Decisión 66739 de 2022 — SIC

(septiembre 22 de 2022) Radicación 20-336298 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante escrito radicado bajo el número 19-98675-00 de 30 de abril de 2019 el señor Xxxxx Xxxxxx Xxxxx Xxxxxxxx informó que no era cliente de COLOMBIA MÓVIL S.A. E.S.P. y que, en múltiples ocasiones, esta le ha enviado mensajes de correo electrónico y mensajes de cobranza. Así mismo señaló que la investigada le envió información confidencial de otra persona, como copia de la cédula de ciudadanía, foto y Datos de contacto de una persona que sí es cliente de la investigada.

SEGUNDO. Que mediante Resolución No. 29192 de 17 de junio de 2020 esta autoridad administrativa ordenó a la sociedad COLOMBIA MÓVIL S.A. E.S.P. suprimir toda la información asociada al quejoso.

TERCERO. Que mediante la Resolución No. 66739 de 14 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió́: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COLOMBIA MÓVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, de CIENTO CINCO MILLONES DOSCIENTOS NOVENTA Y TRES MIL DOSCIENTOS PESOS ($105.293.200) M/CTE, correspondiente a (2.900) unidades de valor tributaria [sic]- UVT, por la violación del i) literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, a la sociedad COLOMBIA MOVIL S.A. E.S.P. ( ) ARTÍCULO SEGUNDO: IMPARTIR las siguientes órdenes administrativas a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 así: i. ii. iii.

La sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor XXXXXXXXXX XXXXXXXXX identificado con cédula de ciudadanía No. XXXXXXX. La sociedad COLOMBIA MOVIL S.A. E.S.P., deberá desarrollar, implementar y mantener un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos.

La sociedad COLOMBIA MOVIL S.A. E.S.P deberá desarrollar, implementar y mantener un programa de capacitación periódico para sus empleados y contratistas sobre su política de seguridad de la información, su política de gestión de incidente de seguridad de datos personales y su política de tratamiento de datos personales (o privacidad).

PARÁGRAFO PRIMERO: La sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 deberá dar cumplimiento de lo ordenado dentro de los tres (3) meses siguientes hábiles siguientes a la ejecutoria de la presente decisión. HOJA Nº PARÁGRAFO SEGUNDO: La sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

( )”

CUARTO. Que mediante escrito radicado bajo el No. 20-336298-25 de 12 de noviembre de 20211, la sociedad COLOMBIA MÓVIL S.A. E.S.P. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 66739 de 14 de octubre de 2021.

QUINTO. Que mediante la Resolución No. 30603 de 20 de mayo de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución No. 66739 de 14 de octubre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

SEXTO. Que la recurrente solicitó revocar la decisión que se tomó mediante la Resolución No. 66739 de 14 de octubre de 2021, con base en los siguientes argumentos: “( ) 1. INDEBIDA IMPUTACIÓN FÁCTICA El denunciante Xxxxx Xxxxxx Xxxxx Xxxxxxxxx presentó la solicitud de eliminación del dato personal el día 08 de febrero de 2016, sin embargo, respecto de esta solicitud en el mismo año 2016 mi representada dio respuesta a su PQR dentro del los términos establecidos y procedió a la eliminación del dato desde el mismo año 2016 ( ) El día 29 de febrero de 2016, tal como se probó desde el escrito de descargos, se emitió Ticket 3040965 CUN 4331-16-0001743272, dando la respectiva respuesta en los siguientes términos: “Efectuada la revisión de su requerimiento, nos permitimos indicarle que se realizaron las respectivas validaciones en nuestro sistema de información y le notificamos que hemos procedido según su solicitud y hemos escalado su caso a la agencia de cobranza encargada de esta gestión de cobranza para que la dirección electrónica de correo xxxxxxxxxxxxxxxxxxxx sea retirada de sus base de datos y no sea asociada a la obligación número xxxxxxxxxxx de la cual usted no es titular ni contacto relacionado”.

Esta situación ya había sido verificada por la Superintendencia de Industria y comercio mediante el radicado 17298694 en la cual una vez investigados los hechos que podían haber llegar a manifestar una violación a los derecho del usuario en materia de Habeas Data, la misma Administración mediante resolución 37309 del 30 de mayo de 2018 una vez investigados los hechos decide archivar la investigación por hacerse demostrado y comprobado la superación de cualquier tipo de riesgo como el accionante en su momento.

En este orden de ideas vemos como desde el 2016 mi representada ya había tomado todas las acciones respectivas y se había comprobado que no había riesgo alguno respecto del tratamiento de datos personales del señor Xxxxx Xxxxxx Xxxxx 1 De acuerdo con el certificado suscrito por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicado bajo el número 20-336298-24 de 27 de octubre de 2021, la Resolución No. 66739 de 14 de octubre de 2021 fue notificada por aviso a COLOMBIA MÓVIL S.A. E.S.P. el 27 de octubre de 2021, con lo cual el término para presentar los recursos vencía el 11 de noviembre de 2021.

HOJA Nº Posteriormente en el año 2019 el accionante radica PQR ante mi presentada poniendo en copia a las respectivas entidades en el que solicita nuevamente se suprima su correo electrónico de las bases de datos de COLOMBIA MÓVIL, en razón a que él no mantenía vínculo contractual alguno ni adeudaba alguna obligación a la Compañía. Una vez verificadas nuestras bases datos se identificó que el día 30 de abril de 2019, el señor XXXXX XXXXXX XXXXXX XXXXX XXXXXXX, persona diferente al denunciante en este caso, se acercó a uno de nuestros puntos físicos de atención para realizar una transacción sobre su línea xxxxxxxxxx.

El soporte de esta transacción fue enviado al correo electrónico que figuraba en el sistema suministrado por el solicitante en ese momento: xxxxxxxxxxxxxxxxxxxx. Cabe aclarar que sólo hasta esta fecha el correo electrónico xxxxxxxxxxxxxxxxxxxx fue nuevamente incluido en el sistema en razón a la transacción de fecha 30 de abril del 2019, lo que quiere decir que constituye un hecho continuado desde el año 2016.

