Apelación 4708 de 2023 — SIC

(14 FEBRERO 2023) ““Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 21-169380 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución número 64206 de 14 de octubre de 20201, expedida por esta Dirección, se ordenó: “ARTICULO SEGUNDO: Remitir copia de la presente Resolución al Grupo de Trabajo de investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente”

SEGUNDO: Que, entre otras consideraciones, la Resolución número 64206 de 14 de octubre de 20202 señaló: “6.1 Respecto de derecho de los titulares de solicitar la supresión de su información personal. (…) Ahora bien, superada la anterior discusión, se observa que en el presente caso la reclamante manifiesta lo siguiente: “He sido sistemáticamente acosada por la empresa TIGO mediante correo electrónico y mensajes de texto a mi celular aduciendo que soy cliente de ellos cuando NO lo soy.

(…) He realizado las respectivas reclamaciones ante la entidad TIGO mediante llamadas y radicación de queja formal en sus oficinas y se niegan a resolver (…) Desde el año pasado a mi celular número XXXXXXX y a mi correo personal XXXXXXXXXXXXX me llegan correos y mensajes de la empresa TIGO de publicidad y aduciendo como si yo fuera cliente de ellos.

(…) Solicité de manera formal en las oficinas de TIGO que me dejaran de enviar mensajes ya que NO tengo ningún vínculo comercial con ellos y JAMAS he autorizado el tratamiento de mis datos personales a lo que se niegan justificando que la línea XXXXXXXXX está activa en TIGO y que no soy la titular. (…) La realidad es, que MI línea de celular número XXXXXXX pertenece desde el año 2018 a mi empresa ATENEA SOFTWARE Nit 900550118-4 de la cual soy dueña y Representante Legal.

Y es en AVANTEL donde mensualmente pago mis facturas de celular”. En virtud de lo anterior, el día 23 de enero de 2020 este Despacho requirió a la enunciada sociedad para que se pronunciara sobre los hechos materia de la denuncia y aportara las pruebas que pretendiera hacer valer para el trámite de la actuación de administrativa. Adicionalmente, se le solicitó allegar “(…) prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales” y “En Expediente digital, consecutivo 1, página 2, folio 2 al 8 Expediente digital, consecutivo 1, página 2, folio 2 al 8 “Por la cual se resuelve un recurso de reposición y se HOJA N, 2 concede el recurso de apelación” caso de ser procedente, acreditar prueba mediante la cual se demuestre que eliminó, actualizó o corrigió la información del titular”.

Al respecto la sociedad Colombia Móvil S.A ESP en su respuesta de explicaciones de fecha 8 de abril de 20203 afirmó lo siguiente: “La señora XXXX XXXX XXXXX no es usuaria de COLOMBIA MÓVIL S.A. E.S.P. No ha tenido relación contractual con la compañía por tanto no existe autorización y en este sentido no es sujeto de tratamiento de datos…”.

Contrario a lo anterior la titular en su escrito de queja aporta copia de mensajes recibidos por parte de la sociedad investigada y copia de la respuesta suministrada por la misma en la cual le indica entre otra otras cosas lo siguiente: “Dando respuesta a su requerimiento nos permitimos informarle que hemos realizado las validaciones en nuestro sistema de información en relación con la línea XXXXXXXX, la cual nos permitimos indicarle que este se encuentra activo en nuestra compañía. Respecto a la solicitud que nos realiza, le comunicamos que no es posible entregarle más información, toda vez que usted no es el titular del servicio ni un usuario autorizado para tal fin”4 Adicionalmente, la señora XXX XXX XXXXX XXXX allegó copia de los mensajes y correos recibidos por parte de la sociedad Colombia Móvil S.A ESP a la línea telefónica XXXXXXXXX y al correo electrónico XXXXXXXXXXXXXXX, sin embargo, la sociedad Colombia Móvil S.A ESP no allegó a la actuación prueba mediante la cual demuestre que procedió con la eliminación de los datos personales de la titular.

En ese orden de ideas, al no obrar dentro del expediente ningún elemento de prueba mediante el cual se demuestre que la sociedad Colombia Móvil S.A ESP cumplió con el deber de responsable de la información garantizando el derecho de la titular a solicitar la supresión de su información, este Despacho considera que posiblemente dicha sociedad continúa realizando tratamiento de los datos personales de la señora XXXXXXX XXXXXX XXX sin el lleno de los requisitos impuestos por la Ley 1581 de 2012 y el Decreto 1074 de 2015 configurándose una posible vulneración a su derecho fundamental de Habeas Data.”

