garantizar el pleno cumplimiento del Régimen de Protección de Datos Personales y no solo algunos aspectos de este, lo cual se fundamenta en el artículo 19 de la Ley 1581 de 2012 que encargó a “[l]a Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de los datos personales se respeten los principios, derechos, garantías y procedimientos previstos en esta ley”, así como en el literal b) del artículo 21 de la Ley 1581 de 2012 que la faculta para iniciar investigaciones administrativas, incluso, de oficio.
De manera que, este Despacho formuló cargos a través de la Resolución No. 10321 de 2019 basándose en la denuncia presentada mediante el radicado 18-064963- -00000 del 2 de febrero de 2018 y en estricto cumplimiento del procedimiento reglado previsto en el artículo 47 del CPACA, encontrándose que tanto la formulación de cargos como la Resolución No. 53373 de 2020, por la cual se impone una sanción y se imparte una orden, no distan de los hechos puestos en conocimiento por parte del denunciante a esta Superintendencia. Aun así, se advierte que en virtud del artículo 19 y el literal b) del artículo 21 de la Ley 1581 de 2012, esta entidad tiene la potestad de indagar más allá de los hechos estrictamente enunciados en una denuncia para garantizar el cabal cumplimiento del Régimen de Protección de Datos Personales. 12.2 Respecto de la responsabilidad objetiva y el debido proceso La recurrente alega que a través de la Resolución No. 53373 de 2020 se “(…) vulnera los principios del derecho administrativo sancionatorio, por incorporar una sanción por responsabilidad objetiva sin estar expresamente consagrada por la ley, y por desconocer los principios del debido proceso aplicables a estas actuaciones (…)”, invocando la sentencia C-089 del 16 de febrero de 2011, Exp.
D-8206, M.P.: Luis Ernesto Vargas Silva, y concluyendo que: “[e]l debido proceso se vulneró en la investigación y la sanción impuesta a COAUTONOMA, por cuanto está (sic) se fundamenta en la responsabilidad objetiva sin que se cumplan los requisitos jurisprudencialmente establecidos para su procedencia, toda vez que con la misma se afectan derechos fundamentales, la sanción no solo es monetaria y el monto de la misma es de mayor entidad”.
Respuesta a petición anexa al radicado 18-064963-00000 del 2 de febrero de 2018. 2 Con radicado 18-064963-00000 del 2 de febrero de 2018. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Frente a lo expuesto por la recurrente, este Despacho precisa que la responsabilidad objetiva en materia de derecho administrativo sancionatorio no es procedente, por regla general.
Al respecto, la Corte Constitucional, a través de la sentencia C-699/15, indicó: “El objeto del derecho administrativo sancionatorio es la prevención de las conductas que ponen en riesgo o lesionan bienes protegidos por el ordenamiento jurídico, a través de procedimientos que deben garantizar el debido proceso. En reiteradas ocasiones la Corte se ha pronunciado en el sentido de que la determinación de la responsabilidad administrativa, requiere que la infracción se haya realizado con dolo, o con culpa, como elemento que debe concurrir para la imposición de la sanción. En efecto, en la Sentencia C-597 de 1996, esta Corporación precisó que en materia sancionatoria administrativa está proscrita toda forma de responsabilidad objetiva y las faltas sólo son sancionables a título de dolo o culpa: “La Corte coincide con el actor en que en Colombia, conforme al principio de dignidad humana y de culpabilidad acogidos por la Carta (CP arts. 1º y 29), está proscrita toda forma de responsabilidad objetiva en materia sancionadora.” La culpabilidad constituye un elemento subjetivo esencial sobre el cual se edifica la responsabilidad administrativa.
(…)”. (Se subraya fuera de texto) Aunado con el pronunciamiento jurisprudencial, se precisa que la Delegatura de Protección de Datos Personales en ejercicio de su potestad de vigilancia en el cumplimiento del Régimen de Protección de Datos Personales, despliega su facultad sancionatoria en los términos previstos en el artículo 21 de la Ley 1581 de 2012; de manera que, al demostrarse dentro de una actuación administrativa que la investigada cometió o está cometiendo una infracción contra este régimen, es sancionada por esta autoridad administrativa.
Adviértase que se debe configurar un actuar negligente por parte de la investigada para que sea sancionable, es decir que se predique una responsabilidad subjetiva y no objetiva. En el caso concreto, este Despacho impuso una sanción pecuniaria a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. al encontrarse demostrado su actuar negligente en el cumplimiento de los deberes previstos en: i) El literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, al probarse dentro de la actuación administrativa que la sociedad no cuenta con un manual de políticas y procedimientos que garantice la seguridad de la información frente a la administración de los datos de los titulares. ii) El literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, al evidenciarse en la actuación administrativa que la investigada no informó a esta Superintendencia sobre las violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares.
Nótese que por los dos cargos vulnerados, en forma alguna se sancionó dentro de un marco de responsabilidad objetiva, ya que se valoró que la investigada incumplió deberes que le son exigibles y de obligatorio cumplimiento en calidad de Responsable del Tratamiento. Ahora bien, la recurrente al indicar que se sancionó con fundamento en la responsabilidad objetiva expresó que se debían cumplir con los requisitos jurisprudenciales previstos para esta responsabilidad, los cuales se quebrantaron porque “( ) se afectan derechos fundamentales, la sanción no solo sea monetaria y el monto de la misma es de mayor entidad (…)”.
Al respecto, si bien como quedó expuesto por este Despacho en los párrafos anteriores, no se sancionó bajo criterios de responsabilidad objetiva, más aún cuando esta no es dable en el derecho administrativo sancionatorio, es menester aclarar: i) Dentro del expediente 18-64963, no se ha vulnerado ningún derecho fundamental de la investigada.
Al único derecho de esta clase al que hace referencia la recurrente es al de debido proceso, previsto en el artículo 29 de la Constitución Política de Colombia, el cual no se trasgredió porque el procedimiento surtido en esta actuación administrativa y la sanción impuesta a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” C.T.A. COAUTONOMA C.T.A. se enmarcaron en garantía de los derechos al debido proceso, defensa y contradicción, y acorde con el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III de la Ley 1437 de 2011 y en lo no previsto en él, con el procedimiento administrativo general del Capítulo II del Título III de la misma ley.
Precisamente, en garantía del derecho al debido proceso de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., en estricta aplicación del procedimiento administrativo sancionatorio esta Superintendencia: • A partir de la denunciante interpuesta con radicado 18-064963- -00000 del 2 de febrero de 2018, realizó las averiguaciones preliminares obrantes en el expediente del radicado 18-064963-00000 al 18-064963-00005, con base en las cuales se inició una investigación administrativa y se formularon cargos mediante la Resolución No. 10321 del 30 de abril de 2019.
En esta resolución se señalaron de forma clara y precisa los hechos que la originaron, la sociedad objeto de investigación, las normas presuntamente vulneradas y las sanciones del artículo 23 de la Ley 1581 de 2012 procedentes en caso de demostrarse la vulneración de los deberes presuntamente infringidos. Esto, en cumplimiento del artículo 47 del CPACA que dispone: “(…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.
Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.
(…)”. • En la Resolución No. 10321 del 30 de abril de 2019 otorgó a la investigada un término de 15 días para que presentara descargos y aportara y/o solicitara las pruebas que pretendía hacer valer dentro de la investigación, garantizando su derecho de defensa y contradicción, acorde con el citado artículo 47 que dispone: “(…) Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer.
(…)”. • Notificó personalmente a la investigada de la Resolución No. 10321 del 30 de abril de 2019, como consta en la certificación con radicado 18-64963- -12 del 17 de junio de 2019 de la Secretaria General Ad-Hoc de esta Superintendencia. Esto en acatamiento del antedicho artículo 47 que dispone “(…) [e]ste acto administrativo deberá ser notificado personalmente a los investigados.
Contra esta decisión no procede recurso. (…)”, así como del artículo 67 del CPACA que establece: “ARTÍCULO 67. NOTIFICACIÓN PERSONAL. Las decisiones que pongan término a una actuación administrativa se notificarán personalmente al interesado, a su representante o apoderado, o a la persona debidamente autorizada por el interesado para notificarse.
En la diligencia de notificación se entregará al interesado copia íntegra, auténtica y gratuita del acto administrativo, con anotación de la fecha y la hora, los “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” recursos que legalmente proceden, las autoridades ante quienes deben interponerse y los plazos para hacerlo.
El incumplimiento de cualquiera de estos requisitos invalidará la notificación. La notificación personal para dar cumplimiento a todas las diligencias previstas en el inciso anterior también podrá efectuarse mediante una cualquiera de las siguientes modalidades: 1. Por medio electrónico. Procederá siempre y cuando el interesado acepte ser notificado de esta manera.
La administración podrá establecer este tipo de notificación para determinados actos administrativos de carácter masivo que tengan origen en convocatorias públicas. En la reglamentación de la convocatoria impartirá a los interesados las instrucciones pertinentes, y establecerá modalidades alternativas de notificación personal para quienes no cuenten con acceso al medio electrónico.
(…)”. • Con la Resolución No. 47039 del 18 de septiembre de 2019, comunicada el 18 de septiembre de 2019 a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., a través de su representante legal, como consta en la certificación con radicado 18-64963- -18 del 24 de octubre de 2019 de la Secretaria General Ad-Hoc incorporó las pruebas obrantes en el expediente, prescindió del término probatorio y corrió traslado a la investigada por el término de 10 días para que, en ejercicio de sus derechos de defensa y contradicción, presentara alegatos de conclusión. Esto con fundamento en las siguientes normas del CPACA: “ARTÍCULO 40.
PRUEBAS. Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales. (…)
ARTÍCULO 48. PERÍODO PROBATORIO. (…) Vencido El periodo probatorio se dará traslado al investigado por diez (10) días para que presente los alegatos respectivos”. • La Resolución No. 53373 del 2 de septiembre de 2020, mediante la cual se impuso una sanción, individualizó a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. objeto de sanción, valoró los hechos y pruebas obrantes en el expediente 18-64963 fundamento de la sanción, señaló las normas vulneradas frente a los hechos probados e indicó claramente la sanción impuesta.
Además, en dicha resolución informó a la investigada que contra la resolución procedían los recursos de reposición y en subsidio de apelación. Esto con fundamento en: “ARTÍCULO
49. CONTENIDO DE LA DECISIÓN. El funcionario competente proferirá el acto administrativo definitivo dentro de los treinta (30) días siguientes a la presentación de los alegatos. El acto administrativo que ponga fin al procedimiento administrativo de carácter sancionatorio deberá contener: 1. La individualización de la persona natural ó jurídica a sancionar. 2.