Ahora bien, respecto del hecho anteriormente descrito y una vez identificados los hechos es necesario aclarar que el correo electrónico indicado por el señor XXXXX XXXXXX XXXXXX el 30 de abril de 2019 fue xxxxxxxxxxxxxxxxxxxx, sin embargo, por un error de digitación al momento de ingresar los datos al sistema este fue ingresado por el funcionario respectivo como xxxxxxxxxxxxxxxxxxxx.

En el caso que nos ocupa, no se evidencia el cumplimiento de la verificación del principio de responsabilidad demostrada ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe. Ahora, una vez radicado el correo electrónico se procedió a corregir y eliminar nuevamente el dato del accionante XXXXX XXXXXX XXXXX de nuestro sistema, situación que fue debidamente acreditada desde el escrito de descargos: Al realizar una validación de obligaciones asociadas al correo xxxxxxxxxxxxxxxxxxxx no se obtienen resultados: Así las cosas, la Dirección de Investigación de Protección de Datos Personales erró al imponer una sanción a mi representada puesto que tal como se probó: 1) Colombia Móvil procedió a la supresión del dato del accionante desde el año 2016, cosa que fue verificada por la misma Administración mediante investigación, y por lo tanto no existe una violación a los derechos relacionados con la protección de datos desde el año 2016; y 2) no es cierto que mi representada hubiera omitido dar respuesta continuamente a los requerimientos del denunciante debido a que, tal como se indicó en la resolución objeto del presente recurso únicamente presentó dos requerimiento uno en el año 2016 y otro en el año 2019 el último mediante el cual mi representada de inmediato procedió a corregir el error y a responder el respectivo requerimiento 2.

APLICACIÓN DEL PRINCIPIO NON BIS IN IDEM EN EL DERECHO SANCIONATORIO Tal como se indicó en el parágrafo anterior, respectos de los hechos supuestamente imputados la también la misma, por la existencia de la superación de cualquier tipo de hecho que pudiera llegar a poner en peligro los derechos de habeas data del denunciante. Dicha investigación administrativa se identifica con el Rad. 17- 298649 y fue la misma administración la que corroboró que no había vulneración alguna al régimen jurídico.

Indica la Corte Constitucional en el expediente C 870 del 2002 que uno de los elementos fundamentales para el derecho sancionatorio es el cumplimiento del principio non bis in idem “El principio non bis in idem prohíbe que una persona, por el mismo hecho, (i) sea sometida a juicios sucesivos o (ii) le sean impuestas varias sanciones en el mismo juicio”; y por lo tanto en caso de imponer una sanción a mi representada por hechos que la administración ya había considerado como superados en el año 2016 viola directamente este principio así como el principio de legalidad como columna vertebral del derecho sancionador.

3. NO SE CONFIGURAN LOS PRESUPUESTOS BÁSICOS PARA LA IMPOSICIÓN DE UNA SANCIÓN Teniendo en cuenta los limites de la potestad sancionatoria de la Administración y con base en la reiterada Jurisprudencia del Consejo de Estado, al momento de ejercer la potestad sancionatoria, la administración debe verificar el cumplimiento de los presupuestos de legalidad, antijuricidad y culpabilidad para la aplicación de la misma.

Desde la óptica del requisito de legalidad, en este caso la Administración hace referencia a una conducta continuada desde el año 2016, cosa que no es verdad y por lo tanto el supuesto de hecho imputado no corresponde a la sanción impuesta; y desde la óptica del principio de culpabilidad es necesario reiterar que en virtud de la aplicación del principio de presunción de inocencia y de responsabilidad demostrada no se evidencia el cumplimiento de la verificación de estos ya que no fue voluntad de mi representada bajo la intención de utilización HOJA Nº de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe el cual fue de inmediato corregido lo que demuestra además hecho superado. 4.

AFECTACIÓN A LA LIBERTAD DE EMPRESA De la Resolución Impugnada es posible evidenciar que cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, que está relacionada con el desarrollo, la implementación y el mantenimiento de un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos; la SIC como entidad sancionadora, optó por ordenar a COLOMBIA MÓVIL implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio, en tanto pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio.

Al respecto, la Corte Constitucional ha manifestado lo siguiente: “Ahora bien, la intervención del Estado en la economía se lleva a cabo con la concurrencia de las ramas del poder público. En primer lugar, en virtud de los principios democrático y pro libertate, la definición de los elementos básicos de las limitaciones de las libertades económicas corresponde exclusivamente al Legislador, es decir, es una materia sujeta a reserva de ley, de ahí que el artículo 333 de la Constitución prevé que para el ejercicio de las libertades económicas “nadie podrá exigir permisos previos o requisitos, sin autorización de la ley” y que “la ley delimitará el alcance de la libertad económica”.

Esto significa que es deber del Legislador definir los instrumentos de intervención en la economía, sus limites y la forma cómo las demás autoridades públicas pueden participar en la regulación de las actividades económicas”1 (subrayas y negrilla fuera del texto original). 5. ANÁLISIS DE LOS FACTORES DE GRADUACIÓN DE LA SANCIÓN Mi representada no desconoce que su objeto social está relacionado con la prestación de servicios públicos y que la normatividad, en especial la establecida en la Ley 1581 de 2012, se fundamentan en las facultades que permiten la protección de los derechos de los Titulares y justifican el actuar de las autoridades como respuesta al principio de intervención del Estado, pero también es cierto que estas mismas normas también se complementan con lo establecido en las normas que constituyen el procedimiento administrativo y el procedimiento civil, porque existen intereses particulares que deben ser configurados de esta manera.

Así, si bien la discrecionalidad es un aspecto que faculta al fallador para que en su real saber y entender pueda imponer la sanción cuando hay mérito a ello en las justas proporciones, esos criterios que acoge para imponerla deben ser soportados en bases jurídicas y fácticas y explicados claramente al sancionado para que tenga la posibilidad de controvertirlos.