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

CUARTO: Que mediante escrito radicado el día 2 de diciembre de 2021 el representante legal de la apoderada de la sociedad COLOMBIA MÓVIL S. A E.S.P., presentó durante el término establecido para tal fin, escrito de descargos.6 QUINTO: Que mediante Resolución No. 22963 de 20227, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-169380, consecutivos 1 al 20, Expediente digital, consecutivo 1, página 2, folio 24 Expediente digital, consecutivo 1, página 2, folio 14 Resolución No. 70094 de 2021 obrante en el expediente 21-169380 Expediente digital, consecutivo 10 7 Resolución No. 22963 de 2022 obrante en el expediente 21-169380 “Por la cual se resuelve un recurso de reposición y se HOJA N, 3 concede el recurso de apelación” con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que mediante la Resolución 85241 del 30 de noviembre de 20228, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad COLOMBIA MÓVIL S A E S P, identificada con NIT. 830114921- 1, de CUARENTA Y TRES MILLONES SETECIENTOS CUATRO MIL SEISCIENTOS PESOS M/CTE ($43.704.600) equivalente a MIL CIENTO CINCUENTA (1.150) unidades de valor tributario- UVT, por la violación a lo dispuesto en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.

SÉPTIMO: Que la Resolución 85241 del 30 de noviembre de 2022 fue notificada por Aviso No. 33914 el 13 de diciembre de 2022 a la sociedad investigada, a través de su apoderado general, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 21-169380- -23 del 16 de diciembre de 20229.

OCTAVO: Que mediante correo electrónico con radicado 21-169380- -00024-0000 del 23 de diciembre de 202210, a través de su apoderado, COLOMBIA MÓVIL S A E S P presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución 85241 del 30 de noviembre de 2022, con fundamento en: 8.1 Manifiesta que existe una ausencia de tipicidad de la conducta por las siguientes razones 11: “(…) es claro que las autoridades deben respetar y promover el respeto de los derechos fundamentales en sus actuaciones y, sobre todo, en las sanciones que imponga en ejercicio de sus facultades, tal como quedó establecido por la H. Corte Constitucional en sentencia C-921 de 2001 Corte Constitucional: “La potestad sancionatoria de la administración debe siempre desarrollarse con total respeto del ordenamiento supremo y, por ende, de los derechos fundamentales del implicado.

De esta manera la sanción que se imponga debe ser la consecuencia de un proceso recto, transparente, imparcial en el que se haya demostrado plenamente la comisión de la falta y se haya garantizado el pleno y efectivo ejercicio del derecho de defensa, de contradicción, de impugnación, por parte del implicado, y todos los demás que rigen el debido proceso”.

Lo anteriormente expuesto dista de lo acaecido en la decisión que dio lugar a la Resolución No. 85241 del 30 de noviembre de 2022, por medio de la cual se decido sancionar a mi representada, con una multa que no se compensa con los requisitos descritos por la jurisprudencia colombiana, afectando de esta manera el derecho al debido proceso de mi representada.” (…) (…) la conducta tipificada por la Dirección de Investigación de Protección de Usuarios de Comunicaciones en la Resolución 85241 del 30 de noviembre de 2022 que fue la supuesta 8 Resolución 85241 del 30 de noviembre de 2022 obrante en el expediente 21-169380 Expediente digital, consecutivo 23 Expediente digital, consecutivo 24 Expediente digital, consecutivo 24, Página 5, Folio 3 “Por la cual se resuelve un recurso de reposición y se HOJA N, 4 concede el recurso de apelación” transgresión a lo previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal e) del artículo 8 de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3, y como segundo cargo la transgresión de lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5 y demás normas concordantes, con las que determinó el presunto incumplimiento al deber de remitir el expediente a la Superintendencia para resolver el recurso de apelación instaurado de manera subsidiaria por la usuaria XXXXX XXXXXX XXXXX.

Es por ello que, frente a la conducta tipificada por la Dirección de Investigación de Protección de Usuarios de Comunicaciones, encontramos que desde la óptica del principio de culpabilidad es necesario desvirtuar el principio de presunción de inocencia y demostrar la responsabilidad del investigado y, en el caso que nos ocupa, no se evidencia el cumplimiento de éstos, pues como se ha reiterado a lo largo del trámite de esta investigación, se debe tener en cuenta que frente a este caso UNE EPM TELECOMUNICACIONES S.A. fue diligente al dar a conocer a su despacho el trámite otorgado a la reclamación interpuesta por la usuaria; pues nuestra compañía siempre ha estado comprometida en velar por el cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés una adecuada y pronta resolución de sus peticiones, que en el caso aquí debatido fue llevado bajo los términos de la Resolución. En este sentido, quedo demostrado que mi representada resolvió los recursos de reposición con favorabilidad integral a las pretensiones de los usuarios, como se demostró en el escrito de atenuantes, descargos. 12 8.2 Aduce que hay una indebida valoración probatoria porque: “(…) frente al cargo primero, que conforme con lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012, se reconoce expresamente la comisión de la infracción y por lo mismo la Compañía procedió con la supresión de la información de las bases de datos con el fin de evitar que no se realice contacto a futuro de la cédula No. XXXXXX, la línea XXXXXXX y el correo electrónico XXXXXXXXXXXXX, a fin de eliminar cualquier información relacionada acorde a lo solicitado por el usuario.