El análisis de hechos y pruebas con base en los cuales se impone la sanción. 3. Las normas infringidas con los hechos probados. 4. La decisión final de archivo o sanción y la correspondiente fundamentación.
ARTÍCULO
74. RECURSOS CONTRA LOS ACTOS ADMINISTRATIVOS. Por regla general, contra los actos definitivos procederán los siguientes recursos: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque. 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito.
(…)
ARTÍCULO 76. OPORTUNIDAD Y PRESENTACIÓN. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por aviso, o al vencimiento del término de publicación, según el caso. Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez.
Los recursos se presentarán ante el funcionario que dictó la decisión, salvo lo dispuesto para el de queja, y si quien fuere competente no quisiere recibirlos podrán presentarse ante el procurador regional o ante el personero municipal, para que ordene recibirlos y tramitarlos, e imponga las sanciones correspondientes, si a ello hubiere lugar.
El recurso de apelación podrá interponerse directamente, o como subsidiario del de reposición y cuando proceda será obligatorio para acceder a la jurisdicción. (…)”. • La Resolución No. 53373 del 2 de septiembre de 2020 fue notificada por aviso No. 22854 el 16 de septiembre de 2020 a la sociedad investigada, a través de su representante legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 18-64963- -25 del 25 de septiembre de 2020.
Esto con base en: “ARTÍCULO
69. NOTIFICACIÓN POR AVISO. Si no pudiere hacerse la notificación personal al cabo de los cinco (5) días del envío de la citación, esta se hará por medio de aviso que se remitirá a la dirección, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, acompañado de copia íntegra del acto administrativo.
El aviso deberá indicar la fecha y la del acto que se notifica, la autoridad que lo expidió, los recursos que legalmente proceden, las autoridades ante quienes deben interponerse, los plazos respectivos y la advertencia de que la notificación se considerará surtida al finalizar el día siguiente al de la entrega del aviso en el lugar de destino”. ii) El artículo 23 de la ley 1581 de 2012 establece las sanciones que puede imponer esta Superintendencia a los Responsables y Encargados del Tratamiento, en caso de configurarse una violación al régimen de protección de datos personales.
Estas sanciones pueden ser: (i) multas, (ii) suspensión de las actividades relacionadas con el Tratamiento, (iii) cierre temporal de las actividades relacionadas con el Tratamiento y; (iv) cierre inmediato y definitivo de las operaciones relacionadas con el Tratamiento de datos sensibles. En el caso particular, además de la sanción pecuniaria, se impartió una orden a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. Sobre ello, es necesario tener en cuenta que en virtud del artículo 21 de la Ley 1581 de 2012 esta entidad puede impartir órdenes, incluso de oficio, para garantizar el cumplimiento de esta ley y salvaguardar el derecho fundamental de hábeas data y su efectivo ejercicio.
En este caso, la orden impartida busca garantizar la seguridad de los datos personales de los Titulares. Así las cosas, esta entidad dentro de las investigaciones administrativas en materia de protección de datos personales puede imponer, de acuerdo con los fundamentos fácticos y jurídicos, las sanciones previstas en el artículo 21 de la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Además, en todo momento puede impartir órdenes administrativas, con el fin de garantizar el cumplimiento del Régimen General de Protección de Datos Personales y el efectivo ejercicio del derecho de hábeas data de los Titulares. iii) En cuanto a que la sanción impuesta no es de menor entidad, téngase presente que el literal a) del artículo 23 de la Ley 1581 de 2012 establece que la sanción pecuniaria impuesta puede ser de hasta 2000 SMMLV3, es decir equivalente para el 2020 a cuarenta y nueve mil trescientos cinco (49.305) unidades de valor tributario – UVT4.
Así, teniendo en cuenta que la sanción impuesta en la Resolución No. 53373 del 2 de septiembre de 2020 asciende a CIEN MILLONES CINCUENTA Y CINCO MIL SEISCIENTOS SETENTA PESOS M/CTE ($100.055.670) equivalente a dos mil ochocientas diez (2.810) UVT, la sanción impuesta a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. corresponde al 5,69% de la sanción máxima que esta Superintendencia puede imponer en virtud del citado artículo 23.
Además, para la dosificación de la sanción este Despacho no solo tuvo en cuenta los criterios del artículo 24 de la Ley 1581 de 2012, sino que también el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.
De acuerdo con lo anteriormente expuesto, dentro de esta actuación administrativa se respetó el debido proceso y la sanción impuesta a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. es producto de su actuar negligente frente a los deberes previstos en el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y; el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, no siendo la multa consecuencia de un juicio de responsabilidad objetiva. 12.3 Respecto de la inexistencia de la vulneración del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 La recurrente arguye que quedó demostrado que se dio cumplimiento al deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 y la Superintendencia incurrió en una deficiente adecuación típica al formular cargos por falta de un manual de políticas de seguridad cuando el literal k) hace referencia es a “(…) un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos (…)”.
A su vez, señala que “no existe norma positiva que exija el mentado ‘Manual de Políticas de Seguridad’, de tal manera que el ente de control no podía formular cargos y mucho menos sancionar, por un manual que no es obligatorio para el responsable del tratamiento de los datos y/o que no está incluido en la norma que se reputa como incumplida”.
Añade que a esta actuación administrativa aportó el Manual Interno de Políticas y Procedimientos de Atención de Reclamos y Consultas, el cual contiene “(…) todos los aspectos regulados en la Ley 1581 de 2012, y la política de tratamiento de seguridad implementado por la Cooperativa, el cual se adoptó conforme a los criterios fijados por la Superintendencia en la ‘Cartilla de formatos modelo para el cumplimiento de obligaciones establecidas en la ley 1581 de 2012 y sus decretos reglamentarios’ (…)”.
La recurrente se refiere al artículo 22 de la Ley 1581 de 2012, citando la sentencia C-748/11, e indica que “(…) la facultad sancionatoria es una manifestación del ius punendi, razón por la cual está sometido a los principios de legalidad, tipicidad, debido proceso, proporcionalidad e independencia.” 3 El salario mínimo mensual legal vigente del año 2020 era de OCHOCIENTOS SETENTA Y SIETE MIL OCHOCIENTOS TRES PESOS M/CTE ( $877.803).
La unidad de valor tributario – UVT para la vigencia 2020 era de treinta y cinco mil seiscientos siete ($ 35.607). “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La recurrente alega que la Superintendencia confunde el manual de políticas de seguridad con el principio de seguridad5, en consideración a que a través de los procedimientos incorporados en el manual se garantiza el principio y se mitigan los riesgos en la seguridad de la información. Agrega que es erróneo afirmar que una falla en la seguridad de la información implica la inexistencia del manual porque “(…) el manual existe por sí mismo”.
Así mismo, la recurrente expresa que la Superintendencia incurrió en una valoración subjetiva, toda vez que el hecho que no le guste el manual adoptado por la sociedad no implicaba que se sancionara por ello y cometió un error “(…) al considerar que la mentada norma sanciona las fallas en la seguridad de la información, cuando en realidad exige unos documentos con unos requisitos mínimos, que también fueron cumplidos por la Cooperativa”.
Agrega que la Superintendencia incurrió en desviación de poder y falsa motivación al invocar que la norma del literal k) del artículo 17 de la Ley 1581 de 2012 debe ser analizada de manera armónica e integral, lo cual llevó a que se exigiera un manual que no prevé la ley y se desconociera lo previsto en el artículo 27 del Código Civil que señala que “cuando el sentido de la ley sea claro, no se desatenderá su tenor literal a pretexto de consultar su espíritu”.
Si bien la recurrente objeta los fundamentos de la Resolución No. 53373 de 2020 de esta Superintendencia, en cuanto a la existencia de la vulneración del deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, se traen a colación apartes de dicho acto administrativo para dar mayor claridad sobre los argumentos que se expondrán en este acápite.
Estos apartes son: “El literal k) del artículo 17 de la Ley 1581 de 2012 impone a los Responsables del Tratamiento de datos desarrollar manuales y procedimientos para garantizar el cumplimiento de esa Ley, en este sentido, fue el legislador quien estableció este deber como una norma que debe ser analizada en conjunto con las demás disposiciones de la misma normatividad, para fijar su sentido y alcance.
En este orden de ideas, es imperioso advertir que cada una de las normas del ordenamiento jurídico se deben analizar de manera armónica e integral, con el fin de entender la finalidad de la misma y así determinar con claridad cuál es el incumplimiento a las disposiciones legales para la protección de datos personales. Así pues, para el caso bajo estudio la formulación de cargos se efectuó con base en lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, pues el manual interno tiene que contener procedimientos idóneos que garanticen la implementación de políticas de seguridad, que estén en concordancia con el literal g) del artículo 4 de la ley referida y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, estos preceptos deben estudiarse de manera conjunta y coordinada, con el fin de determinar claramente la infracción a las normas sobre protección de datos personales. Bajo este derrotero, precisamente en la formulación de cargos se hizo mención al manual de políticas de seguridad, pues este principio fue el que se vulneró en el caso que nos ocupa, al extraviarse la carpeta física con los soportes de la hoja de vida del denunciante, reiterando que si bien en el literal k) del artículo 17 de la ley en comento no se nombra de manera expresa ‘Manual de Políticas de seguridad’, este Despacho hizo alusión a las demás normas concordantes, en virtud del principio de legalidad.
Por lo anterior, es palmario que la Autoridad de Protección de Datos ha encontrado que el deber que le asiste a la investigada como responsable del tratamiento, es de garantizar la seguridad de la información, deber que se materializa a través de la implementación de procedimientos documentados, como en el caso que nos ocupa”. Aunado con lo expuesto en la Resolución No. 53373 de 2020, el principio de seguridad previsto en el literal g) del artículo 4 de la Ley 1581 de 2012 establece que “[l]a información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, derivándose de este principio, entre otros, el deber previsto La recurrente no es clara y explícita al señalar a cuál principio se refiere; no obstante, por contexto este Despacho infiere que hace referencia al principio de seguridad.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” en el literal k) del artículo 17 de la Ley 1581 de 2012. Sobre este principio, la sentencia C-748/11, preceptúa: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto "diluvio de datos", a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre”.
(Se subraya fuera de texto) En desarrollo del principio de seguridad, se deben adoptar todas las medidas eficaces y necesarias para evitar la pérdida de información de los Titulares y así prevenir desde perjuicios económicos hasta los relacionados con los ámbitos personales y de buen nombre. Esas medidas se plasman en políticas y procedimientos que adopte el Responsable del Tratamiento a través de un manual interno de seguridad, a fin que dé cumplimiento a ellos y garantice de forma real la seguridad de los datos personales de los Titulares.