La sanción debe ser razonable y proporcional y la proporcionalidad se observa con respecto al caso particular, y con base a los criterios que la Ley establece y no con un criterio abstracto de la discrecionalidad pues ello desdice del Estado Social de Derecho. A continuación, se transcribe un aparte importante de la jurisprudencia que ha orientado este tema así: “5.5 La libertad de configuración legislativa en materia de determinación de las sanciones ( ) Esos criterios de graduación (Art.45 ib) están clasificados en (i) generales, dentro de los cuales se ubican algunos de carácter objetivo (la modalidad de la conducta y sus circunstancias, su trascendencia social y el perjuicio ocasionado), y otros de naturaleza subjetiva (los motivos determinantes del comportamiento);

(ii) de atenuación, como la confesión y el resarcimiento o compensación del daño; (iii) de agravación, tales como la entidad de los bienes jurídicos afectados, la sindicación infundada a terceros, la concurrencia de coparticipes en el hecho, la existencia de antecedentes disciplinarios y el aprovechamiento de una circunstancia de vulnerabilidad en el afectado.

El legislador previó, además, de manera explícita la exigencia de motivación de la dosificación sancionatoria (art.46) la cual debe contener una fundamentación completa y explicita sobre los motivos de la determinación cualitativa y cuantitativa de la sanción”. Adicionalmente, la Ley 1581 de en su artículo 24 señala los criterios para la definición de las sanciones a imponer y lo que se espera es que dichos criterios sean analizados y valorados uno a uno con una explicación clara y amplia sobre la decisión de acogerlos o no: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;

HOJA Nº c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

Como podemos observar en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios analizados al imponer la sanción a mi representada, lo que le impide a la Compañía controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la sociedad COLOMBIA MÓVIL S.A contrariando lo manifestado por la jurisprudencia Como se ha insistido a lo largo del presente escrito, la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al usuario ni tener en cuenta que, como se indicó en varias ocasiones, se accedió favorablemente a su solicitud realizando el cobro a la persona que adquirió los servicios, ya que el caso analizado parte de un hecho privado y concreto relacionado con la reclamación de un usuario.

Adicionalmente la sanción impuesta tiene como fundamento hechos que han sido desvirtuados, hechos que fueron juzgados con anterioridad por la misma administración sobre los cuales no se halló mérito para la imposición de la sanción, y el desconocimiento de la aplicación de los principios del derecho sancionatorio encontrase desproporcionada respecto a la realidad fáctica y jurídica aplicable al caso. 6.

CUANTIFICACIÓN DE LA SANCIÓN IMPUESTA Proporcionalidad de las medidas del Estado cuando actúa en virtud de la potestad sancionatoria. Tal y como lo ha señalado la Corte Constitucional, el derecho fundamental al Debido proceso comprende, no solamente las garantías del artículo 29 de la Carta, sino también otro cúmulo de valores y principios de la misma raigambre constitucional que hacen que vaya más allá del cumplimiento por parte de las autoridades de los requisitos que la ley procesal impone, lo anterior a través de la irrestricta observancia de los demás derechos que permitan la vigencia de un orden justo.

Así pues, la misma Corte Constitucional ha mencionado que una arista del principio de la buena fe y del derecho fundamental al debido proceso es la proporcionalidad en la sanción o prestación impuesta. [la] proporcionalidad es también un postulado que informa toda la actividad administrativa y no pretende otra cosa que la adecuación entre medios y fines, entre las medidas utilizadas y las necesidades que se tratan de satisfacer.

De conformidad con lo anterior, la jurisprudencia Constitucional ha mencionado que los principios del derecho penal - como forma paradigmática de control de la potestad punitiva- se aplica, a todas las formas de actividad sancionadora del Estado. Al respecto ha señalado la Corte Constitucional que, en el derecho administrativo sancionador, “la definición de una infracción debe respetar los principios de legalidad y proporcionalidad que gobiernan la actividad sancionadora del Estado”.

La ponderación de los dos en una actuación debe responder a la gravedad de la falta y al bien jurídico afectado. Analizando entonces estas premisas, respetuosamente consideramos que la sanción impuesta es desproporcionada respecto del bien jurídico que se protege, pues queda claro no existe una violación respecto a la protección del los derechos de habeas data del denunciante desde el año 2016, adicionalmente que mi representada fue diligente en la respuesta a la PQR del accionante que data del año 2019 y que en la actualidad los hechos que dieron origen al requerimiento del año 2019 ya fueron completamente superados.

Por último, se demostró que en el actual de mi representaba no se haya intención alguna respecto a la violación a los derecho del denunciante por cuanto el error fue involuntario por motivos de digitación. De igual forma, los factores que se tuvieron en cuenta para la imposición y graduación de la sanción no deben ser contradictorios con la parte considerativa del acto sancionatorio, ni deben llevar al investigado a confusión, como sucedió en este caso particular.

( )”

SÉPTIMO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, HOJA Nº CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20112 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 3, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”4 En el mismo sentido, y en relación con los principios 5 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: 2 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 3 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 4 Corte Constitucional.

Sentencia C-748 de 2011. 5 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018.

HOJA Nº “En la doctrina6 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta7), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”8. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”9. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente vulneró el derecho del Titular a solicitar la supresión de sus Datos; el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su Derecho Constitucional de Habeas Data; y el deber de tramitar las consultas y reclamos formulados en los términos señalados en la ley.

Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime 6 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo.

Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 7 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 8 Corte Constitucional.

Sentencia C-406 de 2004. 9 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa impuesta por parte de esta entidad, correspondiente a CIENTO CINCO MILLONES DOSCIENTOS NOVENTA Y TRES MIL DOSCIENTOS PESOS ($105.293.200) M/CTE, correspondiente a (2.900) unidades de valor tributaria [sic]- UVT representa aproximadamente el 5,79% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. DEL PRINCIPIO NON BIS IN IDEM El artículo 83 de la Constitución Política Nacional determina que las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante estas. Asimismo, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo estableció que: “( ) todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.