Expediente digital, consecutivo 24, página 5, folio 5 HOJA N, 5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Frente al cargo segundo, indicamos que como se informó a la SIC en comunicación del del(sic) 28 de abril de 2020, la señora XXX XXXXXX XXXXX no es usuaria de los servicios de Colombia Móvil S.A E.S.P. y no ha tenido relación contractual con la Compañía, por tanto, no existe autorización y en este sentido no es sujeto del tratamiento de datos.

En este caso, se debe tener en consideración que los hechos que dieron origen a la presente denuncia ya se encuentran superados, motivo por el cual, de manera atenta, solicitamos a su despacho de la manera más respetuosa, se declare el cierre y como consecuencia se ordene el archivo del trámite a nombre de la señora XXXXXXXX XXXXX XXXXX.”13 8.3 Aduce que se presenta una falta de legitimación en la causa por pasiva: “Tal como puede evidenciarse, la Compañía no es la entidad legitimada por pasiva para soportar la sanción por los cargos impuestos, dado que como bien se probó a lo largo del proceso la señora XXXX XXXXX XXXXXX no es usuaria de COLOMBIA MÓVIL S.A. E.S.P. y no ha tenido relación contractual con la Compañía por tanto no existe autorización y en este sentido no es sujeto del tratamiento de datos.” 14 8.4 Señala que no se aplicaron correctamente los factores de graduación de la sanción: Como podemos observar en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios que analizó al imponer la sanción a mi representada, por tanto, no se dio cumplimiento al inciso final del artículo citado, lo que impide controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la compañía UNE EPM TELECOMUNICACIONES S.A., contrariando lo manifestado por la jurisprudencia. (…) Por tanto, se insiste en que la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada la existencia de una afectación al interés general sin especificar cuál es, cuáles son los daños y perjuicios ocasionados al mismo y a todo el régimen de protección de usuarios, ya que en los casos analizados parte de hechos privados y concreto relacionado con la reclamación de los usuarios.”15 8.5 Expresa que no se realizó una adecuada cuantificación de la sanción impuesta: “Es por ello que insistimos que, la Dirección incurre en una clara falta al valorar las conductas, pues en ninguna parte de la Resolución [sic] recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta.

Su obligación consiste solo parcialmente en determinar si la conducta existió́ o no, pero la norma y los criterios de proporcionalidad ya desarrollados y traídos a colación por la propia Superintendencia [sic], Expediente digital, consecutivo 24, página 5, folio 8 Expediente digital, consecutivo 24, página 5, folio 9 Expediente digital, consecutivo 24, página 5, folio 11 HOJA N, 6 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” le imponen el deber de determinar la dimensión bien del dano ̃, si este ocurrió́, o del peligro que la conducta generó para los derechos de los titulares.”

NOVENO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 10.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Segundo de la parte resolutiva de la Resolución 85241 del 30 de noviembre de 2022 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a: 101.1 La sociedad investigada fue notificada por aviso No. 33914 el 13 de diciembre de 2022 de la Resolución 85241 del 30 de noviembre de 2022, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 21-169380- -23 del 16 de diciembre de 2022. 101.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 23 de diciembre de 2022 a través de correo electrónico con radicado 21-169380- -00024, encontrándose dentro del término legal. 101.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 85241 del 30 de noviembre de 2022, los cuales fueron expuestos en el numeral considerativo octavo de esta resolución. 101.4 Respecto de los documentos aportados como pruebas por la recurrente: Mediante el correo electrónico con radicado 21-169380- -00024 del 23 de diciembre de 2022, allegó lo siguiente:    Escrito de recurso de reposición y en subsidio de apelación. Certificado de composición accionaria.

Certificado de existencia y representación legal de TELECOMUNICACIONES S.A. UNE EPM 10.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio:  El apoderado general en el escrito con radicado 21-169380- -00024 del 23 de diciembre de 2022, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 85241 del 30 de noviembre de 2022, señala nombre, dirección y correo electrónico de la recurrente para notificaciones.

DÉCIMO PRIMERO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cinco (5) aspectos a saber: (i) Ausencia de tipicidad de la conducta, (ii) Indebida valoración probatoria, (iii) Falta de legitimación en la causa por pasiva, (iv) Análisis de los factores de graduación de la sanción (v) Cuantificación de la sanción impuesta. 11.1 Respecto de la tipicidad de la conducta: El recurrente manifiesta lo siguiente: Expediente digital, consecutivo 24, página 5, folio 12 “Por la cual se resuelve un recurso de reposición y se HOJA N, 7 concede el recurso de apelación” "(…) es claro que la conducta tipificada por la Dirección de Investigación de Protección de Usuarios de Comunicaciones en la Resolución 85241 del 30 de noviembre de 2022 que fue la supuesta transgresión a lo previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal e) del artículo 8 de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3, y como segundo cargo la transgresión de lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5 y demás normas concordantes, con las que determinó el presunto incumplimiento al deber de remitir el expediente a la Superintendencia para resolver el recurso de apelación instaurado de manera subsidiaria por la usuaria XXXXXXX XXXXXXX XXXXXXX.