Por su parte, el artículo 4 de la Ley 1581 de 2012, en el cual se desarrollan los principios que rigen esta ley, establece que “[e]n el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…)”. Así las cosas, el literal k) del artículo 17 de la Ley 1581 de 2012 se interpreta de forma armónica e integral con los principios del artículo 4 de la Ley 1581 de 2012, dentro de los cuales se encuentra el principio de seguridad que cobra suma importancia para evitar que derechos como el de hábeas data, la intimidad y el buen nombre del Titular se vean afectados ante la “(…) adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (…)” que se puedan presentar y que son susceptibles de evitarse con la adopción y materialización de las políticas y procedimientos en materia de seguridad.
Además, dentro de este marco de interpretación armónica e integral debe tenerse en cuenta que el literal k) del artículo 17 de la Ley 1581 de 2012 al establecer que “(…) en especial, para la atención de consultas y reclamos; (…)” no excluye la adopción de manuales internos para aspectos diferentes a la atención de consultas y reclamos. Por el contrario, al indicar en su primera parte “[a]doptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley (…)” hace referencia a que el manual interno o manuales internos, debe(n) contener todos los aspectos necesarios, suficientes y eficaces para que proporcione pleno cumplimiento a los mandatos establecidos en la Ley 1581 de 2012, entre ellos que se garantice la seguridad de la información en desarrollo del literal g) del artículo 4 de esta ley.
Al respecto, el Decreto Único Reglamentario 1074 de 2015 en su artículo 2.2.2.25.6.1 dispone: “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. Tipo de Tratamiento. 4. Los riesgos potenciales que referido tratamiento podrían causar sobre los derechos de los titulares.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En respuesta a un requerimiento la Superintendencia Industria y Comercio, los Responsables deberán suministrar a una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. (Se subraya fuera de texto) Por su parte, es necesario traer a colación lo preceptuado por la Corte Constitucional sobre el método de interpretación gramatical previsto en el artículo 25 del Código Civil, en sentencia C054/16, a saber: “La Corte advierte, en cambio, que el método gramatical de interpretación debe enfrentarse a varias dificultades, relacionadas tanto con el derecho constitucional como con la teoría del derecho y la filosofía contemporánea del lenguaje. 12.1.
En primer lugar, se ha señalado en esta sentencia que el derecho legislado, al expresarse mediante el lenguaje ordinario, tiene atributos propios de ambigüedad y vaguedad que llevan a que las reglas sean usualmente indeterminadas y que solo se muestren determinables cuando se considere el contexto en que son aplicadas. Adicionalmente, cuando se trata de normas construidas bajo la estructura propia de los principios, su aplicación dependerá en toda circunstancia de su armonización concreta en cada caso particular, cuando son ponderadas frente a otras reglas y principios en tensión. Además, de una manera más general, la filosofía del lenguaje desde mediados del siglo anterior ha hecho énfasis en que la significación de los textos, entre ellos las normas jurídicas, no es estático sino esencialmente dinámico y opera como una variable dependiente del uso que de esas expresiones haga la comunidad lingüística de que se trate, que en el caso analizado corresponde a los intérpretes de las previsiones contenidas en el orden jurídico.
En contrario, la norma legal demandada supone que las previsiones legales pueden tener, cuando son “claras”, un significado estático e inmanente, cualidades que no son posibles cuando se trata de formulaciones jurídicas expresadas en lenguaje natural. Lo anterior no implica, en modo alguno, que en muchas ocasiones el método gramatical sea útil para comprender el derecho.
Con todo, estos escenarios no se derivan de la claridad intrínseca del lenguaje jurídico, sino a que en contextos determinados las posibilidades interpretativas son escasas, por lo que el intérprete puede fácilmente llegar a la conclusión sobre la univocidad del precepto, pero en razón a que el escenario en que es aplicado no ofrece mayores retos sobre su comprensión. (…)”.
(Se subraya fuera de texto) De acuerdo con la anterior jurisprudencia, la interpretación gramatical no es absoluta y para el caso objeto de análisis, el deber del literal k) del artículo 17 de la Ley 1581 de 2012 se interpreta en el marco de los principios previstos en esta norma. En este orden de ideas, es claro que el cargo por la presunta vulneración del literal k) del artículo 17 de la Ley 1581 de 2012 y que se encontró demostrado que se infringió por parte de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., sí incluye dentro del manual interno de políticas y procedimientos el manual interno de seguridad, en razón a lo anteriormente expuesto sobre la interpretación armónica e integral que se realiza de la Ley 1581 de 2012 y que da lugar a que el deber desconocido por la sociedad se interprete en armonía con el principio de seguridad.
Así mismo, lo hasta aquí explicado desvirtúa lo rebatido por la recurrente en el sentido de que no hay norma que exija el manual interno de seguridad, que se incurrió en falsa motivación, desviación de poder y que se tomó una decisión de forma arbitraria. Acorde con esto y respetándose el principio de legalidad, en la formulación de cargos con Resolución No. 10321 de 2019 se señalaron las normas concordantes al deber presuntamente vulnerado y se indicó que posiblemente se infringía el deber porque no se acreditó la adopción de un manual interno de políticas y procedimientos de seguridad, lo cual era dable en la formulación de cargos por la interpretación armónica e integral expuesta.
Así mismo, en garantía del derecho al debido proceso y en estricta aplicación del artículo 47 del CPCA este Despacho señaló que presuntamente se infringía el deber previsto en el mencionado literal k) al no acreditarse la existencia del manual interno de seguridad y de esta manera, este Despacho señaló de forma clara y precisa los hechos que dieron lugar al inicio de la investigación y las normas presuntamente vulneradas.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” A su vez, respecto a lo señalado por el recurrente sobre que este Despacho confunde el principio de seguridad con el manual interno de seguridad, de acuerdo con lo arriba señalado el principio se desarrolla a través de varios deberes, entre ellos el de adoptar el manual interno de políticas y procedimientos de seguridad y contrario a lo expresado por el recurrente en el sentido que “(…) el manual existe por sí mismo (…)”, es menester destacar que es mandatorio la adopción del manual interno de seguridad, cuyo contenido está sujeto al análisis que realice la sociedad sobre los riesgos en materia de seguridad que se presenten o puedan presentarse para sí. Por su parte, y concomitante con lo anterior, en cuanto a la “Cartilla de formatos modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos complementarios”, en el numeral 3.1 se señalan los criterios mínimos para la Política de Tratamiento de Datos Personales al indicar: “Dicho Manual no debe confundirse con las políticas de tratamiento de la información, las cuales deben contener, como mínimo, lo siguiente: - Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del responsable del tratamiento de los datos.
Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando no se haya informado mediante aviso de privacidad. Derechos que tiene el titular de la información. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y/o revocar la autorización. (…)”.
(Se subraya fuera de texto) Nótese que los criterios a los que hace referencia la cartilla son los mínimos que debe contener la Política de Tratamiento de Datos Personales y no, como lo señala la recurrente, a los criterios mínimos del manual interno de seguridad. De manera que, no es de recibo argüir que la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. tiene un manual interno de políticas y procedimientos de seguridad al adoptar un documento con los aspectos mínimos para una política de tratamiento de información personal, ya que es mandatorio que establezca las políticas y procedimientos de seguridad independientemente de que se encuentren en un manual exclusivo para ello o incorporado en un documento existente.
En la política de tratamiento de información personal a la que hacer referencia la recurrente, no están incluidas, de modo alguno, las políticas y los procedimientos de seguridad. Además es la sociedad quien debe establecer el contenido del manual de acuerdo con sus riesgos en materia de seguridad y ni la Ley 1581 de 2012 ni sus decretos reglamentarios establecen los criterios mínimos que debe contener.
Además, en esta actuación administrativa la investigada no acreditó que adoptó un manual interno que contenga las políticas y procedimientos de seguridad tendientes a evitar “su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”. Por último, en relación a la facultad sancionatoria que es manifestación del jus punendi invocada por el recurrente dentro del marco de la sentencia C-748/11, es preciso señalar lo dispuesto por dicha sentencia de control de constitucionalidad a la Ley 1581 de 2012, a saber: “Este poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos".
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión”. Sobre la materia, se aclara a la recurrente que los principios de legalidad, tipicidad, debido proceso, proporcionalidad e independencia que componen la potestad sancionatoria y que son desarrollados en el anterior fragmento de la citada sentencia, se enmarcan dentro del análisis que efectuó la Corte Constitucional al estudiar, específicamente, la constitucionalidad del capítulo II, referente a procedimientos y sanciones, del título VII, sobre los mecanismos de vigilancia y sanción. En conclusión, este Despacho no realizó una valoración subjetiva del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, así como tampoco incurrió en falsa motivación ni desviación de poder, ya que (i) se encontró demostrado que no acreditó la adopción de un manual interno de políticas y procedimientos de seguridad, (ii) se configuró una apropiada adecuación típica en la formulación de cargos con la Resolución No. 10321 de 2019, ya que en virtud de la interpretación armónica e integral de la Ley 1581 de 2012 y los principios que esta consagra, en particular el de seguridad, el mencionado literal k) también implica la adopción de un manual interno de políticas y procedimientos de seguridad y;
(iii) la adopción de una política de protección de datos personales con los criterios mínimos para ella no corresponde a la adopción de un manual interno de seguridad, más aún cuando para este manual la normatividad no establece unos criterios mínimos sino que depende de la configuración que realice la sociedad dentro del marco de los riesgos de seguridad, presentes o potenciales, que haya identificado para sí. 12.4 Respecto de la inexistencia de la vulneración del deber contemplado en el literal n) del artículo 17 de la Ley 1581 de 2012 La recurrente expresa que no se vulneró el deber de “[I]nformar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”, ya que el deber de informar no se predica de carpetas físicas porque estas no tienen códigos de seguridad al no encontrarse en bases de datos “(…) menos aún, cuando la carpeta del Sr. xxxxxxxxxxxxxxx, no contiene información sensible ya que está conformada únicamente por la hoja de vida y los soportes de la misma (…) información laboral que no es susceptible de tratamiento por cuanto es de uso personal y doméstico para la empresa (…)” de tal manera que el extravío es competencia de las autoridades jurisdiccionales”.