( )” Como es sabido, la Constitución Política en su artículo 29 inciso primero, consagra el Derecho al Debido Proceso, el cual se aplica a toda clase de actuaciones judiciales y administrativas. El inciso cuarto establece el principio non bis in idem al prohibir juzgar al sindicado dos veces por el mismo hecho. Este principio ha sido ampliamente desarrollado tanto por la Corte Constitucional como por el Consejo de Estado.

La Corte Constitucional en su línea jurisprudencial ha reconocido que, en el constitucionalismo colombiano, el principio non bis in idem no se restringe al ámbito penal, sino que, “se hace extensivo a todo el universo del derecho sancionatorio”10. La Corte además ha precisado que dicho principio veda que exista una doble sanción “cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción” 11.

Vale aclarar que dicha prohibición de doble enjuiciamiento, en ningún punto excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, “siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”12. El Consejo de Estado ha desarrollado también una extensa línea jurisprudencial en materia de violación al principio non bis in idem en la que ha sido enfático en señalar que “tal prohibición no implica que por un mismo hecho no se puedan infringir varias sanciones, de distinta naturaleza ( ) La prohibición opera frente a sanciones de una misma naturaleza”13 (énfasis en el texto original). 10 Corte Constitucional.

Sentencia de Constitucionalidad 554 de 2001. MP Clara Inés Vargas Hernández. Fundamento 3.3. 11 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 12 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 13 Consejo de Estado, Sala de lo Contencioso Administrativo.

Sentencia del 21 de agosto de 2008. Rad. 2008-90662. Consejero Ponente: Marco Antonio Velilla Moreno HOJA Nº En otras palabras, se configura la violación a dicho principio cuando por los mismos hechos se juzga a una persona natural o jurídica dos o más veces, en la misma modalidad 14. De esta manera ha precisado la misma Corporación el alcance de este principio, estableciendo que, “para que se consolide un hecho igual que excluya un nuevo juzgamiento sobre el mismo, se requiere: a) identidad del sujeto; b) identidad de la conducta; c) identidad de circunstancias de tiempo, modo y lugar”15.

De modo similar, la Corte Constitucional desde las primeras decisiones sobre el tema, ha establecido que para que se configure la violación al non bis in idem es necesario que “exista identidad de causa, identidad de objeto, e identidad en la persona”16. De otro lado, los artículos 47 a 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo contienen la regulación del procedimiento administrativo sancionatorio.

Aquí están las bases generales y luego, las autoridades que ejercen funciones de inspección, vigilancia y control, pueden, por vía reglamentaria establecer los protocolos necesarios para llevar a cabo el procedimiento establecido en la ley. En relación con la violación al principio non bis in idem alega la recurrente que: “( ) El denunciante XXXXX XXXXXX XXXXX XXXXXXXXX presentó la solicitud de eliminación del dato personal el día 08 de febrero de 2016, sin embargo, respecto de esta solicitud en el mismo año 2016 mi representada dio respuesta a su PQR dentro del los términos establecidos y procedió a la eliminación del dato desde el mismo año 2016: ( ) Esta situación ya había sido verificada por la Superintendencia de Industria y comercio mediante el radicado 17298694 en la cual una vez investigados los hechos que podían haber llegar a manifestar una violación a los derecho del usuario en materia de Habeas Data, la misma Administración mediante resolución 37309 del 30 de mayo de 2018 una vez investigados los hechos decide archivar la investigación por hacerse demostrado y comprobado la superación de cualquier tipo de riesgo como el accionante en su momento.

En este orden de ideas vemos como desde el 2016 mi representada ya había tomado todas las acciones respectivas y se había comprobado que no había riesgo alguno respecto del tratamiento de datos personales del señor Xxxxx Xxxxxx Xxxxx Posteriormente en el año 2019 el accionante radica PQR ante mi presentada poniendo en copia a las respectivas entidades en el que solicita nuevamente se suprima su correo electrónico de las bases de datos de COLOMBIA MÓVIL, en razón a que él no mantenía vínculo contractual alguno ni adeudaba alguna obligación a la Compañía. Una vez verificadas nuestras bases datos se identificó que el día 30 de abril de 2019, el señor XXXXX XXXXXX XXXXXX XXXXX XXXXXXX, persona diferente al denunciante en este caso, se acercó a uno de nuestros puntos físicos de atención para realizar una transacción sobre su línea xxxxxxxxxx.

En el caso que nos ocupa, no se evidencia el cumplimiento de la verificación del principio de responsabilidad demostrada ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe. Ahora, una vez radicado el correo electrónico se procedió a corregir y eliminar nuevamente el dato del accionante XXXXX XXXXXX XXXXX de nuestro sistema, situación que fue debidamente acreditada desde el escrito de descargos: Al realizar una validación de obligaciones asociadas al correo xxxxxxxxxxxxxxxxxxxx no se obtienen resultados: ( ) Así las cosas, la Dirección de Investigación de Protección de Datos Personales erró al imponer una sanción a mi representada puesto que tal como se probó: 1) Colombia Móvil procedió a la supresión del dato del accionante desde el año 2016, cosa que fue verificada por la misma Administración mediante investigación, y por lo tanto no existe una violación a los derechos relacionados con la protección de datos desde el año 2016; y 2) no es cierto 14 Consejo de Estado, Sala de lo Contencioso Administrativo.

Sentencia del 11 de octubre de 2007. Rad. 1994-04373. Consejero Ponente: Marco Antonio Velilla Moreno. 15 Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia de 17 de mayo de 2001. Rad.1998-0603. 16 Corte Constitucional, Sentencia de Constitucionalidad 244 de 1996. Magistrado Ponente: Carlos Gaviria Díaz. Consideración b) HOJA Nº 10 que mi representada hubiera omitido dar respuesta continuamente a los requerimientos del denunciante debido a que, tal como se indicó en la resolución objeto del presente recurso únicamente presentó dos requerimiento uno en el año 2016 y otro en el año 2019 el último mediante el cual mi representada de inmediato procedió a corregir el error y a responder el respectivo requerimiento “( ) respectos [sic] de los hechos supuestamente imputados la Superintendencia de Industria y Comercio en el año 2018 había ya realizado una investigación, archivando también la misma, por la existencia de la superación de cualquier tipo de hecho que pudiera llegar a poner en peligro los derechos de habeas data del denunciante.