En este sentido, quedo demostrado que mi representada resolvió los recursos de reposición con favorabilidad integral a las pretensiones de los usuarios, como se demostró en el escrito de atenuantes, descargos."17 Al analizar las conductas que dieron lugar a la sanción imputada a la investigada, se encontró que estaban tipificadas como un incumplimiento de los deberes de los Responsables del tratamiento definidos en el artículo 17 de la Ley 1581 de 2012.

Deberes que fueron indicados de manera clara desde la formulación de cargos y que se encuentran tipificados en el artículo 17 de la Ley 1581 de 2012: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.;

La Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012 que contiene la lista de deberes exigibles al Responsable del tratamiento. En este caso el incumplimiento de tres de estos deberes llevó a la imposición de la sanción: “Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia, garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involucrado en el tratamiento del dato pueda argumentar, con fundamento en la ley.

Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no significa que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos.

En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, Expediente digital, consecutivo 24, página 5, folio 5 “Por la cual se resuelve un recurso de reposición y se HOJA N, 8 concede el recurso de apelación” lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional.

No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.

Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley” Así mismo respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].

(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].

En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.

Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;

(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (resaltado fuera del texto) Por lo anterior, es claro que a lo largo de la investigación se cumplió con el principio de legalidad al fallar respecto de la Ley que regula el tema, el de tipicidad al formular cargos y decidir respecto del incumplimiento de los deberes establecidos en el artículo 17 de la Ley 1581 de 2012 y la conducta o comportamiento reprochable fue claramente detallado desde la formulación, analizado y soportado con las pruebas en la decisión y cumpliendo en todo momento con el debido proceso, “Por la cual se resuelve un recurso de reposición y se HOJA N, 9 concede el recurso de apelación” garantizando el derecho de defensa que fue ejercido en todas las etapas por parte de la investigada.

Así mismo, se tomó en consideración la aceptación del incumplimiento del deber de garantizar el ejercicio del derecho de habeas data del titular y el deber de solicitar autorización previa al tratamiento, como causal de atenuación de la sanción impuesta tal como se encuentra establecido en la norma. Por otra parte, se debe aclarar que el procedimiento señalado en la Resolución No. 5050 de 2016 mencionado por el recurrente es para conflictos relacionados con actos de negativa del contrato, suspensión del servicio, terminación del contrato, corte y facturación entre usuarios y proveedores de los servicios de telecomunicaciones, por lo tanto, no aplica para el Régimen de Protección de Datos Personales, porque este se rige por el procedimiento administrativo sancionatorio de la Ley 1437 de 2011 desde el artículo 47 al 52. 11.2 Indebida valoración probatoria Al respecto el recurrente señaló: “(…) frente al cargo primero, que conforme con lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012, se reconoce expresamente la comisión de la infracción y por lo mismo la Compañía procedió con la supresión de la información de las bases de datos con el fin de evitar que no se realice contacto a futuro de la cédula No. XXXXXX, la línea XXXXXXXX y el correo electrónico XXXXXXXXXXXXXX, a fin de eliminar cualquier información relacionada acorde a lo solicitado por el usuario.

Frente al cargo segundo, indicamos que como se informó a la SIC en comunicación del del 28 de abril de 2020, la señora XXXXXX XXXXX XXXXX no es usuaria de los servicios de Colombia Móvil S.A E.S.P. y no ha tenido relación contractual con la Compañía, por tanto, no existe autorización y en este sentido no es sujeto del tratamiento de datos.

En este caso, se debe tener en consideración que los hechos que dieron origen a la presente denuncia ya se encuentran superados, motivo por el cual, de manera atenta, “Por la cual se resuelve un recurso de reposición y se HOJA N,10 concede el recurso de apelación” solicitamos a su despacho de la manera más respetuosa, se declare el cierre y como consecuencia se ordene el archivo del trámite a nombre de la señora XXXXXXX XXXXXX XXXXX.”18 Con relación a lo dicho frente al cargo primero se observa que la eliminación de los datos personales de la titular de las bases de datos de la investigada se llevó a cabo el 5 de noviembre de 2020, con ocasión a la orden proferida en la Resolución 64206 del 14 de octubre de 2020 19 dentro del curso de la investigación cuyo expediente es el No. 20-041616, la cual decía lo siguiente: “ARTÍCULO PRIMERO: Ordenar a la sociedad Colombia Móvil S.A ESP con el Nit. 830.114.921 - 1, que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, proceda con la eliminación del correo electrónico XXXXXXXXXXXXXX y el celular No. XXXXXXX de la señora XXXX XXXXXX XXXX identificada con C.C. No. XXXXXXXX contenidos en sus bases de datos.” Al respecto la investigada acreditó el acatamiento de la orden con las siguientes pruebas 20: Expediente digital, consecutivo 24, página 5, folio 8 Resolución 64206 del 14 de octubre de 2020 obrante en el expediente 20-041616 Expediente digital, consecutivo 1, página 2, folio 83 y 84 “Por la cual se resuelve un recurso de reposición y se HOJA N,11 concede el recurso de apelación” Las pruebas que demuestran a lo largo de esta investigación la gravedad de la falta cometida por COLOMBIA MÓVIL S A E S P son los mensajes de texto enviados a la titular de contenido publicitario en los que se le trata como cliente pese a que la línea telefónica XXXXXXXX pertenece a Avantel según lo demostrado por la titular: De manera que, si bien el recurrente asegura que ya realizó la supresión de los datos personales de la titular, se debe tener en cuenta que la investigada corrigió la conducta vulneratoria en cumplimiento a una orden impartida por esta Superintendencia, la cual está facultada para adelantar una actuación administrativa de carácter sancionatorio, cuando existe responsabilidad administrativa derivada de la vulneración al Régimen Especial de Protección de Datos Personales.