Agrega que la Superintendencia de Industria y Comercio incurrió en una indebida adecuación típica porque el cargo se formuló por “(…) no haber informado del extravío de una carpeta física que contenía la historia laboral del quejoso (…)”, lo cual dista del deber contemplado en el literal n) del artículo 17 de la Ley 1581 de 2012. Además, señala que no se puede desconocer que, si bien se extravió la carpeta, esta se encuentra en su poder.
Añade que no está de acuerdo con indicado por la Superintendencia de Industria y Comercio respecto de que “(…) la información de la historia laboral se recopiló con el fin de alimentar una base de datos de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. para el proceso de vinculación de su personal y el desarrollo de un objeto social, el cual se desborda ampliamente de la esfera personal”, porque “(…) de una parte, la Superintendencia no tiene prueba de que ello sea así, y por la otra, en razón a que el peticionario como cooperado, se vinculó exclusivamente para ese contrato, una vez suscrito, y no para otros contratos ni para participar en el proceso de selección, de tal manera que su información no es pública ni ha sido divulgada”.
Ahora bien, se entra a analizar los aspectos recurridos respecto de la sanción impuesta por la vulneración del deber del literal n) del artículo 17 de la Ley 1581 de 2012. En primer término, en consideración a que el grueso de los argumentos expuestos por la recurrente ya habían sido invocados en el escrito de alegatos de conclusión6 y analizados por este Despacho en la Radicado 18-064963- -00017 del 3 de octubre de 2019.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Resolución No. 53373 de 2020, se traen extractos de lo ya señalado en la citada resolución para continuar, con el respectivo examen. Esta resolución en lo ateniente indica: “Para empezar, es necesario recordar que el responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo medidas de seguridad idóneas, que garantice la custodia de los datos personales que tiene a su cargo, y en ese sentido le es imperativo reportar ante la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
La Ley 1581 de 2012 prevé este deber de la siguiente manera: Ley 1581 de 2012 "ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares." (…) (…) Artículo 19.
Autoridad de protección de datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley ( )” Así, es primordial recordar que el fundamento de este cargo se dio en razón a que la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A no informó a la autoridad de protección de datos acerca del incidente consistente en el extravío de la carpeta Que contenía la historia laboral del señor xxxxxxxxxxxxxxxxxxxxxxxx, quien estuvo vinculado con la investigada desde el 23 de diciembre de 2015 hasta el 15 de marzo de 2016.
En relación con este cargo, la investigada afirma que “la autoridad de protección de datos se genera cuando existan violaciones a los "Códigos de Seguridad' o riesgos en la administración de información contenida en bases de datos, más no en carpetas físicas que no tienen “Código de Seguridad” pues no están contenidas en base de datos.” Para dilucidar este punto, es del caso citar el contenido del artículo 3 de la ley 1581 de 2012, así: ARTÍCULO 3o.
DEFINICIONES. Para los efectos de la presente ley, se entiende por (…) b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; (…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
(…) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. De acuerdo con lo anterior, haciendo una lectura básica de lo preceptuado en la Ley 1581 de 2012, cualquier operación que se haga sobre datos personales constituye tratamiento.
En el mismo sentido, conforme a la definición dada por esa norma el conjunto organizado de datos personales es considerado “base de datos”, como en el caso que nos ocupa, la información personal del denunciante, contenida en la carpeta extraviada por la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A. De este modo, es claro que el objeto de la presente actuación administrativa debe estudiarse a la luz de las disposiciones normativas contenidas en el Régimen General de Protección de Datos.
Sobre este vocablo, la Corte Constitucional precisó lo siguiente en el numeral 2.5.9 de la Sentencia C-748 de 2011: “(…) cuando el proyecto se refiere al tratamiento, hace alusión a cualquier operación que se pretenda hacer con el dato personal, con o sin ayuda de la informática, pues a diferencia de algunas legislaciones, la definición que aquí se analiza no se circunscribe únicamente a procedimientos automatizados.
Es por ello que los principios, derechos, deberes y sanciones que contempla la normativa en revisión incluyen, entre otros, la recolección, la conservación, la utilización y otras formas de procesamiento de datos con o sin ayuda de la informática. En consecuencia no es válido argumentar que la ley de protección de datos personales cobija exclusivamente el tratamiento de datos que emplean las nuevas tecnologías de la información, dejando por fuera las bases de datos manuales, lo que resultaría ilógico, puesto que precisamente lo que se pretende con este proyecto es que todas las operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia. En este orden de ideas, esta definición no genera problema alguno de constitucionalidad y por tanto será declarada exequible7” (Negrita fuera del texto original) En este punto, es del caso aclarar que los datos personales también son objeto de protección y de un tratamiento donde se contemplen unas políticas adecuadas que garantice la seguridad de los mismos y así evitar su adulteración, pérdida (situación ocurrida en el caso bajo estudio), consulta, uso o acceso no autorizado o fraudulento, por lo que no es de recibo el argumento bajo el cual, por no tratarse de datos sensibles, no se encuentran cobijados dentro la Ley.
En este punto es oportuno recordar que el cargo analizado se basa en no haber informado a la autoridad de protección de datos acerca de las violaciones a los códigos de seguridad, por tanto, no cobra relevancia, en el caso particular, determinar si la investigada trató información sensible, pues en todo caso, la conducta que entra a analizarse es la que se ha señalado.
Dicho esto, encuentra esta Dirección que la investigada en sus argumentos de defensa sostuvo que los hechos materia de investigación se encuentran dentro de las excepciones que prevé el artículo 2 de la ley 1581 de 2012, sustentándose en que sus bases de datos están dentro del ámbito exclusivamente personal o doméstico, afirmación que no comparte el Despacho, de conformidad con las consideraciones esgrimidas por la Corte Constitucional en la sentencia C748 de 2011, que se citan a continuación: “El primer contenido normativo del literal a) tiene tres elementos: (i) hace referencia a datos personales, (ii) contenidos en bases de datos (iii) “mantenidos en un ámbito exclusivamente personal o doméstico”.
El último elemento, que es el cuestionado por el interviniente, se refiere al ámbito de la intimidad de las personas naturales; ciertamente, los ámbitos personal y doméstico son las esferas con las que tradicionalmente ha estado ligado el derecho a la intimidad, el cual, en tanto se relaciona con la posibilidad de autodeterminación como un elemento de la dignidad humana, no puede predicarse de las personas jurídicas.
Por tanto, esta excepción busca resolver la tensión entre el derecho a la intimidad y el derecho al habeas data. Así, en tanto los datos mantenidos en estas esferas (i) no están destinados a la circulación ni a la divulgación, y (ii) su tratamiento tampoco puede dar lugar a consecuencias adversas para el titular, tiene sentido que su tratamiento esté exceptuado de algunas disposiciones del proyecto.
Por ejemplo, no sería razonable Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” que la protección de los datos personales mantenidos en estos ámbitos (por ejemplo, un directorio telefónico doméstico) estuviera a cargo de la sometido al régimen sancionatorio que prevé el proyecto.
Ahora bien, no puede entenderse que el primer contenido normativo del literal a) se extienda al tratamiento de cualquier dato cuando circule internamente, como pretende ASOBANCARIA. En primer lugar, si bien es cierto una de las razones por las cuales la excepción del literal a) es razonable es porque los datos “mantenidos en un ámbito exclusivamente personal o doméstico” no están destinados a circular, de ahí no se sigue que todo dato que no circula o circula internamente deba ser exceptuado, pues para que opere la excepción, por voluntad del legislador, se requiere además que los datos sean mantenidos por una persona natural en su esfera íntima.
Ciertamente, se trata de dos hipótesis diferentes.8” (Negrita fuera del texto original) La Corte continúa el análisis a esta excepción señalando: “(…) no hay razones para concluir que, en el contexto de una regulación general y mínima del habeas data, el tratamiento de datos que circulan internamente merezca las mismas consecuencias jurídica del tratamiento de datos “mantenidos en un ámbito exclusivamente personal o doméstico”; en otras palabras, no hay argumentos constitucionales que lleven a concluir que las dos hipótesis deben recibir el mismo trato legal.
El que los datos no circulen o circulen internamente, no asegura que su tratamiento no pueda tener consecuencias adversas para su titular. Piénsese por ejemplo en las hojas de vida de los empleados de una empresa mantenidas en el ámbito interno; si bien no van a ser divulgadas a terceros, su tratamiento y circulación interna sí puede traer consecuencias negativas para el titular del dato (por ejemplo, en términos sancionatorios o de ascensos), razón por la cual deben estar sujetas a las reglas generales que consagra el proyecto de ley9” (Subrayado y negrita fuera del texto original) De acuerdo con lo expuesto, se aclara que el ámbito personal o doméstico se refiere cuando la información se recopila para un uso eminentemente íntimo y cuya finalidad no se ata a la circulación de la información. Para el caso concreto, es evidente que la información de la historia laboral se recopiló con el fin de alimentar una base de datos de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A para el proceso de vinculación de su personal y el desarrollo de un objeto social, el cual se desborda ampliamente de la esfera personal.
De igual manera, el ámbito personal o doméstico al estar ligado a un contexto íntimo, no cuenta con una naturaleza propia para la divulgación de datos personales, y en este sentido sus implicaciones son diferentes. Ahora bien, cuando hablamos de la base de datos que almacena una Cooperativa, como en el caso que nos ocupa, es claro que esta información debe ser regulada por la ley, para disponer las condiciones en las que se debe efectuar el tratamiento de dicha información, máxime cuando no es comparable la actividad económica que ejerce una sociedad con la de una persona natural, en donde la última de ellas si pertenece a un ámbito personal o doméstico.
Igualmente, se le aclara a la investigada que las violaciones a los códigos de seguridad y los riesgos en la administración de la información de los Titulares, también se predican de las carpetas físicas, pues tal como se dijo anteriormente, esta información es un dato personal y por tal razón debe tener un tratamiento con procedimientos con el fin de garantizar el cumplimiento de la Ley 1581 de 2012, especialmente lo concerniente al principio de seguridad.
En este punto, es necesario precisar que el reproche que se le hace a la investigada es de no haber reportado ante esta Superintendencia las violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los Titulares, al margen de si se trata de datos sensibles o no, motivo por el cual los argumentos expuestos se encuentran desestimados.