Dicha investigación administrativa se identifica con el Rad. 17- 298649 y fue la misma administración la que corroboró que no había vulneración alguna al régimen jurídico. Al respecto, dentro del Expediente No. 17-298694, mediante la Resolución 37309 de 30 de mayo de 2018 se ordenó el archivo del caso que había iniciado por una solicitud de supresión de información presenta el 8 de febrero de 2016.

En esa actuación se comprobó que se había realizado la supresión de los Datos personales del ciudadano. Ahora, se aclara a la investigada que, en el presente caso objeto de análisis (Expediente 20-336298) nos referimos a la denuncia que surge por el acaecimiento de hechos posteriores en virtud del mensaje de correo electrónico que recibió el quejoso el 30 de abril de 2019, el cual contenía el FORMATO ÚNICO DE SOLICITUDES POSTVENTA de la compañía TIGO pero con Datos de otra persona.

Ese documento tenía la firma del Titular de esos Datos, su foto, y además copia de la cédula de ciudadanía. Así pues, se determinó que no existe identidad de circunstancias de tiempo, modo ni lugar, razón por la cual no se acogerá el argumento de la recurrente.

4. LA CONFIGURACIÓN DEL HECHO SUPERADO NO LIBRA DE RESPONSABILIDAD JURÍDICA A QUIEN VULNERA LA REGULACIÓN DE DATOS PERSONALES NI LO EXIME DE SER SANCIONADO POR INCUMPLIR LA LEY Manifiesta la recurrente que, “( ) Teniendo en cuenta los limites de la potestad sancionatoria de la Administración y con base en la reiterada Jurisprudencia del Consejo de Estado, al momento de ejercer la potestad sancionatoria, la admiración debe verificar el cumplimiento de los presupuestos de legalidad, antijuricidad y culpabilidad para la aplicación de la misma.

Desde la óptica del requisito de legalidad, en este caso la Administración hace referencia a una conducta continuada desde el año 2016, cosa que no es verdad y por lo tanto el supuesto de hecho imputado no corresponde a la sanción impuesta; y desde la óptica del principio de culpabilidad es necesario reiterar que en virtud de la aplicación del principio de presunción de inocencia y de responsabilidad demostrada no se evidencia el cumplimiento de la verificación de estos ya que no fue voluntad de mi representada bajo la intención de utilización de los datos del denunciante, antes bien, este correspondió a un hecho involuntario, error humano y acción de buena fe el cual fue de inmediato corregido lo que demuestra además hecho superado”.

Sobre la figura del hecho superado, la Corte Constitucional mediante Sentencia T-086 de 2 de marzo de 2020, manifestó: “La Corte ha interpretado la disposición precitada en el sentido de que el hecho superado, tiene lugar cuando desaparece la vulneración o amenaza al derecho fundamental invocado [58]9. Concretamente, la hipótesis del hecho superado se configura “cuando entre la interposición de la acción de tutela y el fallo de la misma, se satisface por completo la pretensión contenida en la acción de tutela, es decir, que por razones ajenas a la intervención del juez constitucional, desaparece la causa que originó la vulneración o amenaza de los derechos fundamentales del peticionario”[59]10 (resaltado fuera del texto)”.

Sobre el particular, resultar pertinente recordar que la configuración de un hecho superado no significa que desaparezcan las eventuales irregularidades en que una empresa pudiera haber incurrido en el Tratamiento de Datos y no exime de responsabilidad a quien haya cometido dichos errores. Por lo tanto, esta autoridad podrá iniciar la respectiva investigación administrativa de carácter sancionatorio contra quien, entre otras, alegue un hecho superado.

En el caso concreto, COLOMBIA MÓVIL S.A. E.S.P. aporta como prueba la siguiente imagen con el fin de demostrar que en el año 2016 se eliminó la información del quejoso de sus Bases de Datos. HOJA Nº 11 Como se ve, ese cuadro simplemente muestra que, al parecer, se presentó una queja por una inconformidad, así como la fecha de creación y de vencimiento de la misma, también el número que se dio a esa reclamación, sin embargo no es una prueba de nada más. Con esto es imposible verificar que en el año 2016 se realizó la supresión de la información del ciudadano. Por lo anterior no se acogen los argumentos presentados por la investigada.

5. CARGA DE LA PRUEBA La jurisprudencia colombiana, en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”17 En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto.

La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales. Contra el acto que decida la solicitud de pruebas no proceden recursos.

El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes.” 18; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”19 17 Corte Constitucional, Sentencia T-733 de 2013. 18 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 19 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo.

HOJA Nº 12 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”20 Así, en este caso en particular los documentos, y los pantallazos aportados por COLOMBIA MÓVIL S.A. E.S.P. no logran desvirtuar la decisión que se tomó en el acto administrativo censurado.

Es innegable el actuar de la recurrente, en el sentido de no haber aportado la prueba que permitiera, al menos, determinar de manera exacta y sin lugar a duda en qué fecha y de qué manera quedó la trazabilidad de la supresión de los Datos del quejoso en el sistema de la compañía.

6. DEL PRINCIPIO Y DEL DEBER DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES. DE LAS ÓRDENES DE SEGURIDAD IMPARTIDAS EN LA RESOLUCIÓN 66739 DE 2021 Sin seguridad no existe debido Tratamiento de Datos personales. Es por eso que la regulación señala, entre otras, lo siguiente: Literal g) del artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá́ manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) del artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Nótese que la redacción del Principio de Seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas.