Por lo que, el hecho de que una sociedad corrija sus posibles errores no la exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales, de modo que la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido una organización frente al tratamiento de datos personales.

Expediente digital, consecutivo 1, página 2, folio 130 Expediente digital, consecutivo 1, página 2, folio 12 HOJA N,12 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Así pues, el cumplimiento del Régimen Especial de Protección de Datos Personales implica que la sociedad como Responsable del tratamiento debe cumplir TODOS los deberes y disposiciones establecidas en la Ley, por lo tanto, al haberse demostrado que la sociedad recurrente incumplió negligentemente tres (3) deberes establecidos en la Ley 1581 de 2012, los deberes establecidos en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.;

Por lo anterior, no puede pretender haber incumplido unos de los deberes establecidos, de carácter obligatorio, y excusarse en que posteriormente y en virtud de una orden de la Superintendencia, la sociedad procedió a cumplir uno de los deberes indicados. En virtud de lo expuesto, contrario a lo que afirma la recurrente, se analizaron todas las pruebas aportadas a lo largo de la investigación y obrantes en el expediente, y junto con el escrito de recurso de reposición y en subsidio de apelación no se aportó prueba alguna que acredite el cumplimiento de los deberes previamente indicados.

Lo mismo ocurre con el segundo y tercer cargo, puesto que la investigada no acreditó contar con la autorización previa, expresa e informada de la titular durante el tiempo en que realizó el tratamiento de sus datos personales, por consiguiente, la valoración probatoria se realizó con base en la secuencia de los hechos y las pruebas aportadas, en donde quedó demostrado el incumplimiento de los deberes de la investigada como Responsable del tratamiento. 11.3 Falta de legitimación en la causa por pasiva El recurrente declara lo siguiente: “Tal como puede evidenciarse, la Compañía no es la entidad legitimada por pasiva para soportar la sanción por los cargos impuestos, dado que como bien se probó a lo largo del proceso la señora XXX XXXXXXX XXXXX no es usuaria de COLOMBIA MÓVIL S.A. E.S.P. y no ha tenido relación contractual con la Compañía por tanto no existe autorización y en este sentido no es sujeto del tratamiento de datos.” 23 Referente a este tema se debe aclara el concepto de Responsable del tratamiento, el cual esta establecido en el literal e) del artículo 3 de la Ley 1581 de 2012, define al Responsable del tratamiento de la siguiente manera: "Artículo 3.

Definiciones, Para los efectos de la presente ley, se entiende por: (…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por si misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; (…)” Expediente digital, consecutivo 24, página 5, folio 9 “Por la cual se resuelve un recurso de reposición y se HOJA N,13 concede el recurso de apelación” Esta norma fue declarada exequible mediante Sentencia C-748 de 2011 en el siguiente entendido: "( ) él concepto 'decidir sobre el tratamiento' empleado por el literal e) parece coincidir con la posibilidad de definir —jurídica y materialmente- los fines y medios del tratamiento”.

Esto significa que es Responsable del tratamiento la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, determine - de hecho, o de derecho- los fines del tratamiento y los medios para alcanzarlos; en este caso la sociedad recurrente ostenta la calidad de Responsable por el hecho de que fue quien realizó la recolección y uso de los datos personales de la titular, sin contar con su autorización, tampoco haber informado las finalidades del tratamiento, ni tener una relación contractual o comercial, y que a pesar de la solicitud de supresión de los datos personales, la sociedad recurrente continuó realizando el tratamiento de los datos personales.