De igual manera, la investigada afirma que: “la carpeta fue ubicada y la documentación se encuentra en poder de la Cooperativa, situación que desvirtúa el cargo por sustracción de materia”. Al respecto, se le aclara que este hecho no es relevante, debido a que la obligación 8 Ibídem. Ibídem. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” legal que le asiste a la investigada es reportar ante esta Superintendencia cuando el hecho ocurra, por tanto, las circunstancias que hayan sobrevenido de este hecho (encontrar dicha carpeta), no guardan relación con el cargo bajo estudio, pues lo cierto es que se encuentra debidamente probado dentro del plenario que no cumplió con el deber como responsable al omitir informar a esta Superintendencia que se habían violado los códigos de seguridad, por tanto, este argumento planteado por la sociedad tampoco está llamado a prosperar.
Así las cosas, es evidente que la manera idónea para desvirtuar este cargo es demostrar que efectivamente si se informó a esta Superintendencia acerca de las violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares, situación que no ocurrió. En consecuencia, este cargo será objeto de sanción”.
En concordancia con el análisis efectuado por este Despacho en la Resolución No. 53373 de 2020, y teniendo en cuenta las definiciones del artículo 3 de la Ley 1581 de 2012 y la sentencia C-748 de 2011, el tratamiento de datos personales se realiza o no a través de herramientas tecnológicas o informáticas; de manera que, la recolección, almacenamiento, uso, circulación o supresión de los datos personales se puede efectuar de forma manual o física, por lo cual el Tratamiento llevado a cabo por la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. a través de carpetas físicas que contienen datos personales, en particular, de la historia laboral de los cooperados, son sometidas a Tratamiento en los términos de la Ley 1581 de 2012.
Asimismo, las bases de datos pueden organizarse tanto en medio físico como electrónico, que para el caso que nos atañe, se realizó en una carpeta que contiene la información del denunciante y está sujeta a Tratamiento en aplicación del Régimen General de Protección de Datos Personales. De manera que, las carpetas físicas sí son bases de datos y en consecuencia, en la medida en que se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de los datos de los Titulares es imperativo que se informe sobre ello a esta Superintendencia. Por su parte, contrario a lo señalado por la recurrente en el sentido de que no solo la carpeta física no es una base de datos (como ya se indicó sí lo es), sino que la información contenida en ella es personal y doméstica y por ello, no está sometida a la Ley 1581 de 2012 acorde con el literal a) del artículo 2 de esta norma, este Despacho aclara que en la carpeta física del denunciante reposan datos personales relacionados con su historia laboral y personal10, así como copias de sus documentos personales.11 Además, esta información fue recolectada y almacenada por la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. para desarrollar su objeto social y en razón a la vinculación laboral del denunciante del 23 de diciembre de 2015 hasta el 15 de marzo de 201612 con “(…) la Unión Temporal ICBF 2015, conformada por la COOPERATIVA AUTONOMA DE SEGURIDAD – COAUTONOMA C.T.A, RONDACOL LTDA Y SEGURIDAD DIGITAL LTDA (…)”13.
En el certificado de existencia de representación legal14 de la compañía se indica que su objeto social es: Tanto de la vinculación laboral como del objeto social se encuentra que la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. presta servicios de vigilancia y para ello se vale de sus trabajadores asociados. Para la vinculación de los trabajadores en desarrollo de su objeto social, indefectiblemente la compañía debe recolectar y almacenar información laboral de ellos.
En consideración a esto, respecto a lo señalado por la recurrente sobre que esta Superintendencia no tiene pruebas de lo manifestado en la Resolución No. 53373 de 2020 en el sentido de que “la información de la historia laboral se recopiló con el fin Anexos al escrito de descargos con radicado 18-064963- -00011 del 29 de mayo de 2019. Ibídem.
De acuerdo con lo señalado en la denuncia con radicado 18-064963 del 2 de febrero de 2018. Ibídem. Anexa al escrito de descargos con radicado 18-064963- -00011 del 29 de mayo de 2019. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de alimentar una base de datos de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. para el proceso de vinculación de su personal y el desarrollo de un objeto social, la cual se desborda ampliamente de la esfera personal”, es evidente que este Despacho se basó en el acervo probatorio obrante en el expediente y, en consecuencia, se reitera que la carpeta física objeto de esta actuación administrativa es una base de datos que no está exceptuada de Tratamiento porque no es de uso exclusivamente personal y doméstico.
Sobre lo señalado por la recurrente respecto que el denunciante “(…) se vinculó exclusivamente para ese contrato, de tal manera que su información no es pública ni ha sido divulgada”, se precisa que hay Tratamiento de información personal independientemente de la finalidad y temporalidad del Tratamiento. Adicional, en la medida en que la información no es pública debe someterse a Tratamiento y regirse por el principio de acceso y circulación restringida prevista en el literal f) del artículo 4 de la Ley 1581 de 2012.
En cuanto a lo invocado por la recurrente sobre que los datos del denunciante que se encuentran en la carpeta no son sensibles, se reitera que los datos personales son objeto de Tratamiento en los términos de la Ley 1581 de 2012 y debe garantizarse la seguridad de los mismos, entre otros, de su pérdida, lo cual no se limita a los datos de naturaleza sensible.
Teniendo en cuenta el estudio anterior, por parte de este Despacho no hubo una indebida adecuación típica por la presunta vulneración del literal n) del artículo 17 de la Ley 1581 de 2012 porque la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. debió informar en su calidad de Responsable de la información sobre la pérdida de la carpeta, la cual es una base de datos sujeta a Tratamiento.
Es de señalar que por ser la Superintendencia de Industria y Comercio garante del respeto a los principios, derechos, garantías y procedimientos de la Ley 1581 de 2012 en el Tratamiento de los datos personales, acorde con el artículo 19 de esta ley, y quien adelanta las investigaciones para salvaguardar el derecho de hábeas data, según el literal b) del artículo 21 de la Ley 1581 de 2012, la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. debió informar a esta autoridad administrativa del extravío de la carpeta del denunciante, no siendo de recibo lo argüido por ella en el sentido que la competencia por la pérdida de la carpeta recae sobre las autoridades jurisdiccionales y no en esta Superintendencia. Además, aunque la carpeta haya sido encontrada por la compañía con posterioridad a la denuncia interpuesta, ello no desconoce que se presentó la pérdida durante un lapso de tiempo y ello vulneró la seguridad de la información del Titular, lo cual debió ponerse en conocimiento de esta entidad.
En síntesis de lo anterior, la carpeta extraviada con la información del denunciante contiene datos personales, que se encuentran en custodia de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., quien realiza Tratamiento de forma manual y que, ante la pérdida de los mismos, tiene el deber de informar de la pérdida a esta Superintendencia, quien detenta la competencia en su calidad de garante del Régimen General de Protección de Datos Personales. 12.5 Respecto de la falta de agotamiento del requisito de procedibilidad La recurrente realiza una síntesis de lo indicado en el escrito de descargos y los alegatos de conclusión, así como de lo señalado en la Resolución No. 53373 de 2020, respecto del agotamiento del requisito de procedibilidad en esta actuación administrativa y concluye que “(…) el pliego de cargo es claro en indicar que el acto administrativo de iniciación de la investigación administrativa y formulación de cargos, se genera con ocasión de la solicitud presentada por el señor xxxxxxxxxxxxxxxxxxxxxxx de investigar a la Cooperativa por presunto incumplimiento de la Ley 1581 de 2012, por la pérdida de la carpeta que contiene sus datos personales, conducta que es diferente a las indicadas en la apertura y en la sanción, referida a que no se acreditó que la organización contara con el manual de políticas de seguridad y por no informar a la autoridad de protección de datos acerca del incidente consistente en el extravío de la carpeta que contenía la historia laboral del señor xxxxxxxxxxxxxxxxxxxxx; igualmente, el pliego de cargos no indica cuales (sic) fueron las averiguaciones preliminares adelantadas por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, ni las pruebas idóneas recaudadas con mérito para el inicio de la investigación administrativa ce carácter sancionatorio, que sustentan os (sic) cargos formulados”.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ahora bien, como se manifestó en la Resolución No. 53373 de 2020, el artículo 16 de la Ley 1581 de 2012 no establece ninguna formalidad para el agotamiento del requisito de procedibilidad, más allá de lo previsto en los artículos 15 y 16 de la mentada norma, los cuales principalmente se refieren a los términos y trámites que debe llevar a cabo el Responsable o Encargado del Tratamiento tras la recepción del reclamo o consulta.
Frente a la insistencia de la recurrente respecto de la falta de agotamiento del requisito de procedibilidad se hace necesario hacer unas consideraciones adicionales por este Despacho. En primer lugar, el artículo 19 de la Ley 1581 de 2012 establece las facultades otorgadas a esta Superintendencia para el ejercicio de la función de vigilancia encaminada a garantizar que en el Tratamiento de datos personales se respeten los principios, derecho y garantías y procedimientos previstos en dicha norma.
Igualmente, el literal b) del artículo 21 de la Ley 1581 de 2012, señala que esta Superintendencia puede “[a]delantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos (…)”.
La disposición citada anteriormente significa que la reclamación previa presentada por el denunciante ante la investigada, es un requisito indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición del interesado, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que per se le asiste a la entidad sin necesidad de agotar ningún requisito de procedibilidad.
Asimismo, en consideración a la potestad atribuida a esta Superintendencia a través de las citadas normas, tras las averiguaciones preliminares puede formular cargos por cualquiera de los deberes que determine presuntamente vulnerados por el Responsable o Encargado del Tratamiento, incluso si no están directamente relacionados con los hechos puestos a su conocimiento a través de la denuncia, más aún cuando no está dentro de la órbita del Titular de la información determinar prima facie en la denuncia los deberes que posiblemente se vulneraron.
Por último, en cuanto a lo señalado por la recurrente sobre que en la formulación de cargos no se indican cuáles fueron las averiguaciones preliminares, téngase presente que en el artículo segundo de la parte considerativa de la Resolución No. 10321 de 2019, por la cual se inicia una investigación administrativa y se formulan cargos, se indica que “(…) en desarrollo de la etapa preliminar se solicitaron y se recaudaron los siguientes documentos: 2.1 Oficio número 18-64963 del 20 de febrero de 2019, al interior del cual se solicitó a la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. lo siguiente: (…) 2..2 Comunicación con radicado el número 18-064963-00005 del 7 de marzo de 2019 mediante el cual la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. informó lo siguiente: (…)”, encontrando méritos esta autoridad en la formulación de cargos y dando estricto cumplimiento al procedimiento administrativo sancionatorio del artículo 47 del CPACA. 12.6 Respecto de la carga de la prueba La recurrente expresa que la carga de la prueba le corresponde al investigador, quien en esta actuación administrativa la invirtió y sancionó a la sociedad por no lograr desvirtuar los cargos que le fueron formulados.