La relevancia y alcance del deber de seguridad ha sido puesto de presente en los siguientes términos: “La seguridad es un proceso dinámico en constante evolución y prueba. Se quiere que exista un nivel de seguridad apropiado en las diferentes etapas del tratamiento de datos personales en donde las medidas de seguridad sean objeto de evaluación y revisión. Dichas medidas deben estar enfocadas para mitigar los siguientes riesgos: acceso no autorizado a los datos personales, pérdida, destrucción (accidental o no autorizada), contaminación (por virus informático) uso fraudulento, consulta, copia, modificación, adulteración, revelación, comunicación, o difusión no autorizados.

Para establecer las medidas se deben tener en cuenta, entre otras, las técnicas de seguridad existentes en general y para sectores específicos, los riesgos que presente el tratamiento y la naturaleza de los datos que deban protegerse, la probabilidad y severidad del daño obtenido, la sensibilidad de la información y el contexto en el que es realizado el tratamiento y las eventuales consecuencias negativas para los titulares de los datos.

( ) Proteger la información es una condición crucial del tratamiento de datos personales. Una vez recolectada debe ser objeto de medidas de diversa índole para evitar situaciones indeseadas que pueden afectar los derechos de los titulares y de los mismos Responsables y Encargados del tratamiento de los datos. El acceso, la consulta y el uso no autorizado o fraudulento así́ como la manipulación y pérdida de la información son los principales riesgos naturales y humanos que se quieren mitigar a través de medidas de seguridad de naturaleza humana, física, administrativa o técnica”21.

Por su parte, la Corte Constitucional ha establecido que: 20 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010. Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. 21 REMOLINA ANGARITA, Nelson. 2013. Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012. 1 ed. Bogotá: Legis Editores.

Págs. 216-217 HOJA Nº 13 “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(..) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”22. (Subrayado fuera de texto). Es así como, desde hace algunas décadas se ha afirmado que la confianza es factor crucial para el crecimiento y consolidación de cualquier actividad que involucre el Tratamiento de Datos personales.

Por eso, se ha sostenido que “las actividades continuas de creación de confianza deben ser una de las prioridades estratégicas más importantes para cada organización”23. La confianza se entiende como la expectativa de que “se puede contar con la palabra del otro” y de que se emprenderán acciones positivas y beneficiosas entre las partes de manera recíproca.

La seguridad genera confianza, si falla, es clave estar muy bien preparados y entrenados para actuar frente a los incidentes de seguridad de manera inmediata, profesional e inteligente. De ahí el llamado que hace el Despacho a la recurrente para que adopte medidas efectivas, útiles y demostrables que garanticen, en la práctica, la seguridad de los Datos personales de los Titulares sobre los que realiza Tratamiento de la información. En este punto, la recurrente considera que esta autoridad está afectando la libertad de empresa y señala: “( ) De la Resolución Impugnada es posible evidenciar que cuando la Dirección de Investigación de Protección de Datos Personales incluye en sus decisiones órdenes de hacer como la que en este caso se impartió, que está relacionada con el desarrollo, la implementación y el mantenimiento de un programa de gestión y manejo de incidentes de seguridad de los datos personales, que contemple procedimientos para informar sin dilación indebida a esta Autoridad de Protección de Datos y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, disponibilidad o integridad de los datos; la SIC como entidad sancionadora, optó por ordenar a COLOMBIA MÓVIL implementar procedimientos que no solo ya existen en la Compañía, sino que también influyen en las decisiones de negocio, lo que se considera está atentando en contra de la libertad de empresa y de sus decisiones de negocio, en tanto pretende imponerle una obligación legal a la cual no se encuentra sujeta y que sobrepasa lo pretendido por el usuario en el caso bajo estudio ( )” Mediante escrito radicado bajo el No. 20-336298-10 de 10 de diciembre de 2020 la recurrente adjuntó con sus descargos el documento “Estándares de Seguridad de la Información”, sin embargo, al realizar nuevamente el análisis de su contenido se verificó que el mismo no cuenta con ningún procedimiento para informarle a esta Superintendencia los incidentes de seguridad que puedan ocurrir al interior de la organización de la investigada, así como tampoco explica de qué manera se mantiene la integridad de los Datos que debe custodiar.

Tampoco, se hace referencia alguna a las capacitaciones a sus asesores y/o empleados sobre la política de seguridad de la información de la compañía, entre otras. En razón a lo anterior, las órdenes se mantendrán.

7. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”24. A juicio de COLOMBIA MÓVIL S.A. E.S.P., esta autoridad adoptó una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual se ejerció la facultad sancionatoria sin soporte legal ni fáctico, pues, se consideraron de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al Titular de la información. 22 Corte Constitucional.

Sentencia C – 748 del 2011. 23 Cfr Edelman Trust Barometrer de 2019 https://www edelman com/trust-barometer Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 14 En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados. En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser una norma estatutaria, goza de un rango normativo especial tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional, el cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información a que se refieren los artículos 15 y 20 de la Constitución Política Nacional, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado impidiendo dejar un espacio de valoración subjetiva de casos concretos.

Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la recurrente beneficio económico alguno por la comisión de la infracción; Reincidencia en la comisión de la conducta;

Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Se resalta que, no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. HOJA Nº 15 De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas. En segundo lugar, es claro que la Resolución No. 66739 de 14 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajusta a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no se derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. En otras palabras, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental25 a la protección de Datos26. En este caso en particular vale la pena recalcar que COLOMBIA MÓVIL S.A. E.S.P.: A) afectó los derechos fundamentales de un ciudadano, al vulnerar el deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015;

B) fue negligente como Responsable del Tratamiento de los Datos de un cliente. Pues, permitió el acceso no autorizado de un tercero a su nombre, cédula de ciudadanía, número de móvil, fotografías, huella dactilar, firma, RH, transgrediendo de esta manera el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma ley.

Y, por último, C) fue reincidente en el incumplimiento de los deberes previstos en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma norma, Razón por la cual se tuvo en cuenta el criterio establecido en el literal c) del artículo del artículo 19 de la Ley 1581 de 2012 aumentando la sanción por los dos cargos.

En relación con este punto, mediante el acto administrativo No. 66739 de 2021 que impuso la sanción se determinó dar aplicación al literal c) del artículo 19 de la Ley 1581 de 2012: “Será tenido en cuenta el criterio contenido en el literal c) del artículo del artículo 19 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1 fue sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado reincidencia en el cumplimiento de los deberes previstos en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, razón por la cual este Despacho aumentará la sanción por los dos cargos en un valor equivalente a QUINIENTAS (500) UNIDADES DE VALOR TRIBUTARIO – UVT.

En efecto, enseguida se destaca la siguiente sanción impuesta: Radicado 18-183272 25 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 26 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 16 En el que mediante la Resolución No. 20080 de 6 de mayo de 2020 se sancionó a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, por la violación del deber establecido en el artículo el literal el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma, al haberse demostrado que la sociedad: “( ) COLOMBIA MÓVIL S.A. E.S.P. vulneró el deber que tiene como Responsable del Tratamiento de garantizar el pleno y efectivo derecho de hábeas [sic] data, así como el derecho del Titular a solicitar la supresión de sus datos [sic].

Situación que se subsume en una clara violación a lo establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley [sic]” Dentro de la actuación administrativa, bajo el expediente con radicado 16-52401, se sancionó a la citada sociedad por la suma de CINCUENTA MILLONES VEINTISIETE MIL SEISCIENTOS SIETE PESOS M/CTE ($50.027.607), equivalente a MIL CUATROCIENTOS CINCO (1.405) artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley.

Radicado 16-52401 En el que mediante la Resolución No. 14485 de 28 de febrero de 2018 se sancionó a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, por la violación del deber establecido en el artículo el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, al haberse demostrado que la sociedad: “Con dicha actuación, el Responsable afectó el derecho de habeas data de la señora xxxxxxxxxxxxxxxxxxx, al divulgar su información personal no autorizada mediante la respuesta enviada a la reclamante dejando sus datos al alcance de terceros no autorizados que por un “error humano” le permitió el acceso a la información personal de la misma.

Por consiguiente, se encuentra demostrado el incumplimiento por parte de la sociedad COLOMBIA MOVIL, del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, por lo que se impondrá la correspondiente sanción.” Dentro de la actuación administrativa, bajo el expediente con radicado 16-52401, se sancionó a la citada sociedad por la suma de CUARENTA Y NUEVE MILLONES NOVECIENTOS NOVENTA Y NUEVE MIL CUATROCIENTOS OCHENTA Y OCHO PESOS M/cte.

($49.999.488), equivalente a sesenta y cuatro (64) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012”. De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos a fin de desentender o negar una verdad inconcusa, la cual es la del quebrantamiento de derechos constitucionales. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”27.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia28. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

7. DERECHO DE LOS TITULARES A SOLICITAR LA SUPRESIÓN DE SUS DATOS. DEBER DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DE DATOS PERSONALES DE TRAMITAR Y RESPONDER OPORTUNA Y DEBIDAMENTE LAS PETICIONES DE LAS PERSONAS La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad 27 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: HOJA Nº 17 con los principios que regulan el proceso de administración de datos [sic] personales. (…) 29. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.

Se trata de un asunto muy importante sobre el cual las empresas deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.

Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”30 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.

El Responsable y/o el Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley. La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales.

Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada. En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.

Este control, no sólo se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)31.

(Énfasis añadido). Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”32. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: 29 Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012). 30 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. 31 Sentencia C-748 de 2011.

Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 32 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012. HOJA Nº 18 “(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización y/o supresión del dato [sic]”.

“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].

El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que en virtud del ejercicio del Derecho Fundamental de Habeas Data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201233 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.

Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad, generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado. Esto, se reitera, es censurable e inadmisible. En este caso, la recurrente desatendió sus deberes legales porque el Titular presentó reclamos a la misma en el 2016 y en el 2019.

Vale la pena recordar lo que señaló la Dirección en la Resolución No. 30603 de 2022 que resolvió la apelación: “( ) De este modo, esta Dirección luego de revisar el expediente nuevamente, evidenció que con posterioridad a las solicitudes de supresión de datos personales por parte del quejoso, éste nuevamente recibe el 30 de abril de 2019, a su correo electrónico un mensaje que contenía los datos personales de otra persona y aunque la sociedad señala que posteriormente en 2019 el correo es indicado por un tercero, en las pruebas que aportan no se evidencia el correo del denunciante ( ) ( ) es claro que la recurrente mantuvo en sus bases de datos el correo electrónico del denunciante sin su autorización y que con posterioridad a la solicitud de supresión del dato, se encuentra que la recurrente vulneró el derecho de habeas data del titular realizando tratamiento de sus datos personales a pesar de la solicitud de supresión en ejercicio de su derecho fundamental de habeas data.

Así las cosas, esta Dirección observa que no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales y de existir una serie de capturas de pantalla, mediante las cuales la sociedad investigada argumenta dar cumplimiento con dicha supresión, lo cierto es que, la investigada no pudo lograr un proceso satisfactorio para demostrar dicha supresión, pues el Titular siguió recibiendo mensajes a su correo electrónico, y al día de hoy no se tiene certeza de la fecha de eliminación del correo electrónico del quejoso, pues la recurrente durante la investigación, aporta pruebas que corresponden a un correo electrónico diferente.

En consecuencia de todo lo anterior, es claro que la recurrente no aportó en ningún momento alguna prueba idonea que permitiera a esta Dirección deducir que en efecto los datos del Titular fueron eleminados [sic] de la base de datos”. Dado lo anterior, no son de recibo los argumentos planteados en el recurso objeto de estudio. 33 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” HOJA Nº 19

8. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos [sic] que contengan información personal o socialmente relevante”34. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2635 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic] ”36.

Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos 37. El artículo 22, por su parte, establece que el Responsable o Encargado del 34 Cfr. Corte Constitucional, Sentencia T-227 de 2003. 35 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 36 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 37 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” HOJA Nº 20 Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”38.

Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del Dato personal cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada39(accountability)40”. El término “accountability”41, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de Datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza 42 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Tatos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones 38 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”. 39 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 40 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 41 Cfr. Grupo de trabajo de protección de datos [sic] del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 42 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. HOJA Nº 21 sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 43.

(Énfasis añadido) El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 44, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”45.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 46. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”47. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”48 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos [sic] personales”49.

En este caso en particular, la investigada de acuerdo con las pruebas que reposan en el expediente y anexas al recurso en cuestión, no demostró cumplir con su deber de diligencia para informarle al Titular de los Datos la finalidad de la recolección de su información.

9. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. Si bien la presente actuación administrativa está relacionada con la sociedad COLOMBIA MÓVIL S.A. E.S.P. y su cumplimiento de la Ley 1581 de 2012, este Despacho quiere llamar la atención en la responsabilidad que los administradores de dicha sociedad tienen en el cumplimiento de la ley y los estatutos. 43 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 44 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 45 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 46 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-decompliance-iii/ 47 Idem. 48 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 49 Ibidem.

HOJA Nº 22 El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Por lo antes señalado, la actividad empresarial y económica realizada por COLOMBIA MÓVIL S.A. E.S.P. debe tener en consideración este llamado constitucional a ser respetuosa de los derechos fundamentales y humanos de los ciudadanos, incluido el derecho fundamental al debido Tratamiento de los Datos Personales consagrado en el precitado artículo 15 de la Constitución Política.

10. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Si bien la presente actuación administrativa está relacionada con la sociedad COLOMBIA MÓVIL S.A. E.S.P. S.A.S y su cumplimiento de la Ley 1581 de 2012, este Despacho quiere llamar la atención en la responsabilidad que los administradores de dicha sociedad tienen en el cumplimiento de la Ley y los Estatutos.

Ahora, según el artículo 22 de la Ley 222 de 1995 50 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado.

Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y 50 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” HOJA Nº 23 proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 51 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”52.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. Dado lo anterior, se exhorta al representante legal y demás administradores 53 de COLOMBIA MÓVIL S.A. E.S.P. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: a. Respetar y garantizar los derechos de los Titulares de los Datos; b. Evitar que se repitan hechos como los que dieron origen a la presente investigación; c. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; d. Aplicar el principio de responsabilidad demostrada, en los términos señalados en la Ley 2157 de 2021.

Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los Titulares de los Datos; y, e. Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas.

CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las empresas deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 de la Constitución Política Nacional;

El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 52 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 53 Según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones” HOJA Nº 24 2.

Quedó demostrado durante el curso de la actuación administrativa que COLOMBIA MÓVIL S.A. E.S.P.: A) afectó los derechos fundamentales de un ciudadano, al vulnerar el deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015;

B) fue negligente como Responsable del Tratamiento de los Datos de un cliente por cuanto permitió el acceso no autorizado de un tercero a su nombre, cédula de ciudadanía, número de móvil, fotografías, huella dactilar, firma, RH, transgrediendo de esta manera el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma ley.

C) fue reincidente en el incumplimiento de los deberes previstos en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la precitada norma y ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma norma, Razón por la cual se tuvo en cuenta el criterio establecido en el literal c) del artículo del artículo 19 de la Ley 1581 de 2012 aumentando la sanción por los dos cargos. 3.

Ni la responsabilidad, ni la sanción frente a quien incumple el régimen jurídico de protección de Datos Personales se desvanece ante la configuración de un "hecho superado", y no significa que desaparezcan las eventuales irregularidades en que incurrió, ni le exime de responsabilidad. Por lo anterior,, esta Superintendencia tiene plenas facultades para iniciar una actuación administrativa de carácter sancionatorio, frente a quien, entre otras cosas, alegue la configuración de un "hecho superado"; 4.

La multa impuesta equivale el 5,79% del máximo legal permitido por el artículo 23 de la Ley 1581 de 2012. Al momento de imponer la sanción se realizó el análisis de proporcionalidad y dosificación de la sanción. Así, los criterios señalados en el artículo 24 de la Ley 1581 de 2012, ya fueron tenidos en cuenta al momento del estudio probatorio; 5.

No se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción.

6. COLOMBIA MÓVIL S.A. E.S.P. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la exime de cumplir la Constitución Política Nacional y la ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 66739 de 14 de octubre de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 66739 de 14 de octubre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COLOMBIA MÓVIL S.A. E.S.P., identificada con Nit. 830.114.921-1, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxxx Xxxxxx Xxxxx Xxxxxxxx identificado con la Cédula de Ciudadanía No. xx.xxx.xxx o a sus apoderados, entregándoles copia de la misma e informándoles que contra el presente acto administrativo no procede recurso alguno. HOJA Nº 25 ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., septiembre 22 de 2022 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), CRISTINA RODRIGUEZ CORZO Firmado digitalmente por CRISTINA RODRIGUEZ CORZO Fecha: 2022.09.22 14:21:11 -05'00' CRISTINA RODRÍGUEZ CORZO CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Apoderada: Identificación: Tarjeta Profesional: Correo electrónico: Dirección: Ciudad: País: COLOMBIA MÓVIL S.A. E.S.P. Nit. 830.114.921-1 Marcelo Cataldo Franco C.E. No. 426572 Andrea María Orrego Ramírez C.C. No. 43.581.512 87822 del Consejo Superior de la Judicatura notificacionesjudiciales@tigo.com.co Carrera 50 No. 96-12 Bogotá D.C. Colombia Comunicación Señor: Xxxxx Xxxxxx Xxxxx Xxxxxxxx Identificación: C.C. No. xx.xxx.xxx Correo electrónico: xxxxxxxxxxxxxxxxxxxx HOJA Nº 26

Resolución sancionatoria N° 66739 de 2022

CONSIDERANDO

RESUELVE