Sin embargo, el recurrente afirma que al no existir una relación contractual alguna con la titular no cuenta con la autorización previa al tratamiento y tampoco le informó la finalidad del uso de sus datos personales, pero como se dijo anteriormente, no es necesario que haya un vínculo contractual con el titular para que se dé el tratamiento indebido de sus datos personales, y es Responsable quien toma la decisión de usar los datos para cualquier finalidad, en consecuencia, asume con su decisión los deberes impuestos en la Ley 1581 de 2012 y es sujeto de sanción por el incumplimiento de dichos deberes. 11.4 Análisis de los factores de graduación de la sanción: “Como podemos observar en la Resolución recurrida, la SIC no incluyó una valoración detallada con una explicación clara de los hechos, pruebas y normas que tuvo en cuenta para cada uno de los criterios que analizó al imponer la sanción a mi representada, por tanto, no se dio cumplimiento al inciso final del artículo citado, lo que impide controvertir de manera adecuada las razones que el investigador tuvo en cuenta para imponer ese monto como sanción a la compañía UNE EPM TELECOMUNICACIONES S.A., contrariando lo manifestado por la jurisprudencia. (…) Por tanto, se insiste en que la SIC adopta una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual está ejerciendo la facultad sancionatoria sin el soporte legal y fáctico respectivo, pues considera de manera aislada la existencia de una afectación al interés general sin especificar cuál es, cuáles son los daños y perjuicios ocasionados al mismo y a todo el régimen de protección de usuarios, ya que en los casos analizados parte de hechos privados y concreto relacionado con la reclamación de los usuarios.”24 Es importante precisar que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Por tanto, la imposición de una sanción surge de un análisis de la dimensión del daño o puesta en peligro de los intereses jurídicos tutelados, así como, de la conducta de la investigada durante el trámite de la investigación administrativa. Así pues, esta Superintendencia está facultada para adelantar una actuación administrativa de carácter sancionatorio, cuando existe responsabilidad administrativa derivada de la vulneración al Régimen Especial de Protección de Datos Personales.

En este sentido, el argumento del recurrente según el cual no se evidencia una afectación al interés general, no está llamado a prosperar, y además demuestra que el recurrente no comprende la razón de ser y el alcance de la Ley Estatutaria 1581 de 2012, que protege el derecho fundamental de habeas data consagrado en el artículo 15 de la Constitución Política de 1991, y que regula el tratamiento de datos personales; señalando claramente los derechos de los Titulares y los deberes de los Responsables y Encargados del Tratamiento, con el fin de que implementen un sistema eficiente de protección de datos personales que evite la vulneración del mencionado derecho fundamental.

Por consiguiente, la vulneración no se deriva únicamente de la afectación al derecho fundamental de habeas data de un Titular en específico, sino que también ocurre por el incumplimiento del Régimen de Protección de Datos Personales, que exige por parte de los Responsables y Expediente digital, consecutivo 24, página 5, folio 11 “Por la cual se resuelve un recurso de reposición y se HOJA N,14 concede el recurso de apelación” Encargados ciertas conductas y deberes que de no ser acatados, darán lugar al inicio de un proceso administrativo sancionatorio en el que se señalaran las disposiciones presuntamente infringidas y las sanciones procedentes, garantizando el derecho de defensa y contradicción al investigado, por parte de la Superintendencia de Industria y Comercio a través de sus funciones de inspección, vigilancia y control, ejerciendo el poder punitivo del Estado.

Con relación a este tema se tiene que el artículo 24 de la Ley 1581 de 2012 dice lo siguiente: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (Subrayamos) En este caso los criterios de graduación aplicados para imponer la sanción fueron: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; c) La reincidencia en la comisión de la infracción; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

Mientras que no se tuvieron en cuenta los literales b), d) y e) del artículo 24 de la Ley 1581 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Al respecto la Corte Constitucional en sentencia de control de constitucionalidad C-748/11 indicó lo siguiente: "2.23.3. La constitucionalidad del artículo 24. Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución." Por lo anterior es claro que se aplicaron de manera adecuada los criterios establecidos en la Ley.

Por otra parte, en el expediente se encuentra la comunicación emitida por la investigada a la titular el 8 de febrero de 2020 en el que afirma lo siguiente: “(…) Dando respuesta a su requerimiento nos permitimos informarle que hemos realizado las validaciones en nuestro sistema de información en relación con la línea 3044613127, la cual nos permitimos indicarle que este se encuentra activo en nuestra compañía. Respecto a la solicitud que nos realiza, le comunicamos que no es posible entregarle más información, toda vez que usted no es el titular del servicio ni un usuario autorizado para tal fin.

“Por la cual se resuelve un recurso de reposición y se HOJA N,15 concede el recurso de apelación” Por último, es de aclarar que bajo su nombre y cedula no se encuentran servicios activos en nuestra Compañía. (…)”25 Por lo anterior, se observa que las pruebas que llevaron a imponer una sanción contra la sociedad investigada evidencian que esta llevó a cabo un indebido tratamiento de los datos personales de la titular sin contar con su autorización previa, expresa e informada y que además le impidió el ejercicio de su derecho de habeas data al no atender su petición de supresión de sus datos con el fin de no continuar recibiendo comunicaciones a su correo electrónico y a su línea de celular.

Posteriormente, con el inicio de la investigación del caso por parte de esta Superintendencia, COLOMBIA MÓVIL S A E S P reconoció el incumplimiento de sus deberes como Responsable y procedió con la supresión de los datos de la titular, por lo que, al momento de establecer la sanción a imponer se tuvieron en cuenta los criterios de graduación que se enuncian en el artículo 24 de la Ley 1581 de 2012, especialmente el reconocimiento o aceptación expresos de la comisión de la infracción como una causal de atenuación de la sanción. 11.5 Respecto a la cuantificación de la sanción impuesta: El recurrente expresa lo siguiente: “Es por ello que insistimos que, la Dirección incurre en una clara falta al valorar las conductas, pues en ninguna parte de la Resolución [sic] recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta.

Su obligación consiste solo parcialmente en determinar si la conducta existió́ o no, pero la norma y los criterios de proporcionalidad ya desarrollados y traídos a colación por la propia Superintendencia [sic], le imponen el deber de determinar la dimensión bien del daño, si este ocurrió́, o del peligro que la conducta generó para los derechos de los titulares.” 26 Al respecto, se encuentra probada la negligencia en el cumplimiento de los deberes mencionados, y a lo largo de la presente investigación se demostró la infracción cometida por la sociedad recurrente, por otra parte, respecto del monto de la sanción impuesta se aclara que la arbitrariedad de la autoridad al momento de imponer la sanción está limitada por una serie de criterios que hacen posible que la actividad sancionatoria obedezca a criterios de razonabilidad y ponderación que hace que la administración se sujete a unos límites y no desborde sus competencias así como tampoco vulnere los derechos del administrado.

Es por ello que el mismo artículo 24 de la Ley 1581 de 2012 señala en su parte inicial que estos criterios deberán ser tenidos en cuenta “en cuanto resulten aplicables”. Así mismo, debe aclararse que la Ley 1581 de 2012 no estableció en el artículo 23 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Protección de Datos Personales.

Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.  Respecto del principio de proporcionalidad y razonabilidad En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Ahora bien, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido. Expediente digital, consecutivo 1, página 2, folio 14 a 15 Expediente digital, consecutivo 24, página 5, folio 12 “Por la cual se resuelve un recurso de reposición y se HOJA N,16 concede el recurso de apelación” Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. No debe perderse de vista que la Ley 1581 de 2012 es de naturaleza estatutaria, cuyo rango legal especial pone de presente la protección especial que tiene el habeas data, la protección de datos personales o el debido tratamiento de esa información. Por eso, los Responsables o Encargados del tratamiento de datos personales no pueden prescindir de su observancia, o escapar de su cumplimiento.

En concordancia con lo expuesto, es claro que en la decisión recurrida y a lo largo de la investigación se demostró la infracción cometida por la recurrente, específicamente respecto de los deberes previstos en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.

Así pues, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de las infracciones al Régimen General de Datos Personales se configuró un peligro frente a los intereses de los Titulares contemplados en la Ley 1581 de 2012, al realizarse el tratamiento de datos personales de la titular sin su autorización previa e informada y al no permitirle ejercer su derecho de habeas data.

Finalmente, la vulneración del derecho de habeas data no solo afecta al titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos “Por la cual se resuelve un recurso de reposición y se HOJA N,17 concede el recurso de apelación” razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”27. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia28.

Así las cosas, recalcamos, la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, es claro que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa, es proporcional y razonable a la vulneración demostrada.

Cabe aclarar, que el análisis realizado no se hace extensivo a otras investigaciones, toda vez que en cada investigación administrativa se debe realizar una valoración independiente frente a los hechos y material probatorio obrante en el expediente, el tamaño de la empresa, sus ingresos operacionales, el patrimonio, y, en general, la información financiera de cada empresa. 11.6 Respecto de las pretensiones La recurrente indicó como pretensiones: Respetuosamente, me permito solicitar a la Superintendencia de Industria y Comercio se sirva: “PRIMERO: REVOCAR íntegramente la decisión adoptada mediante la Resolución No 85241 del 30 de noviembre de 2022 y en su lugar se sirva absolver a la Compañía UNE EPM TELECOMUNICACIONES S.A. respecto de los cargos formulados mediante la Resolución No. 70094 del 29 de octubre de 2021, conforme a los descargos, pruebas y documentos que integran la investigación administrativa con radicado No. 21-169380.

SEGUNDO: DISPONER el archivo de la actuación administrativa objeto del presente recurso.

TERCERO: Si el Despacho insiste en imponer sanción por el supuesto incumplimiento, entonces se rebaje la sanción a la mínima establecida en la norma para este tipo de casos. PETICIÓN SUBSIDIARIA: Que se conceda el Recurso de Apelación en el evento en que el Recurso de Reposición interpuesto como principal sea resuelto de manera desfavorable para mi representada.” Al respecto, se confirma la conducta negligente de la recurrente por el incumplimiento de los deberes consagrados en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.

(ii) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5. (iii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 y el recurrente no aportó prueba alguna que acreditara el cumplimiento de los deberes mencionados por lo cual, no es procedente la pretensión de revocar integralmente la sanción impuesta contra la investigada y la de archivar la presente investigación. Por otra parte, COLOMBIA MÓVIL S A E S P desde el inicio de la investigación reconoció expresamente el incumplimiento de los deberes primero y segundo, por tal razón, no es aceptable que en esta instancia pretenda que se revoque la sanción impuesta, al ser esta una consecuencia de su falta de diligencia como Responsable del tratamiento, considerando que este reconocimiento fue tenido en cuenta como criterio de graduación de la sanción y generó una atenuación de la misma.

Adicionado al hecho que solicita la Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se resuelve un recurso de reposición y se HOJA N,18 concede el recurso de apelación” revocatoria pero no aporta prueba alguna con la que pretenda acreditar el cumplimiento de los deberes previamente indicados.

Ahora bien, respecto a las pretensiones tendientes a disminuir el monto de la sanción, se reitera que, una vez analizado el caso en específico, teniendo en cuenta los deberes incumplidos, la magnitud de la vulneración del derecho, la realidad económica de la sociedad, las pruebas aportadas, y los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, no se encontró procedente disminuir el monto de la sanción impuesta.

Finalmente se concede el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales con el fin de que surta el trámite de Apelación.

DÉCIMO SEGUNDO: Conclusiones i. Se confirmó que la recurrente infringió abiertamente las normas sobre protección de datos personales consagradas en: (i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 8 literal e) de la misma norma y el Decreto Único Reglamentario 1074 de 2015 artículos 2.2.2.25.4.1 numeral 1 y 2.2.2.25.4.3.

COLOMBIA MÓVIL S.A. E.S.P puso en peligro los intereses jurídicos de la titular e incumplió el Régimen de Protección de Datos Personales al no garantizarle el ejercicio del derecho de habeas data a la titular al momento de solicitar la supresión de sus datos personales, de igual forma, realizó el tratamiento de los datos personales de la titular sin contar con su autorización previa y sin informarle las finalidades del uso de su información personal. iii.

La vulneración no se deriva únicamente de la afectación al derecho fundamental de habeas data de un Titular en específico, sino que también ocurre por el incumplimiento del Régimen de Protección de Datos Personales, de modo que el hecho de que una sociedad corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales. iv.

El hecho de que no exista una relación contractual entre el titular y el Responsable no lo exime de la obligación de solicitar la autorización previa, expresa e informada del titular, de manera previa al tratamiento de sus datos personales. v. La investigada ha reincidido en dos investigaciones administrativas en el incumplimiento del deber del literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra esta Dirección que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en todas sus partes la decisión proferida mediante Resolución No. 85241 de noviembre de 2022.

DÉCIMO TERCERO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad COLOMBIA MÓVIL S A E S P. identificada con Nit. 830.114.921-1, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su apoderado vinculado al correo notificacionesjudiciales@tigo.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas “Por la cual se resuelve un recurso de reposición y se HOJA N,19 concede el recurso de apelación” autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 85241 del 30 de noviembre de 2022, por las razones expuestas en la parte motiva de este Acto Administrativo.

ARTÍCULO SEGUNDO: CONCEDER el Recurso de Apelación interpuesto subsidiariamente por la sociedad sancionada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR a la sociedad COLOMBIA MÓVIL S A E S P., con Número de Identificación Tributaria 830114921- 1 la presente Resolución, a través de su Representante Legal o apoderado, entregándole copia de la misma.

ARTÍCULO CUARTO: COMUNICAR a la señora XXXXXXX XXXXXXXX XXXX, identificado con C.C. XXXXXXXXXXX el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

COMUNÍQUESE,

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 14 FEBRERO 2023 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DMPRB Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: COLOMBIA MÓVIL S A E S P Identificación: Nit.: 830114921- 1 Representante Legal: Marcelo Cataldo Franco Identificación: C.E. No. 426572 Dirección: Carrera 50 # 96-12 Ciudad: Bogotá D.C. Correo electrónico: notificacionesjudiciales@tigo.com.co “Por la cual se resuelve un recurso de reposición y se HOJA N,20 concede el recurso de apelación” Apoderado: Luis Fernando Gómez Salazar Identificación: C.C 80240725 Tarjeta Profesional: No.140.683 del C. S. de la J. Dirección: Carrera 65 # 30A - 58 Ciudad: Medellín, Antioquia Correo electrónico:notificacionesjudiciales@tigo.com.co y DiredeProceLegal@tigo.com.co COMUNICACIÓN: Señora: XXXXXXX XXXXXXXX XXXXXXXXX Identificación: C.C. No. XXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXX

Resolución sancionatoria N° 4708 de 2023

CONSIDERANDO

RESUELVE