Además, “(…) que el investigador desconoció la prueba aportada por la investigada, desconociendo la libertad probatoria y el principio de favorabilidad que legalmente tiene”. Al respecto, este Despacho entrará a hacer una serie de aclaraciones sobre el concepto de la carga probatoria. El Código de Procedimiento Civil señaló en su artículo 177 lo siguiente: “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen”.
En su lugar, el legislador en el vigente artículo 167 del Código General del Proceso, reiteró la misma disposición y agregó lo siguiente: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “(…) No obstante, según las particularidades del caso, el juez podrá, de oficio o a petición de parte, distribuir, la carga al decretar las pruebas, durante su práctica o en cualquier momento del proceso antes de fallar, exigiendo probar determinado hecho a la parte que se encuentre en una situación más favorable para aportar las evidencias o esclarecer los hechos controvertidos.
La parte se considerará en mejor posición para probar en virtud de su cercanía con el material probatorio, por tener en su poder el objeto de prueba, por circunstancias técnicas especiales, por haber intervenido directamente en los hechos que dieron lugar al litigio, o por estado de indefensión o de incapacidad en la cual se encuentre la contraparte, entre otras circunstancias similares.
Cuando el juez adopte esta decisión, que será susceptible de recurso, otorgará a la parte correspondiente el término necesario para aportar o solicitar la respectiva prueba, la cual se someterá a las reglas de contradicción previstas en este código”. Lo anterior exige bajo la regla de la carga dinámica de la prueba que la parte que se encuentre en una situación más favorable es quien tiene que probar ese determinado hecho, sea por decisión oficiosa del juez o a petición de parte.
Por ello, la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. está en mejor posición para probar, por lo cual en esta actuación administrativa era a quien le correspondía demostrar que dio cumplimiento a los deberes de los literal k) y n) del artículo 17 de la Ley 1581 de 2012. De manera que, incluso en gracia de discusión frente a que esta Superintendencia tuviese que aportar pruebas, se le recuerda a la sociedad investigada que (i) la carga probatoria de la no vulneración del deber legal la ostenta esa organización y (ii) que en el procedimiento administrativo sancionatorio no existe una contraparte como en el proceso judicial administrativo, por cuanto es el Estado, a través de las entidades de vigilancia y control dispuestas para realizar las sanciones pertinentes, quien, en principio y en desarrollo de sus potestades sancionatorias, adelanta la actuación administrativa sin tener en cuenta una contraparte; por ello, no es procedente considerar que sea esta entidad la llamada a aportar y controvertir pruebas en la investigación administrativa que la misma está adelantando.
Por otra parte, en cuanto al desconocimiento del principio de favorabilidad que invoca la recurrente por no tenerse en cuenta la prueba por ella aportada, es necesario aclarar que el principio de favorabilidad, propio del derecho penal y que es extensible al derecho administrativo sancionatorio, se refiere a la aplicación de la ley procedimental o sustancial más favorable a los intereses de la persona cuando se presenta un conflicto de leyes en cuanto a su vigencia. De manera que, la forma en que se invocó este principio en el recurso de reposición y en subsidio de apelación se deslinda del concepto de este principio.
Además, no se vulneró el principio del libertad probatoria porque en cumplimiento del procedimiento previsto en el artículo 47 del CPACA, con la Resolución No. 10321 de 2019 se notificó e informó a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. que podía aportar o solicitar las pruebas que pretendía hacer valer dentro de la actuación administrativa sin limitársele a ningún tipo de prueba, por lo cual la compañía estaba en toda la facultad de aportar o solicitar cualquier medio de prueba que prevé la legislación colombiana.
La sociedad allegó pruebas documentales a través de escrito de descargos con radicado 18-064963- -00011 del 29 de mayo de 2019, las cuales fueron valoradas por este Despacho al proferir la Resolución No. 53373 de 2020. Por último, en virtud del principio de responsabilidad demostrada es a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. a quien le corresponde demostrar que ha adoptado todas las medidas, políticas y procedimientos con eficacia real, es decir que no se queden simplemente en el papel, para la salvaguarda del derecho de hábeas data de los titulares, resaltando este Despacho que el principio de responsabilidad demostrada busca que se realicen acciones concretas que efectivamente garanticen este derecho.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Sobre este principio, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 – titulado Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Nótese como le corresponde al Responsable del Tratamiento probar que ha puesto en marcha medidas adecuadas, útiles y eficaces para cumplir la regulación. Lo anterior significa que un administrador no puede utilizar cualquier tipo de política o herramienta para dicho efecto sino solo aquellas que sirvan para que los postulados legales no sean meras elucubraciones teóricas sino realidades verificables.
Así mismo, adviértase que es al Responsable quien debe implementar acciones de diversa naturaleza15 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo principio, exige que los Responsables del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. 12.7 Respecto de la proporcionalidad de la sanción impuesta La recurrente alude que la sanción impuesta es “(…) desproporcionada, improcedente, indebida e injustificada (…)”, en consideración a que se demostró que la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. no incumplió con del deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012.
Además, no se menciona el procedimiento adoptado para cuantificar la sanción, siendo el monto impuesto un valor caprichoso y subjetivo. Señala la recurrente que se contradice el Despacho porque indica una sanción de 2.810 UVT y en otro aparte se refiere a una sanción correspondiente a cincuenta millones veintisiete mil ochocientos treinta y cinco pesos M/CTE ($ 50’027.835), equivalente a mil cuatrocientas cinco (1.405) UVT.
Añade que se impuso una sanción superior a 2000 UVT cuando la sanción máxima es de $ 71’214.000, teniendo en cuenta que de acuerdo con la Resolución DIAN 000084 del 28 de noviembre de 2018, el valor de la UVT para el 2020 era de $ 35.607, y no se incurrió en ninguna de las causales de agravación previstas en los literales b), c), d) y e) el artículo 24 de la Ley 1581 de 2012.
Ahora bien, en lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;
Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
De acuerdo con estos criterios de graduación, este Despacho, en primer lugar se refiere al previsto en el literal a) del artículo 24 de la Ley 1581 de 2012. Dentro de su marco, se encuentra que a lo largo de la presente investigación se demostró la infracción cometida por la recurrente, específicamente respecto de los deberes previstos en (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem. El primero de ellos, por la negligencia de la recurrente respecto del cumplimiento del deber de “adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”, del cual se evidenció que la sociedad no cuenta con un Manual Interno de Políticas y Procedimientos de Seguridad.
Por su parte, por la indebida diligencia respecto del cumplimiento del deber de “informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”, demostrado al no acreditar la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. que informó a esta Superintendencia sobre la pérdida de la carpeta del Titular contentiva de datos sobre su historia laboral.
Así pues, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de las infracciones al Régimen General de Protección de Datos Personales se configuró un peligro a los interés del Titular contemplados en la Ley 1581 de 2012, de manera que sí se encontró demostrado en esta actuación administrativa la vulneración de los deberes previstos en los literales k) y n) del artículo 17 de la Ley 1581 de 2012 que dieron lugar a la imposición de la sanción pecuniaria a través de la Resolución No. 53373 de 2020.
Ahora bien, este Despacho aclara a la recurrente que para la disminución del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23, le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del Tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.
Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro los intereses jurídicos tutelados por la ley, ya que se demostró que la sociedad incumplió con los deberes previstos en (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem. Ahora bien, el literal a) del artículo 23 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio puede imponer a título de sanción “[m]ultas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción (…)”, por lo cual para el año 2020 la sanción máxima por violación del régimen general de protección de datos personales ascendía a mil millones setecientos cincuenta y cinco mil seiscientos seis pesos M/CTE ($ 1.755.606.000), teniendo en cuenta que para la vigencia 2020 el salario mínimo mensual legal vigente era de ochocientos mil setecientos setenta mil ochocientos tres pesos M/CTE ($ 877.803).
Por su parte, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente”. (Se subraya fuera de texto) De acuerdo con las dos normas anteriores, el monto de la sanción del citado literal a) es hasta 2.000 salarios mínimos mensuales vigentes y su cálculo se determina en unidades de valor tributario – UVT, así el monto de la sanción máxima a imponer es de 2000 SMML, equivalentes para el 2020 a cuarenta y nueve mil trescientos cinco (49.305) unidades de valor tributario – UVT16.
Para finalizar, la Resolución No. 53373 de 2020 impuso una sanción de cincuenta millones veintisiete mil ochocientos treinta y cinco pesos M/CTE ($ 50.027.835), equivalente a mil cuatrocientas cinco (1.405) UVT, al demostrarse la infracción de lo dispuesto en el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita La unidad de valor tributario – UVT para la vigencia 2020 era de treinta y cinco mil seiscientos siete ($ 35.607).
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, lo cual se expresa de forma clara en el acápite 8.2.2 del artículo 8 de la parte resolutiva del citado acto administrativo. A su vez, en el acápite 8.2.3 se señala que la sociedad es sanciona por la suma de cincuenta millones veintisiete mil ochocientos treinta y cinco pesos M/CTE ($ 50.027.835), equivalente a mil cuatrocientas cinco (1.405) UVT, corresponde a la vulneración de lo dispuesto en el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem.
Por su parte, en el artículo primero de la parte resolutiva de la Resolución No. 53373 de 2020 se señala que se impone una sanción de cien millones cincuenta y cinco mil seiscientos setenta pesos M/CTE ($ 100.055.670) equivalente a dos mil ochocientos diez (2.810) UVT por vulnerar: i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y; ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem.
Nótese que no hubo confusión por parte de esta Superintendencia respecto del monto de la sanción impuesta, ya que esta fue de cien millones cincuenta y cinco mil seiscientos setenta pesos M/CTE ($ 100.055.670) equivalente a dos mil ochocientas diez (2.810) UVT, correspondiendo a la sumatoria del monto determinado por la violación de cada uno de los deberes vulnerados.
Al respecto, en el acto administrativo fue clara la determinación de la sanción, por lo cual no es de recibo lo señalado por la recurrente respecto de que se le desconoció el derecho de defensa. En todo caso, este Despacho al analizar el presente caso y al revisar las pruebas obrantes en el expediente, así como los argumentos de hecho y de derecho de la investigada, no solo encontró que para el caso es aplicable el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también para determinar el monto de la sanción se tuvo en cuenta que no se configuraron las causales de agravación y atenuación de los literal b) a f) del artículo 24 de la Ley 1581 de 2012.
No obstante, para la determinación del monto de la sanción, en cada caso concreto, se considera también el tamaño de la empresa de la compañía, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.
Al respecto, revisada la información financiera de la recurrente, específicamente para este caso, a partir de los estados de la situación financiera y los estados de resultados17, así como teniendo en cuenta el tamaño de la empresa18, este Despacho disminuirá la sanción impuesta con el objeto que la sanción sea disuasoria y no confiscatoria.
Cabe aclarar, que el análisis realizado no se hace extensivo a otras investigaciones, toda vez que en cada investigación administrativa se debe realizar una valoración independiente porque en cada una se deben analizar los criterios del artículo 24 de la Ley 1581 de 2012 frente a los hechos y material probatorio obrante en el expediente y por su parte, el tamaño de la empresa de la compañía, sus ingresos operacionales, el patrimonio, y, en general, la información financiera es diferente en cada empresa.
De acuerdo con todo lo anterior, la sanción impuesta por este Despacho en la Resolución No. 53373 de 2020 será reducida con el objeto de que la sanción sea disuasoria para la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., de la siguiente manera: (i) Al demostrarse la infracción de lo dispuesto en el literal k) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, por parte de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con el NIT 827.000.616-7, se disminuirá la sanción a VEINTE MILLONES CIENTO CINCUENTA MIL NOVECIENTOS CUARENTA PESOS M/CTE ($ 20.150.940), equivalente a QUINIENTAS CINCUENTA Y CINCO (555) UVT.
(ii) Al demostrarse la infracción de lo dispuesto en el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem por parte de la sociedad Anexos al escrito de descargos con radicado 18-64963 del 29 de mayo de 2019. Conforme con certificación emitida por la revisora fiscal y el representante legal, anexa al escrito de descargos con radicado 18-64963 del 29 de mayo de 2019.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con el NIT 827.000.616-7, se disminuirá la sanción a VEINTE MILLONES CIENTO CINCUENTA MIL NOVECIENTOS CUARENTA PESOS M/CTE ($ 20.150.940), equivalente a QUINIENTAS CINCUENTA Y CINCO (555) UVT. 12.8 Respecto de la orden impartida en el acto administrativo impugnado La recurrente solicita que se aclare la orden impartida en el artículo segundo de la parte resolutiva de la Resolución No. 53373 de 2020, la cual entiende que tiene relación con el exhorto al representante legal de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. consignado en el artículo noveno de la parte considerativa de la mentada resolución. Además, agrega, que en el escrito de descargos aportó “(…) el ‘Manual Interno de Políticas y Procedimientos de atención de consultas y reclamos’ el cual contiene todos los aspectos regulados por la Ley 1581 de 2012 (…)”.
Frente a lo manifestado por la recurrente, a continuación se transcribe tanto el exhorto al representante legal como la orden impartida a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A.: “NOVENO: (…) En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente el principio de seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
(…)
ARTÍCULO SEGUNDO: Ordenar a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A, identificada con el Nit.827.000.616-7 que: “En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 deberá desarrollar y documentar un manual interno a través del cual se describan los procedimientos para garantizar la seguridad en la custodia de la información personal a cargo de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A, incluyendo archivos físicos, digitales y magnéticos”.” En primer lugar, la orden administrativa impartida es independiente al exhorto al representante legal.
La primera de ellas busca que la recurrente establezca un Manual Interno de Políticas y Procedimientos de Seguridad para que la sociedad dé cumplimiento al deber previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 y se propenda hacia la seguridad de las bases de datos que son sometidas a Tratamiento. El segundo, es una recomendación que este Despacho hace al representante legal de la compañía para que se garantice el pleno cumplimiento del régimen general de protección de datos personales y el efectivo ejercicio del derecho fundamental de hábeas data por parte de los Titulares y así, también evite la recurrente incurrir nuevamente en vulneraciones a los deberes que en calidad de Responsable de la información están a su cargo por mandato de la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Por último, de acuerdo con lo expuesto en la Resolución No. 53373 de 2020 y en el acápite 12.3 de esta resolución, se encontró demostrado que la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. no tiene un Manual Interno de Políticas y Procedimientos de Seguridad.
En todo caso, respecto de la solicitud referente a que “(…) precise la orden impartida, en el sentido de indicar cuales son las deficiencias del manual frente a la política de tratamiento de seguridad implementado por la Cooperativa (…)”, se aclarará por este Despacho la orden impartida, en el siguiente sentido: • ACLARAR el artículo segundo del resuelve de la Resolución No. 53373 del 2 de septiembre de 2020, así: Ordenar a la sociedad COOPERATIVA AUTÓNOMA DE COAUTONOMA C.T.A, identificada con el Nit.827.000.616-7 que: SEGURIDAD C.T.A En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 deberá desarrollar y documentar un manual interno a través del cual se describan los procedimientos y políticas de seguridad (medidas técnicas, humanas y administrativas) que considere pertinentes, útiles y necesarias para garantizar la integridad, disponibilidad y confidencialidad de los datos personales contenidos en bases de datos físicas o automatizadas con el fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulenta. 12.9 Respecto de las pretensiones El recurrente solicita la “(…) REVOCATORIA de la Resolución No. 53373 de 2020, con fundamento en las causales establecidas en el artículo 93 del Código de Procedimiento Administrativo (Ley 1437 de 2011), por haber sido expedida con desconocimiento de las normas constitucionales y legales para este tipo de actuaciones respecto del debido proceso, carga de la prueba y proporcionalidad de la sanción”.
Al respecto, es menester señalar que el artículo 93 del CPCA invocado por la recurrente para revocar la Resolución No. 53373 de 2020, hace referencia a la revocatoria directa, la cual es un recurso extraordinario a través del que se busca que la autoridad administrativa revoque el acto administrativo cuando se configura cualquiera de las causales previstas en dicho artículo y es un recurso diferente a los de reposición y apelación previstos en el artículo 74 del CPACA.
Por su parte, la propia recurrente en el recurso interpuesto con radicado 18-64963- -00026 del 29 de septiembre de 2020 señala que “[e]n calidad de representante legal de la COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., (En adelante COAUTONOMA), conforme está acreditado en el expediente de la referencia, de manera respetuosa y conforme al artículo 74 del CPCA interpongo ante ese Despacho recurso de REPOSICIÓN y en subsidio el de APELACIÓN de acuerdo con lo siguiente: (…)”.
De acuerdo con esto, es claro para este Despacho que la recurrente cometió una imprecisión al invocar el artículo 93 del CPACA al solicitar la revocatoria del acto administrativo y su intención real como está plasmado de forma expresa en el aparte transcrito, es interponer recurso de reposición y en subsidio de apelación, lo cual es concordante con el artículo tercero de la parte resolutiva de la Resolución No. 53373 de 2020 al indicarse que “(…) contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación”.
Aclarado lo anterior, se procede a indicar que se encontró probada la conducta negligente de la recurrente por el incumplimiento de los deberes consagrados en (i) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y; ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem.
Así mismo, se evaluaron los criterios de graduación del artículo 24 de la Ley 1581 de 2012; no obstante, teniendo en cuenta la situación particular de la situación financiera y el tamaño de la empresa se disminuirá el monto de la sanción impuesta. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En consideración a que no se revoca en su integridad la Resolución No. 53373 de 2020, ya que si bien se disminuye el monto de la sanción impuesta, no se revoca en su totalidad el acto administrativo recurrido de acuerdo con lo solicitado por la recurrente y además, se mantiene la orden impartida, la cual se aclara de acuerdo con lo pedido por la recurrente.
De manera que, se concede el recurso de apelación solicitado de forma subsidiaria.
DÉCIMO TERCERO: Que en el artículo noveno de la parte motiva de la Resolución No. 53373 de 2020 este Despacho exhortó al representante legal “para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente el principio de seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data”.
Que, este Despacho observa que se omitió en la parte resolutiva de la Resolución No. 53373 de 2020 consignar el antedicho exhorto, lo cual se trata de un error netamente formal que no representa un cambio sustancial en el acto administrativo, ya que en la parte motiva de la resolución se expusieron las razones del exhorto y se plasmó su contenido literal.
Por lo anterior, de acuerdo con el artículo 45 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo), el cual establece que “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras.
En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto. (…)”, este Despacho procederá de oficio a hacer la respectiva corrección en el sentido de incorporar en la parte resolutiva de este acto administrativo el exhorto contemplado en el artículo noveno de la parte motiva de la Resolución No. 53373 de 2020.
DÉCIMO CUARTO: Conclusiones 14.1 La formulación de cargos a través de la Resolución No. 10321 de 2019 se fundamentó en la denuncia presentada mediante el radicado 18-064963- -00000 del 2 de febrero de 2018 y en estricto cumplimiento del procedimiento reglado previsto en el artículo 47 del CPACA, encontrándose que tanto la formulación de cargos como la Resolución No. 53373 de 2020, en conocimiento por parte del denunciante a la Superintendencia. En todo caso, en virtud del artículo 19 de la Ley 1581 de 2012, esta entidad tiene la potestad de indagar más allá de los hechos estrictamente enunciados en una denuncia para garantizar el cabal cumplimiento del Régimen de Protección de Datos Personales. 14.2 Dentro del derecho administrativo sancionatorio está proscrita la responsabilidad objetiva, por lo cual en esta actuación administrativa al demostrarse que la investigada actuó negligentemente en el cumplimiento de los deberes previstos en (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem, se impuso una sanción. En forma alguna se sancionó dentro de un marco de responsabilidad objetiva, ya que se valoró el actuar de la investigada respecto del cumplimiento de los deberes que le son exigibles y de obligatorio acatamiento en calidad de Responsable del Tratamiento.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 14.3 En esta actuación administrativa se respetó el derecho fundamental al debido proceso, ya que se desarrolló acorde con el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III de la Ley 1437 de 2011 y en lo no previsto en él, con el procedimiento administrativo general del Capítulo II del Título III de la misma ley, toda vez que se le otorgó a la recurrente, dentro de los términos legales, la posibilidad de presentar, solicitar y/o controvertir pruebas, de presentar descargos, alegatos de conclusión y recursos acorde con la Ley 1437 de 2011. 14.4 El artículo 4 de la Ley 1581 de 2012, en el cual se desarrollan los principios que rigen esta ley, establece que “[e]n el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…)”.
Así las cosas, el literal k) del artículo 17 de la Ley 1581 de 2012 se interpreta de forma armónica e integral con los principios del artículo 4 de la Ley 1581 de 2012, dentro de los cuales se encuentra el principio de seguridad. El principio de seguridad previsto en el literal g) del artículo 4 de la Ley 1581 de 2012 se desarrolla, entre otros, a través del deber contemplado en el literal k) del artículo 17 de esta ley. 14.5 En aplicación del principio de legalidad, en la formulación de cargos con la Resolución No. 10321 de 2019 se señalaron las normas concordantes al deber presuntamente vulnerado y se indicó que posiblemente se infringía el deber del literla k) del artículo 17 de la Ley 1581 de 2012 porque no se acreditó la adopción de un manual interno de políticas y procedimientos de seguridad, lo cual era dable en la formulación de cargos por la interpretación armónica e integral de la Ley 1581 de 2012 y para el caso concreto, de los artículos señalados en la Resolución No. 10321 de 2019 como presuntamente vulnerados. 14.6 En garantía del derecho al debido proceso y en estricta aplicación del artículo 47 del CPCA este Despacho señaló que presuntamente se infringía el deber previsto en el mencionado literal k) al no acreditarse la existencia del manual interno de seguridad y de esta manera, este Despacho señaló de forma clara y precisa los hechos que dieron lugar al inicio de la investigación y las normas presuntamente vulneradas. 14.7 El numeral 3.1 de la “Cartilla de formatos modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos complementarios” hace referencia a los criterios mínimos que debe contener la Política de Tratamiento de Datos Personales y no, como lo señala la recurrente, a los criterios mínimos del manual interno de seguridad.
Al respecto, es la recurrente quien debe establecer el contenido del manual interno de políticas y procedimientos de seguridad de acuerdo conel análisis que realice sobre sus riesgos en materia de seguridad y ni la Ley 1581 de 2012 ni sus decretos reglamentarios establecen los criterios mínimos que debe contener este manual. 14.8 El Tratamiento de datos personales se realiza a través de herramientas tecnológicas, informáticas o físicas; de manera que, el tratamiento llevado a cabo por la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. a través de carpetas físicas que contienen datos personales son sometidas a Tratamiento en los términos de la Ley 1581 de 2012. 14.9 Las bases de datos pueden organizarse en medios físicos o electrónicos, por lo cual la carpeta física contentiva de los datos del Titular es objeto de protección y está sujeta a Tratamiento en aplicación del Régimen General de Protección de Datos Personales, no encontrandose dentro de la excepción del literal a) del artículo 2 de la Ley 1581 de 2012 referente a “( ) las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico”. 14.10 Este Despacho fundamentó la decisión adoptada en la Resolución No. 53373 de 2020 en el acervo probatorio obrante en el expediente, del cual encontró que la finalidad de la recolección de la información de la historia laboral del denunciante era para alimentar una base de datos para el proceso de vinculación laboral y en desarrollo del objeto social de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. 14.11 No hubo una indebida adecuación típica por la presunta vulneración del literal n) del artículo 17 de la Ley 1581 de 2012 porque la sociedad COOPERATIVA AUTÓNOMA DE “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” SEGURIDAD C.T.A. COAUTONOMA C.T.A. debió informar en su calidad de Responsable de la información sobre la pérdida de la carpeta, hecho que vulnera la disponibilidad y confidencialidad de los datos personales, pilares de la seguridad de la información. 14.12 En virtud del artículo 19 y el literal b) del artículo 21 de la Ley 1581 de 2012, la garantías y procedimientos de la Ley 1581 de 2012 en el Tratamiento de los datos personales y, quien adelanta las investigaciones para salvaguardar el derecho de hábeas data, por lo cual detenta la competencia para que se le hubiese informado sobre la pérdida de la carpeta que contiene información de la historia laboral del Titular. 14.13 El artículo 16 de la Ley 1581 de 2012 no establece ninguna formalidad para el agotamiento del requisito de procedibilidad, correspondiendo este requisito como indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición del interesado, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que per se le asiste a la entidad sin necesidad de agotar ningún requisito de procedibilidad. 14.14 En la resolución de formulación de cargos No. 10321 de 2019 se indicaron las averiguaciones preliminares realizadas por este Despacho previo a la expedición de dicha resolución, las cuales dieron lugar a que se encontraran méritos para la formulación de cargos y este Despacho dio estricto cumplimiento al procedimiento administrativo sancionatorio del artículo 47 del CPACA. 14.15 En virtud de la carga dinámica de la prueba y el principio de responsabilidad demostrada la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. está en mejor posición para probar, por lo cual en esta actuación administrativa era a quien le correspondía demostrar que dio cumplimiento a los deberes de los literal k) y n) del artículo 17 de la Ley 1581 de 2012. 14.16 El principio de libertad probatoria no se vulneró, ya que en virtud del artículo 47 del CPACA con la Resolución No. 10321 de 2019 se notificó e informó a la recurrente que podía aportar o solicitar las pruebas que pretendía hacer valer dentro de la actuación administrativa sin limitársele a ningún tipo de prueba, por lo cual la compañía estaba en toda la facultad de aportar o solicitar cualquier medio de prueba que prevé la legislación colombiana. 14.17 Los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en la investigación, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro los intereses jurídicos tutelados por la ley. 14.18 Para determinar la sanción no solo se tuvo en cuenta el criterio para agravar la sanción del literal a) del artículo 24 de la Ley 1581 de 2012, sino también el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria. 14.19 Para el año 2020 la sanción máxima por violación del Régimen General de Protección de Datos Personales ascendía a mil millones setecientos cincuenta y cinco mil seiscientos cuatro pesos M/CTE ($ 1.755.604.000), correspondiente a 2.000 salarios mínimos mensuales vigentes.
El calculo de la sanción se determina en unidades de valor tributario – UVT, que para el monto máximo permitido en el litral a) del artículo 23 de la Ley 1581 de 2012 era para el año 2020 de cuarenta y nueve mil trescientos cinco (49.305) unidades de valor tributario – UVT. 14.20 La sanción impuesta por la suma de cien millones cincuenta y cinco mil seiscientos setenta pesos M/CTE ($ 100.055.670) equivalente a dos mil ochocientas diez (2.810) UVT, corresponde a la sumatoria de la sanción pecuaniaria impuesta para cada uno de los deberes demostrados como vulnerados en esta investigación. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 14.21 La orden administrativa impartida es independiente del exhorto al representante legal, ya que la primera busca que la recurrente establezca un Manual Interno de Políticas y Procedimientos de Seguridad y el segundo, es una recomendación que este Despacho hace al representante legal de la compañía para que se garantice el pleno cumplimiento del Régimen General de Protección de Datos Personales y el debido ejercicio del derecho fundamental de hábeas data por parte de los titulares. 14.22 Este Despacho encuentra que sí se configuró por parte de la recurrente una vulneración a los deberes previstos en (i) el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 y;
(ii) el literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem; no obstante, se disminuye el monto de la sanción impuesta en la Resolución No. 53373 de 2020 con el fin de que la sanción sea disuasoria más no confiscatoria. 14.23 En la investigación administraiva se encontró demostrado que a sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. no tiene un Manual Interno de Políticas y Procedimientos de Seguridad, por lo cual es imperativo que lo desarrolle y lo documente de acuerdo con la orden impuesta, la cual se aclara por este Despacho en este acto administrativo.
DÉCIMO QUINTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Sanitaria decretado por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando nombre, cédula y correo electrónico de quien está autorizado para consultar el expediente (representante legal o apoderado debidamente constituido), así como el número de radicado del expediente;
(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO: MODIFICAR el artículo primero del resuelve de la Resolución No. 53373 del 2 de septiembre de 2020 por las razones expuestas en la parte motiva de este acto administrativo, el cual quedará así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., identificada con el NIT 827.000.616- 7, de CUARENTA MILLONES TRESCIENTOS UN MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($ 40.301.880) equivalente a MIL CIENTO DIEZ (1.110) UVT por la violación a lo dispuesto en la siguiente normatividad: i) Literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. ii) Literal n) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 19 ejúsdem.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional +– Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual”.
ARTÍCULO SEGUNDO: ACLARAR la orden impartida en el artículo segundo del resuelve de la Resolución No. 53373 del 2 de septiembre de 2020 por las razones expuestas en la parte motiva de este acto administrativo, la cual quedará así: “ARTÍCULO SEGUNDO: ORDENAR a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., identificada con el NIT 827.000.616-7, que: En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 deberá desarrollar y documentar un manual interno a través del cual se describan los procedimientos y políticas de seguridad (medidas técnicas, humanas y administrativas) que considere pertinentes, útiles y necesarias para garantizar la integridad, disponibilidad y confidencialidad de los datos personales contenidos en bases de datos físicas o automatizadas con el fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulenta.
PARÁGRAFO PRIMERO: La sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., identificada con el Nit.827.000.616-7, deberá acreditar el cumplimiento de lo ordenado en el anterior artículo ante esta Superintendencia dentro de los noventa (90) días hábiles siguientes a la ejecutoria de la presente decisión, aportando el respectivo documento donde se acredite la orden aquí impartida.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., acreedora de las sanciones previstas en la ley.”
ARTÍCULO TERCERO: CORREGIR la omisión del resuelve de la Resolución No. 53373 del 2 de septiembre de 2020, de acuerdo con los expuesto en la parte motiva de este acto administrativo, por lo cual se EXHORTA al señor XXXXXXXXXXXXXXXXXXX, identificado con XXXXXXXXXXX, en su calidad de representante legal de la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A COAUTONOMA C.T.A., para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente el principio de seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
ARTÍCULO CUARTO: ACLARAR que las demás disposiciones de la Resolución No. 53373 del 2 de septiembre de 2020, no sufren modificación alguna. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
ARTÍCULO QUINTO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO SEXTO: NOTIFICAR personalmente a la sociedad COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A., identificada con NIT 827.000.616-7, a través de su representante legal, entregándole copia de la misma.
ARTÍCULO SÉPTIMO: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXX, identificado con XXXXXXXXXXX, el contenido de la presente resolución.
COMUNÍQUESE,
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 26 FEBRERO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.02.26 15:30:15 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: INVESTIGACIONES Sociedad: COOPERATIVA AUTÓNOMA DE SEGURIDAD C.T.A. COAUTONOMA C.T.A. Identificación: NIT 827.000.616-7 Representante Legal: XXXXXXXXXXXXXXXXXX Identificación: XXXXXXXXXXX Dirección: Los Almendros, Manzana 2, Casa 1, Piso 1 Municipio: San Andrés Isla, Archipiélago de San Andrés Providencia y Santa Catalina, Colombia Correo electrónico: coautonoma@hotmail.com COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXX Identificación: XXXXXXXXXXX Dirección: xxxXXXXXXXXXXXXXXXXXXXXx Ciudad: xxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxxxx