Apelación 16847 de 2021 — SIC

(26 MARZO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Radicación 19-172149 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 78239 del 4 de diciembre del 2020, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a (i) la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., identificada con Nit. 900.069.458-1 de QUINCE MILLONES DE PESOS M/CTE ($15.000.000) equivalente a 421,2654815 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal b) del artículo 18, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012, y (ii) a la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., identificada con Nit. 800.097.913-8 de VEINTE MILLONES DE PESOS M/CTE ($20.000.000) equivalente a 561,6873087 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en: i) El literal i) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012 y, ii) El literal n) del artículo 17, en concordancia con el artículo 25 de la Ley 1581 de 2012, y literal g) del capítulo segundo de la Circular Externa No. 02 del 3 de noviembre de 2015 que “Adiciona el Capítulo Segundo en el Título V de la Circular Única de esta Superintendencia, sobre el Registro Nacional de Bases de Datos –RNBD”.

La Resolución N°. 78239 del 4 de diciembre del 2020 le fue notifica a la entidad BANCA DE SERVICIOS FINANCIEROS SAS el día 7 de diciembre del 2020, por medio de notificación electrónica, mientras que la citada resolución le fue notificada a la entidad FONDO DE EMPLEADOS GRANFONDO -FEG el día 17 de diciembre del 2020 por medio de aviso N°. 32522.

Lo anterior de conformidad con la certificación con radicado N°. 19-172149-43 expedida por la Secretaria General de esta Superintendencia de fecha 17 de diciembre del 2020.

SEGUNDO: Que mediante escrito radicado el 21 de diciembre de 2020 bajo el radicado 19-172149-00044-0001, la sociedad Banca de Servicios Financieros - BANSERFIN S.A.S., interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°. 78239 del 4 de diciembre del 2020, con los siguientes argumentos: 2.1. Se pronunció su condición de representante legal de la recurrente, trajo a colación el monto de la sanción, y solicita sea revocada la sanción impuesta debido a lo siguiente: 2.2.

Alega que no fueron tenidos en cuenta los argumentos esgrimidos toda vez que “(…) no tuvo en cuenta los objetivos, debidamente probados y sustentados fundamentos soportes que arrimamos como respuesta al pliego de cargos en contra de nuestra entidad, para finalmente imponernos una sanción idéntica a la impuesta al Fondo de Empleados Gran Fondo por el cargo primero (como se puede evidenciar en el numeral decimo (sic) tercero de la parte motiva de la resolución de sanción), cuando siempre hemos dado oportuna respuesta, estricta sujeción a los requerimientos de la SIC sobre el caso que nos ocupa (…) hemos desplegado con absoluta corrección y respeto una conducta responsable, de total colaboración, información, transparencia y allanamiento a los cargos y requerimientos de la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA SIC y de su despacho sin que todos estas conductas que tienen un claro efecto de atenuación en el reproche sancionatorio (…)”1 2.3.

Expresa que la sanción es desproporcionada debido a “(…) no se entiende como una MINIPYME (sic) del tamaño de Banserfin S.A.S. en su condición de encargado de la información obtenga una sanción pecuniaria de idéntica cuantía respecto al cargo primero del “Fondo de Empleados Granfondo” cuyo tamaño, rol de responsable y conductas previas concomitantes y posteriores a este proceso distan de las nuestras.

(…)”2 2.4. Por otro lado, menciona que no se ocasionó un perjuicio a los datos personales o derechos del quejoso, ya que “(…) de la conducta desplegada por la funcionaria de nuestra entidad que remitió por error un correo masivo con la invitación general y abstracta de estar al corriente de obligaciones económicas, nunca hubo una vulneración formal ni material efectiva a los datos del quejoso ni de ninguna persona en particular, no se pusieron en riesgo ningún tipo de dato financiero o personal por el simple hecho que jamás fueron revelados, se reconoció de forma inmediata y expedita el error subsanándolo, se sancionó a la funcionaria y se reforzaron todos los procesos, políticas, controles, manuales y formatos que aportamos en el proceso de calificación de la falta, con el fin univoco de cumplir con nuestros deberes legales y proscribir la posibilidad de que una situación por pequeña que sea como la que ocurrió se volviera a repetir (…)”3. 2.5.

En cuanto al argumento del supuesto reconocimiento de la infracción, menciona que “Desde el momento mismo en que se surtió por parte de la delegatura la investigación preliminar del caso nos fue citada por parte de la S.I.C. una serie de normas y fundamentos que señalaban que la potencial sanción a la que nos veríamos expuestos se mitigaría conforme a la conducta de colaboración, información y asunción de nuestra responsabilidad, pero aun independientemente de este hecho el obrar de Banserfin S.A.S. a lo largo de todo el proceso, ha sido de buena fe, de la más absoluta colaboración y sujeción a los requerimientos del ente investigador y sancionador (en contraste con el Fondo de Empleados Granfondo, quien básicamente recibió la misma sanción teniendo un tamaño, rol y responsabilidad aun mayor), razón por la que acudimos a estos antecedentes objetivos, reglado y documentados para que se valore la revocatoria de la sanción económica o la disminución de su cuantía (…)”4 2.6.

Finalmente, sostiene que “(…) esta situación de envió involuntario por parte de una de nuestra funcionaria de un correo electrónico con información general y abstracta que no alude a datos personales o financieros de ningún tipo es completamente marginal y no obedece a un proceder sistemático o grave de incumplimiento a nuestros deberes, razón por la que consideramos que estos antecedentes, la ausencia de reincidencia, de daños, perjuicios o de desconocimiento alguno de nuestros deberes deberían ser razones más que suficientes para revocar la sanción económica o disminuirla de forma ostensible”5.

TERCERO: Que mediante escrito radicado el 31 de diciembre de 2020 con número de radicado 19172149- -00046-0001 el FONDO DE EMPLEADOS GRANFONDO - FEG interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°. 78239 del 4 de diciembre del 2020, con los siguientes argumentos: 3.1 Se pronunció sobre la oportunidad procesal para interponer el recurso de reposición y en subsidio de apelación y a continuación hace una recapitulación de los hechos que motivaron la decisión de esta Dirección. 1 Radicado 19-172149-44-1, pág. 2 2 Ibidem 3 Radicado 19-172149-44-1, pág. 3 4 Radicado 19-172149-44-1, pág. 4 5 Ibidem “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 3.2 HOJA N, VERSIÓN ÚNICA Posteriormente alega una violación del principio de legalidad en materia sancionatoria administrativa, ya que considera que la sanción impuesta “se deriva de una interpretación que en concepto de la entidad es armónica con los principios establecidos por la normatividad aplicable al caso, entre ellos los principios de acceso y circulación restringida y el principio de seguridad; sin embargo, al justificar la sanción impuesta con la existencia de los principios mencionados, y no con base en una exigencia de conducta concreta de la norma, configura una flagrante violacón (sic) a los principios de legalidad y tipicidad en materia sancionatoria administrativa”6.

Sobre este punto, continúa afirmando que “(…) Así, la norma en que la Autoridad de Protección de Datos fundamenta su sanción menciona la obligación de exigir al encargado del tratamiento en todo momento el respeto y privacidad de la información del titular. Sin embargo, tal exigencia no se limita a un estándar o una actividad específica para su cumplimiento, pudiéndose cumplir contractual o extracontractualmente, de diferentes maneras.

Cabe resaltar que mi poderdante realizó una revisión de la experiencia de BANCA DE SERVICIOS FINANCIEROS S.A.S. para seleccionarla como la empresa que colaboraría con los servicios de cobranza de las obligaciones que los asociados al Fondo de Empleados, al acreditar entre otras cosas, su trayectoria y experiencia, tratándose de una entidad especializada en este tipo de servicios y constituida desde febrero de 2006, tal y como consta en el registro mercantil.

Ahora bien, mi poderdante aportó pruebas tendientes a demostrar que la exigencia mencionada por la norma, se consagró contractualmente exigiendo a su contratista la estricta confidencialidad y las condiciones de seguridad de la información que mi poderdante le entregara en calidad de encargado. La obligación mencionada era de tracto sucesivo y no de ejecución instantánea, es decir, esa obligación sería exigible en todo momento durante la vigencia del contrato so pena de un incumplimiento contractual.

(…)”7 Igualmente, expresa que “(…)Teniendo en cuenta que la norma establece la obligación de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”, no es posible predicar de esta conducta que sea un tipo en blanco, o que permita su remisión a otra norma para poder concluir el incumplimiento de esta obligación, y por ende, la norma no establece un estándar de exigencia para cumplir, simplemente se debe exigir al encargado del tratamiento por cualquier medio el cumplimiento de las medidas de seguridad y confidencialidad de la información, y el medio que consideró mi poderdante fue la estipulación contractual de obligaciones en materia de protección de datos en los términos del hecho tercero, así como la imposición de las consecuencias ante su incumplimiento.

Con base en lo anterior, resulta cuestionable la tarifa legal impuesta por la autoridad cuando reprocha y justifica la sanción en lo siguiente: “Por lo anterior, la sociedad FONDO DE EMPLEADOS GRANFONDO - FEG”, en calidad de Responsable, debió aportar a la investigación los informes de auditoria (sic) realizadas a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., encargada del tratamiento de datos personales, respecto “del servicio ofrecido y en especial a la seguridad de los procesos relacionados con los servicios prestados”.

Lo anterior porque de la norma que establece la obligación para mi poderdante de exigir en todo momento el cumplimiento de las condiciones de seguridad de la información no se establece la obligación explícita de realizar auditorias, sino que resulta una interpretación extensiva de la norma por parte del funcionario que impone la sanción, aspecto violatorio del principio de legalidad. 8 Por otro lado, afirma que 6 Radicado 19-172149-46-1, pág. 6 7 Radicado 19-172149-46-1, págs. 6 y 7 8 Radicado 19-172149-46-1, págs. 7 y 8 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA “la sanción impuesta por parte de la Superintendencia de Industria y Comercio carece de dos elementos relevantes desarrollados por el Tribunal Constitucional, a saber: i) Permitir que el concepto de “exigir” inmerso en el literal i) de la Ley 1581 de 2012 pueda interpretarse de manera amplia y subjetiva por parte del funcionario administrativo que impone la sanción, implica que la norma “deja abierto el campo para la arbitrariedad de la administración en la imposición de las sanciones o las penas”, teniendo en cuenta que la norma establece de manera general la obligación de exigir, y no un concepto de exigir como sinónimo de auditar. ii) La interpretación por parte del funcionario que aplica la sanción implica la violación del primer requisito para el cumplimiento del principio de legalidad en el ámbito del derecho administrativo sancionador, es decir, “los elementos básicos de la conducta típica que será sancionada”, toda vez que la norma establece la obligación de exigir al encargado el cumplimiento de las condiciones confidencialidad y seguridad en la información, mas no las acciones concretas a través de las cuales se debe exigir dicho cumplimiento, siendo este un aspecto interpretativo y subjetivo que configura la violación al principio de legalidad y tipicidad de la sanción administrativa”9. 3.3 En cuanto al argumento esgrimido sobre la supuesta indebida valoración probatoria en relación con la documentación aportada, la recurrente alega que “Dentro de los fundamentos utilizados por parte de la administración en materia de protección de datos, se menciona que los formatos aportados “están sin diligenciar, con esto se evidencia una conducta negligente de la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG, al aportar preformas generales para desvirtuar el cargo formulado.

Dentro de los documentos mencionados incorpora, entre otros, el siguiente “Formato de Contrato de Transmisión de Datos Proveedores: Por medio del cual se evidencian las actuales condiciones contractuales por medio de la cual transmitimos información con nuestros aliados en calidad de encargados del tratamiento de la información, en ningún momento pretende ser soporte de las relaciones comerciales en materia de protección de datos entre FEG y BANCA DE SERVICIOS FINANCIEROS S.A.S., relación que se encuentra mediada únicamente por la oferta mercantil y la orden de venta mencionadas anteriormente.11” A continuación, afirma que “la finalidad de los documentos que la entidad sancionadora menciona como muestras de negligencia, era la de demostrar el estado actual de la documentación e implementación de todo un Plan de Gestión de Datos Personales, en los términos de la política de tratamiento que sobre el mismo tema tiene la entidad.

Sin embargo, sorpresivo resultó el análisis de un formato cuyo reproche fue la falta de diligenciamiento, asunto apenas lógico si se trataba de un ejemplo y cuya prueba era relevante por los campos y lo que significaba la documentación misma, no por los datos de alguno de los asociados que pudiese estar en el formato ejemplificado.”12 Finalmente, sobre este punto, menciona que “En cuanto a la aplicabilidad de las garantías del debido proceso propias del derecho penal al derecho administrativo sancionador, la Corte Constitucional ha aceptado su aplicación, según lo establecido 9 Radicado 19-172149-46-1, págs. 8 y 9 10 Radicado 19-172149-46-1, págs. 9 y 10 11 Ibidem 12 Radicado 19-172149-46-1, pág. 11 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA en sentencia T-051 de 2016”13 y destaca de ellas la presunción de inocencia y la facultad de solicitar, aportar y controvertir pruebas.

Sobre estas garantías, alega que las mismas fueron vulneradas, así: “La presunción de inocencia, toda vez que a pesar de que mi poderdante allegó las pruebas para demostrar que exigió a su contraparte contractual el mantenimiento de las condiciones de seguridad y confidencialidad de la información a través del contrato, la Superintendencia asume que mi poderdante nunca tuvo comunicaciones o reuniones con BANCA DE SERVICIOS FINANCIEROS S.A.S., cuando la realidad es que dichas reuniones para la evaluación del cumplimiento del contrato (incluyendo la normatividad en materia de protección de datos) sí tuvieron lugar en múltiples momentos, pero no se evidencia intención alguna por parte de la Superintendencia de Industria y Comercio de ahondar en este tipo de información, invirtiendo la carga probatoria, aspecto violatorio de la presunción de inocencia. Solicitar, aportar y controvertir pruebas, garantía que se ve afectada cuando la exigencia por parte de mi poderdante a BANCA DE SERVICIOS FINANCIEROS S.A.S. del cumplimiento de las condiciones de seguridad y confidencialidad en la información, tarifa legal que en ningún caso se encuentra regulada en la normatividad aplicable, es decir, no existe norma alguna que obligue a demostrar el cumplimiento de la obligación contenida en el literal i) del artículo 17 de la Ley 1581 de 2012 a través de actas de auditoría específicamente, aspecto que pareciera exigir la entidad sancionadora cuando menciona: “Por lo anterior, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG en calidad de responsable, debió aportar a la investigación los informes de auditoría (sic) realizadas a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., encargada del tratamiento de datos personales (…)”14. 3.4 Por otro lado, alega que existe una violación al principio de proporcionalidad en la tasación de la sanción en tanto afirma que • “la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. fue la sociedad que envió el correo electrónico censurado por la SIC, por ende, es la persona jurídica implicada directamente en la violación de las normas de protección de datos personales. • Si bien mi poderdante, un fondo de empleados perteneciente al sector solidario y cuyas sanciones pecuniarias se pagan con el dinero de todos los asociados, tuvo una participación limitada a la contratación de BANCA DE SERVICIOS FINANCIEROS S.A.S., que si bien puede y está adoptando acciones de mejora continua bajo el principio de responsabilidad demostrada, incluyendo el previo nombramiento de un oficial de protección de datos encargado de todos estos procesos de mejora, no resulta ajustado al principio de justicia y equidad, que le sea impuesta la misma sanción que a la persona que directamente permitió la violación de la seguridad de la información.”15 Adicionalmente, alega que la “Corte Constitucional ha desarrollado un test para determinar si una actividad de la administración respeta el postulado de proporcionalidad, a través de la Sentencia C-673 de 200116, por medio de la cual establece como requisitos: 1.

El análisis del fin buscado por la medida, que implica la legitimidad del objetivo que motiva la restricción. 2. El estudio del medio empleado. Lo que significa la adopción de una medida que produzca un menor sacrificio para otros valores, principios y derechos que tengan un mayor valor constitucional que aquéllos que se pretenden satisfacer a través de su desarrollo, es obligación de las autoridades administrativas preferirla, conforme lo ordena categóricamente el contenido normativo del citado principio de proporcionalidad. 3.

El examen de la relación entre el medio y el fin. Lo que se traduce en la ponderación entre el principio que se protege y el que se sacrifica y la debida correspondencia entre la falta y la sanción. 13 Ibidem 14 Radicado 19-172149-46-1, págs. 11 y 12 15 Radicado 19-172149-46-1, pág. 13 16 Corte Constitucional de Colombia, Sala Plena. (10 de febrero de 2016) Sentencia C 673 de 2011. [Mp.

Manuel José Cepeda Espinosa]. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Con relación a lo anterior, se debe tener en cuenta que las empresas están en un continuo mejoramiento en virtud del principio de responsabilidad demostrada (accountability), y que lejos de inferir negligencia de mi poderdante en cuanto a la protección de datos personales, lo que se evidencia es la existencia de un Oficial de Protección de Datos Personales, encargado de verificar y continuar con la ejecución del Plan de Gestión de Datos Personales evidenciado a través de nuestra Política de Tratamiento de Datos Personales, que resalta las siguientes medidas de seguridad.17” Finalmente, menciona sobre este punto que “A pesar de lo anterior, la administración en materia de protección de datos asevera que “aunque los 265 titulares hubiesen otorgado dicha autorización, del análisis de su contenido, no está ni podría estarlo, la divulgación masiva y descontrolada de los datos personales de los ciudadanos, como en este caso, el correo electrónico”, cuando en realidad, resulta probado en el expediente que: i) fue una falla excepcional en la seguridad del encargado del tratamiento, inexistente en años de relación contractual con FEG; ii) aún así el encargado adoptó las medidas tendientes a capacitar a su personal y evitar que se vuelva a presentar un problema de seguridad en su información; iii) debido a la desconfianza que generó dicha vulneración en la seguridad de la información, mi poderdante finalizó el contrato con BANCA DE SERVICIOS FINANCIEROS S.A.S. por incumplimiento de las obligaciones del contrato de servicios de cobranza y (iv) el contenido del correo no ponía en evidencia un estado específico de sus destinatarios, mucho menos algo que atentara contra su honra o dignidad, o información sensible, tratándose más bien de una nota informativa dirigida a destinatarios unidos por el vínculo de asociados.”18 Así concluye que “Teniendo en cuenta que: i) no se tiene evidencia de anteriores actuaciones administrativas por parte de la Superintendencia de Industria y Comercio en contra de mi poderdante que permitan inferir la reiteración de conductas violatorias del Régimen de Protección de Datos Personales; ii) mi representada cuenta con la implementación de todo un sistema de protección de datos personales; iii) la conducta reprochable implica una menor participación en la vulneración a las condiciones de seguridad y confidencialidad de la información, esta representación considera que la sanción es desproporcionada (…)”19 3.5 Finalmente, solicita que se revoque la resolución, se archive la investigación y de manera subsidiaria “se disminuya el monto de la sanción impuesta a mi apoderada a la suma mínima contemplada legalmente, por el incumplimiento del literal n) del artículo 17, por el NO registro del incidente de seguridad en el Registro Nacional de Base de Datos, cargo que fue aceptado previamente”.

CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., se encuentra que los mismos se concretan en (i) la supuesta desatención a los argumentos de la defensa;

(ii) la proporcionalidad de la sanción y (iii) respecto de las pretensiones. Por su parte, los argumentos presentados por la sociedad FONDO DE EMPLEADOS GRANFONDO se encuentra que los mismos se concretan en (i) la supuesta violación al principio de legalidad; (ii) la supuesta indebida valoración probatoria y (iii) la proporcionalidad de la sanción y (iv) respecto de las pretensiones. 17 Radicado 19-172149-46-1, págs. 13 y 14 18 Radicado 19-172149-46-1, pág. 18 19 Radicado 19-172149-46-1, págs. 18 y 19 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA 5.1 Respecto de la supuesta desatención a los argumentos de la defensa alegada por la sociedad Banca de Servicios Financieros - BANSERFIN S.A.S La recurrente alega que no fueron tenidos en cuenta los argumentos esgrimidos toda vez que “(…) no tuvo en cuenta los objetivos, debidamente probados y sustentados fundamentos soportes que arrimamos como respuesta al pliego de cargos en contra de nuestra entidad, para finalmente imponernos una sanción idéntica a la impuesta al Fondo de Empleados Gran Fondo por el cargo primero (como se puede evidenciar en el numeral decimo (sic) tercero de la parte motiva de la resolución de sanción), cuando siempre hemos dado oportuna respuesta, estricta sujeción a los requerimientos de la SIC sobre el caso que nos ocupa (…) hemos desplegado con absoluta corrección y respeto una conducta responsable, de total colaboración, información, transparencia y allanamiento a los cargos y requerimientos de la SIC y de su despacho sin que todos estas conductas que tienen un claro efecto de atenuación en el reproche sancionatorio (…)”20 Al respecto, este Despacho debe recordarle a la investigada que tanto los argumentos esgrimidos en todos los escritos allegados por dicha sociedad, como las pruebas aportadas al proceso administrativo sancionatorio que se adelantó ante esta entidad, fueron tenidos en cuenta para efectos de garantizar el derecho al debido proceso, al analizar de manera cuidadosa y en su conjunto, de acuerdo con las reglas de la sana crítica, cada una de las pruebas aportadas libremente por la investigada.

Por otro lado, frente a la afirmación de que se le “impone una sanción idéntica a la impuesta al Fondo de Empleados Gran Fondo por el cargo primero (como se puede evidenciar en el numeral decimo (sic) tercero de la parte motiva de la resolución de sanción), cuando siempre hemos dado oportuna respuesta, estricta sujeción a los requerimientos de la SIC sobre el caso que nos ocupa” la misma es correcta, toda vez que, independientemente de la posición de la sociedad recurrente como encargada del tratamiento, la infracción al deber se configuró cuando el titular recibió por parte de esta un correo en el cual se divulgaron datos personales de cerca de 264 titulares sin ningún tipo de restricción. Así las cosas, aunque la sanción a cada sociedad recurrente haya sido por distintos deberes, el haber puesto en peligro la información personal de 265 Titulares fue una conducta homogénea, razón suficiente para imponer la sanción ahora en discusión. Por otro lado, la investigada indicó que no se ocasionó un perjuicio a los datos personales o derechos del quejoso, ya que “(…) de la conducta desplegada por la funcionaria de nuestra entidad que remitió por error un correo masivo con la invitación general y abstracta de estar al corriente de obligaciones económicas, nunca hubo una vulneración formal ni material efectiva a los datos del quejoso ni de ninguna persona en particular, no se pusieron en riesgo ningún tipo de dato financiero o personal por el simple hecho que jamás fueron revelados, se reconoció de forma inmediata y expedita el error subsanándolo, se sancionó a la funcionaria y se reforzaron todos los procesos, políticas, controles, manuales y formatos que aportamos en el proceso de calificación de la falta, con el fin univoco de cumplir con nuestros deberes legales y proscribir la posibilidad de que una situación por pequeña que sea como la que ocurrió se volviera a repetir (…)”21.

Al respecto, este Despacho considera que la información personal de los 265 titulares fue puesta en peligro cuando recibieron un mensaje de correo electrónico sin ningún tipo de restricción o de control para impedir que sus datos personales fueran accedidos por terceros no autorizados. Además, en estos casos, no debe haber un daño económico, físico o incluso visible hacia los Titulares para que se pueda declarar vulnerado el régimen de protección de datos personales.

En este punto, cabe recordarle a la recurrente que la Ley 1581 de 2012 se expidió para desarrollar el derecho fundamental de habeas data consagrado en el artículo 159 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y 20 Radicado 19-172149-44-1, pág. 2 21 Radicado 19-172149-44-1, pág. 3 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, la Ley 1581 de 2012 y sus decretos reglamentarios están dispuestos para proteger el derecho fundamental de habeas data con el que cuenta todo Titular y garantizar que los Responsables del Tratamiento cumplan a cabalidad los deberes que recaen sobre ellos sin tener que recurrir a razonamientos complejos, ya que debería ser de fácil entendimiento que los deberes de ley son de obligatoria observancia para garantizar la protección de este derecho fundamental.

Finalmente, sobre este punto, la recurrente afirma que ha desplegado con absoluta corrección y respeto una conducta responsable, de total colaboración, información, transparencia y allanamiento a los cargos y requerimientos de esta entidad, sin que estas conductas que tengan un claro efecto de atenuación en el reproche sancionatorio. Sobre este punto, es pertinente recordarle a la recurrente lo que dispone el artículo 24 de la Ley 1581 de 2012, en su literal f); disposición que se transcribe, así: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…); f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto, la Corte Constitucional, en sentencia C 748 del 2011, señaló expresamente, frente a tal disposición normativa, que: “2.23.3.

La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.”22 Así las cosas, la atenuación de la sanción únicamente prospera cuando la investigada, previo a la imposición de la sanción administrativa, acepta expresamente la comisión de la infracción; reconocimiento que no se produjo en este caso concreto respecto del literal b) del artículo 18 de la Ley 1581 de 2012.

Además, el hecho de que la recurrente/investigada conteste todos los requerimientos de esta autoridad y atienda el debido desarrollo legal del proceso constituye una deber para la sociedad sancionada. 22 Cfr. Corte Constitucional, sentencia C 748 del 2011 de fecha seis (6) de octubre de dos mil once (2011), M.P.: Jorge Ignacio Pretelt Chaljub “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Así las cosas, esta Ley faculta a esta Dirección a exigir de los Responsables y Encargados del Tratamiento los deberes que estos deben cumplir de conformidad con el artículo 17 y 18 de la Ley en cita.

De esta manera, se reitera que la sociedad recurrente debe, de una parte, atender los diferentes requerimientos de esta Superintendencia y, de otro, demostrar el cumplimiento de los deberes a los que se encuentra obligada por ser Encargada del Tratamiento de Datos Personales. De manera que, no existe fundamento legal alguno para que esta entidad encuentre procedente a aplicar un atenuante respecto al monto de valor de la sanción administrativa impuesta por el simple hecho de que la investigada haya cumplido con su deber legal de atender los requerimientos de esta autoridad.

Igualmente, no puede haber lugar a que, por una serie de acciones alegadas por la recurrente como una absoluta corrección y respeto, una conducta responsable, una colaboración, información y transparencia hacia los requerimientos de esta entidad, pueda esta entidad disminuir el monto de la infracción cometida y debidamente probada a lo largo de toda la investigación administrativa, ya que la Ley 1581 de 2012 no prevé dichas conductas como causal de atenuación. 5.2 Respecto de la supuesta violación al principio de legalidad Por otro lado, la sociedad FONDO DE EMPLEADOS GRANFONDO alega una violación del principio de legalidad en materia sancionatoria administrativa, ya que considera que la sanción impuesta “se deriva de una interpretación que en concepto de la entidad es armónica con los principios establecidos por la normatividad aplicable al caso, entre ellos los principios de acceso y circulación restringida y el principio de seguridad; sin embargo, al justificar la sanción impuesta con la existencia de los principios mencionados, y no con base en una exigencia de conducta concreta de la norma, configura una flagrante violacón (sic) a los principios de legalidad y tipicidad en materia sancionatoria administrativa”23.

(…)”24 Igualmente, expresa que “(…)Teniendo en cuenta que la norma establece la obligación de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”, no es posible predicar de esta conducta que sea un tipo en blanco, o que permita su remisión a otra norma para poder concluir el incumplimiento de esta obligación, y por ende, la norma no establece un estándar de exigencia para cumplir, simplemente se debe exigir al encargado del tratamiento por cualquier medio el cumplimiento de las medidas de seguridad y confidencialidad de la información, y el medio que consideró mi poderdante fue la estipulación contractual de obligaciones en materia de protección de datos en los términos del hecho tercero, así como la imposición de las consecuencias ante su incumplimiento. 23 Radicado 19-172149-46-1, pág. 6 24 Radicado 19-172149-46-1, págs. 6 y 7 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, VERSIÓN ÚNICA Con base en lo anterior, resulta cuestionable la tarifa legal impuesta por la autoridad cuando reprocha y justifica la sanción en lo siguiente: “Por lo anterior, la sociedad FONDO DE EMPLEADOS GRANFONDO - FEG”, en calidad de Responsable, debió aportar a la investigación los informes de auditoria (sic) realizadas a la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., encargada del tratamiento de datos personales, respecto “del servicio ofrecido y en especial a la seguridad de los procesos relacionados con los servicios prestados”.

Lo anterior porque de la norma que establece la obligación para mi poderdante de exigir en todo momento el cumplimiento de las condiciones de seguridad de la información no se establece la obligación explícita de realizar auditorias (sic), sino que resulta una interpretación extensiva de la norma por parte del funcionario que impone la sanción, aspecto violatorio del principio de legalidad. 25 Por otro lado, afirma que “la sanción impuesta por parte de la Superintendencia de Industria y Comercio carece de dos elementos relevantes desarrollados por el Tribunal Constitucional, a saber: i) Permitir que el concepto de “exigir” inmerso en el literal i) de la Ley 1581 de 2012 pueda interpretarse de manera amplia y subjetiva por parte del funcionario administrativo que impone la sanción, implica que la norma “deja abierto el campo para la arbitrariedad de la administración en la imposición de las sanciones o las penas”, teniendo en cuenta que la norma establece de manera general la obligación de exigir, y no un concepto de exigir como sinónimo de auditar. ii) La interpretación por parte del funcionario que aplica la sanción implica la violación del primer requisito para el cumplimiento del principio de legalidad en el ámbito del derecho administrativo sancionador, es decir, “los elementos básicos de la conducta típica que será sancionada”, toda vez que la norma establece la obligación de exigir al encargado el cumplimiento de las condiciones confidencialidad y seguridad en la información, mas no las acciones concretas a través de las cuales se debe exigir dicho cumplimiento, siendo este un aspecto interpretativo y subjetivo que configura la violación al principio de legalidad y tipicidad de la sanción administrativa”26.

En primer lugar, este Despacho le recuerda a la recurrente que las sanciones que impone esta autoridad se realizan con base en la vulneración de los deberes probados como violentados por medio de las acciones desplegadas u omitidas por la sociedad investigada. En este caso, para efectos de hacer claridad sobre la infracción de deber consagrado en el literal i) el artículo 17 de la Ley 1581 de 2012, este Despacho analizó el mencionado deber junto con los principios de circulación restringida y de seguridad para efectos de definir el contexto axiológico dentro del cual debe desarrollarse el deber objeto de estudio, en la medida en que el mencionado deber menciona que el Responsable de tratamiento deberá “[e]xigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”.

Así las cosas, los principios actúan como complemento del deber materia de investigación para encuadrar la conducta de la recurrente con los hechos manifestados en la queja, para efectos de llegar a la verdad de los hechos. Tan es así, que la Corte Constitucional en la sentencia C 748 del 201127 estableció, en torno a los principios para la administración de datos personales, que: “2.6.3.

Consideraciones generales sobre el artículo 4 El desarrollo tecnológico ha redimensionado la relación del hombre con su entorno. Ahora “la recolección, el almacenamiento de información que antes sólo podía formar parte de la vida íntima de cada ser humano- o bien, era conocido por un mínimo sector-, ha ido variando paulatinamente su entorno y estructura.

Esto es, los datos personales de toda persona se han convertido en una práctica habitual de control y almacenamiento por parte de los sectores tanto 25 Radicado 19-172149-46-1, págs. 7 y 8 26 Radicado 19-172149-46-1, págs. 8 y 9 27 Cfr. Corte Constitucional, sentencia C 748 del 2011 de fecha seis (6) de octubre de dos mil once (2011), M.P.: Jorge Ignacio Pretelt Chaljub “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, VERSIÓN ÚNICA públicos como privados”28.

Esto ha implicado el reconocimiento de nuevos derechos con particularidades propias que “intentan dar respuesta a las nuevas necesidades históricas, mientras que en otras supone la redefinición de viejos derechos”29 Como se explicó en precedencia, en principio, el derecho al habeas data fue considerado como una manifestación del derecho a la intimidad.

Sin embargo, esta garantía estaba marcada por un matiz individualista destinada a proteger un espacio privado sin posibilidades de injerencias ajenas o del Estado, y por tanto, las limitaciones propias del derecho a la intimidad no son suficientes para responder a las necesidades del flujo de la información moderna. Por el contrario, se está ante el nacimiento de un nuevo derecho, el de habeas data, en el que la privacidad “no implica sencillamente la falta de información sobre nosotros por parte de los demás, sino más bien el control que tenemos sobre las informaciones que nos conciernen”30 Esta reciente garantía requiere entonces del reentendimiento de instrumentos de tutela jurídica y de ciertos principios que respondan a las necesidades del control del manejo de datos.

En efecto, se enfrentan dos intereses, por un lado, la especial necesidad de disponibilidad de información mediante la conformación de bases de datos personales, por otro, el requerimiento de proteger los derechos fundamentales de los posibles riesgos del proceso de administración de datos. En consecuencia, se torna indispensable someter este proceso a ciertos principios jurídicos, con el fin de garantizar la armonía entre las relaciones jurídicas.

Para la Corte, el tratamiento de datos, si bien es imprescindible para el normal desarrollo de múltiples ámbitos de la vida social, puede lesionar derechos fundamentales. En consecuencia, tanto en la jurisprudencia como en el ámbito internacional se han fijado una serie de principios para la administración de datos personales, que como mandatos de optimización, tiendan a facilitar la labor de ponderación entre las prerrogativas constitucionales en tensión. Sobre la naturaleza de los principios en la Sentencia C-228 de 201131 se dijo que los principios “en la terminología de Robert Alexy se trata de un mandato de optimización que ordena que se realice algo en la mayor medida de lo posible de acuerdo con las posibilidades jurídicas y fácticas, pero cuando colisiona con otros principios como el de salvaguarda de los sistemas de protección social o la sostenibilidad financiera, dicho conflicto tiene que ser ponderado en el caso concreto para determinar si se justifica o no de manera razonable la limitación” Estos principios, buscan impedir el uso abusivo y arbitrario de la facultad informática.

Así mismo, deben ser interpretados en concordancia con el segundo inciso del artículo 15 de la Carta, que establece que “(e)n la recolección, tratamiento y circulación de los datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Es decir, el artículo 4 de la Ley Estatutaria define el contexto axiológico dentro del cual debe moverse, el proceso informático.

Según este marco general, existen unos parámetros generales que deben ser respetados para poder afirmar que el proceso de acopio, uso y difusión de datos personales sea constitucionalmente legítimo”32 (Negrilla y subrayado fuera del texto original). Así, en la medida en que se hace un análisis del deber en concordancia con los principios mencionados, no se configura una violación al principio de legalidad y de tipicidad, en la medida en que en la misma sentencia, la Corte Constitucional estableció que el Régimen General de Protección de Datos respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador, así: “2.21.3.

Constitucionalidad del régimen sancionatorio administrativo aplicado a la protección del dato 2.21.3.1. (…) Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley 28 García González, Aristeo. La protección de datos personales: derecho fundamental del siglo XXI.

Un estudio comparado Boletín Mexicano de Derecho Comparado [en línea] 2007, XL (Septiembre-Diciembre): Disponible en: <http://redalyc.uaemex.mx/redalyc/src/inicio/ArtPdfRed.jsp?iCve=42712003> ISSN 0041-8633 29 Ob cit 30 Lusky, L., “Invasion of Privacy: a Clarification of Concepts. Citado por García González Aristeo. Ob cit 31 Cfr. Corte Constitucional, sentencia C-228 de 2011 de fecha treinta (30) de marzo de dos mil once (2011).M.P. Juan Carlos Henao Pérez 32 Ibid. 24 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, VERSIÓN ÚNICA que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii)El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. 2.21.3.2. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos.

En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.

Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;

(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.

(…) En este sentido, se estima que existen los suficientes criterios para determinar la sanción específicamente imponible, los cuales han sido señalados por el propio proyecto de ley estatutaria. Por último, cabe destacar que la norma respeta claramente el debido proceso al remitirse al Código Contencioso Administrativo en relación con los procedimientos aplicables.

En consecuencia, se declarará la exequibilidad del artículo 23, (…).” (Subrayado fuera del texto original). De igual manera, la sentencia C-1011 de 2008, la cual fue tomada por la Corte constitucional como referencia para varias consideraciones en el análisis de constitucionalidad de la Ley 1581 de 2012, respecto del principio de legalidad en el derecho administrativo sancionador indico que “(…) en materia de derecho administrativo sancionador, el legislador puede establecer normas con un mayor grado de generalidad, que no implican per se la vulneración del principio de legalidad, siempre y cuando se establezca un marco de referencia cierto para la determinación de la infracción y de la sanción en un caso concreto”.

(…).” (Subrayado fuera del texto original). De igual manera en dicha sentencia la Corte señaló que “(…) el ámbito propio del derecho administrativo sancionador, la tipicidad de la falta se acredita cuando la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo HOJA N 13, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA cuerpo normativo o sea determinable, a partir de la aplicación de otras normas jurídicas”.

Por lo cual, el marco está definido en los deberes de los Responsables y Encargados del Tratamiento puesto que, en ellos se determina las faltas, no obstante, dichas conductas también pueden determinarse de la aplicación de otras normas, las cuales están dentro de la misma Ley 1581 de 2012, y como se mencionó líneas atrás, los principios son reglas de interpretación, que pueden ser aplicados para poder determinar las conductas alegadas.

Como conclusión de la aplicación de los principios alegados, es claro que la Ley 1581 de 2012 cumple con los requisitos señalados por la jurisprudencia constitucional al asegurar que en la imposición de las sanciones a que haya lugar se respeta la aplicación de dichos principios del derecho sancionatorio, motivo por el cual este Despacho aun no comprende como el FONDO DE EMPLEADOS GRANFONDO - FEG cuestiona la aplicación de los principios en los cargos imputados.

En este sentido, dado que las actuaciones de esta entidad se enmarcan en lo consagrado por el artículo 1933 de la Ley 1581 de 2012, los actos administrativos que expida esta entidad respetan la aplicación de los principios ahora alegados. Ahora bien, la recurrente alega que esta autoridad fundamenta la sanción impuesta en: “(…) la obligación de exigir al encargado del tratamiento en todo momento el respeto y privacidad de la información del titular.

Sin embargo, tal exigencia no se limita a un estándar o una actividad específica para su cumplimiento, pudiéndose cumplir contractual o extracontractualmente, de diferentes maneras. Cabe resaltar que mi poderdante realizó una revisión de la experiencia de BANCA DE SERVICIOS FINANCIEROS S.A.S. para seleccionarla como la empresa que colaboraría con los servicios de cobranza de las obligaciones que los asociados al Fondo de Empleados, al acreditar entre otras cosas, su trayectoria y experiencia, tratándose de una entidad especializada en este tipo de servicios y constituida desde febrero de 2006, tal y como consta en el registro mercantil.

(…)”34 Continúa expresando que “(…)Teniendo en cuenta que la norma establece la obligación de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular”, no es posible predicar de esta conducta que sea un tipo en blanco, o que permita su remisión a otra norma para poder concluir el incumplimiento de esta obligación, y por ende, la norma no establece un estándar de exigencia para cumplir, simplemente se debe exigir al encargado del tratamiento por cualquier medio el cumplimiento de las medidas de seguridad y confidencialidad de la información, y el medio que consideró mi poderdante fue la estipulación contractual de obligaciones en materia de protección de datos en los términos del hecho tercero, así como la imposición de las consecuencias ante su incumplimiento.

19. AUTORIDAD DE PROTECCIÓN DE DATOS. <Artículo CONDICIONALMENTE exequible> La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

(…) 34 Radicado 19-172149-46-1, págs. 6 y 7 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, VERSIÓN ÚNICA norma por parte del funcionario que impone la sanción, aspecto violatorio del principio de legalidad. 35 Frente a tales afirmaciones, cabe recordar que atendiendo al principio de la libertad probatoria, la investigada estaba en la potestad de aportar cualquier elemento probatorio que fuese relevante para probar el cumplimiento el deber objeto de estudio.

En efecto, la Corte Constitucional, particularmente a través de la sentencia T 373 del 201536, ha manifestado lo siguiente: “(…) 22. El artículo 29 de la Constitución Política dispone que las actuaciones judiciales y administrativas deben desarrollarse con respeto de las garantías inherentes al derecho fundamental del debido proceso. La jurisprudencia de la Corte Constitucional ha determinado el contenido y alcance del derecho fundamental al debido proceso.

En particular, en sentencia T-001 de 199337, estableció que se trata del conjunto de garantías que protegen al ciudadano que se somete a cualquier proceso y aseguran la recta y cumplida administración de justicia, el respeto por la seguridad jurídica y la fundamentación de las resoluciones judiciales conforme a derecho. Así pues, es “debido” todo proceso que satisface los requerimientos, condiciones y exigencias para garantizar la efectividad del derecho material.

Asimismo, el debido proceso es un derecho fundamental con carácter vinculante para todas las autoridades (judiciales y administrativas), en razón a que tiene como fin proteger a las personas de arbitrariedades que se deriven del ejercicio del poder. Específicamente, el derecho al debido proceso comporta la obligación correlativa a cargo de la administración, de llevar a cabo procesos justos y adecuados, lo cual implica que cada acto que se dicta en el curso de un procedimiento administrativo, debe observar las garantías procesales y los principios constitucionales que rigen la función pública (artículo 209 Superior)38.

De ahí que, del debido proceso administrativo se deriven otros derechos para los administrados, tales como conocer las actuaciones de la administración, solicitar y controvertir las pruebas, ejercer con plenitud su derecho de defensa, impugnar los actos administrativos y gozar de todas las garantías establecidas en su beneficio39. (…) 24.

En ejercicio de la competencia antes descrita, se profirió la Ley 1437 de 201140, que regula, entre otros, el procedimiento administrativo. De conformidad con el artículo 40 de la normativa mencionada, durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo en un procedimiento administrativo, se podrán aportar, pedir y practicar pruebas y serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.

Se debe entender que la remisión que se hace al Código de Procedimiento Civil, se dirige a los medios de prueba contenidos en el Código General del Proceso, que actualmente es la norma vigente que regula la materia. En particular, el artículo 165 del Código General del Proceso41 determina que son medios de prueba la declaración de parte, la confesión, el juramento, el testimonio de terceros, el dictamen pericial, la inspección judicial, los documentos, los indicios, los informes y cualquier otro medio que sea útil para la formación del convencimiento del juez. 35 Radicado 19-172149-46-1, págs. 7 y 8 36 Corte Constitucional.

M.P.: Gloria Stella Ortiz Delgado. Título: “El principio de libertad probatoria como elemento del debido proceso” 37 Magistrado Ponente: Jaime Sanín Greiffenstein. El contenido de la decisión mencionada ha sido reiterado en sentencias T-345 de 1996 M.P. Eduardo Cifuentes Muñoz y C-731 de 2005 M.P. Humberto Antonio Sierra Porto, C-242 de 2010 M.P. Mauricio González Cuervo, entre otras. 38 Sobre el particular, se puede consultar la sentencia C-640 de 2 002, M.P. Marco Gerardo Monroy Cabra. 39 Sentencia T-746 de 2005;

M.P. Clara Inés Vargas Hernández. Aquella decisión es reiterada en la sentencia C-1189 de 2005; M.P. Huberto Antonio Sierra Porto. 40 Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 41 ARTÍCULO 165. “MEDIOS DE PRUEBA. Son medios de prueba la declaración de parte, la confesión, el juramento, el testimonio de terceros, el dictamen pericial, la inspección judicial, los documentos, los indicios, los informes y cualesquiera otros medios que sean útiles para la formación del convencimiento del juez.

El juez practicará las pruebas no previstas en este código de acuerdo con las disposiciones que regulen medios semejantes o según su prudente juicio, preservando los principios y garantías constitucionales.” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, VERSIÓN ÚNICA Adicionalmente, el artículo 176 del mismo Código42 dispone que las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, y sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos.

La norma anterior reprodujo el artículo 187 del Código de Procedimiento Civil43, cuyo alcance fue analizado por esta Corporación en diversas oportunidades. Específicamente, la jurisprudencia constitucional ha determinado que el ordenamiento jurídico colombiano excluye el sistema de tarifa legal y adopta los principios de libertad probatoria y apreciación de la prueba según las reglas de la sana crítica.

Los principios mencionados aseguran la prevalencia del derecho sustancial sobre el formal, porque permiten que se realice una valoración crítica en la que se dé prevalencia a la verdad sobre las apariencias, y aseguran que las partes dispongan de una amplia libertad para que en las decisiones impere la justicia material.44 25. En conclusión, el derecho al debido proceso, que también rige los procedimientos administrativos conlleva el respeto por las garantías previstas por la ley en el desarrollo del proceso.

En particular, el procedimiento administrativo se rige por el principio de libertad probatoria, el cual constituye en una garantía procesal de aplicación inmediata que deriva del debido proceso en materia administrativa, y debe ser observado por la administración.” (Negrilla fuera del texto original). Así las cosas, la recurrente estaba en la libertad de aportar el documento que considerara pertinente para demostrar el cumplimiento del deber legal objeto de estudio en todas las oportunidades procesales de las que disponía como: (i) la contestación al requerimiento de este Despacho;

(ii) la presentación de pruebas junto al escrito de descargos; (iii) la presentación de alegatos de conclusión antes de la sanción; y (iv) las pruebas allegadas junto con el recurso de reposición y en subsidio de apelación, de manera que pudiera desvirtuar la presunción de incumplimiento por parte de este Despacho. Así las cosas, la recurrente aportó dentro del material probatorio de su escrito de descargos, como del presente recurso, una oferta mercantil de compra de servicios de gestión de cobranza y la orden de venta de servicios presentada por la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. Por ende, esta Dirección dentro de la presente investigación procedió a analizar cada una de las pruebas aportadas libremente por las sociedades investigadas, determinando que las mismas no fueron suficientes para demostrar el cumplimiento de los deberes reprochados dentro de la presente investigación. De esta manera, es importante aclarar que este Despacho no le exigió al FONDO DE EMPLEADOS GRANFONDO – FEG, que aportara una prueba específica, los argumentos concluidos dentro de la Resolución N° 78239 del 4 de diciembre del 2020, se desprenden de las mismas pruebas aportadas por la investigada antes mencionada, puesto que dentro de la oferta mercantil el Responsable del tratamiento señaló lo siguiente: Así las cosas, toma sentido la argumentación realizada en las consideraciones de la resolución recurrida, donde se indicó que no solo la investigada no pudo demostrar que no le exigió en todo momento el respeto de las condiciones de seguridad al encargado, como tampoco aportó las pruebas concernientes a la realización del seguimiento y auditoria que ella misma impuso 42 ARTÍCULO 176.

“APRECIACIÓN DE LAS PRUEBAS. Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos. El juez expondrá siempre razonadamente el mérito que le asigne a cada prueba.” 43 ARTÍCULO 187. “APRECIACION DE LAS PRUEBAS.

Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos. El juez expondrá siempre razonadamente el mérito que le asigne a cada prueba.” 44 Ver sentencias C-243 de 2001 y T-1066 de 2007; M.P. Rodrigo Escobar Gil.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, VERSIÓN ÚNICA unilateralmente dentro del negocio jurídico celebrado con la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. De igual manera, y en armonía con el argumento de la libertad probatoria, es claro para esta Dirección que la recurrente acudió a la estipulación contractual para intentar demostrar que si le había exigido al encargado del tratamiento el cumplimiento del deber de respeto a las condiciones de seguridad y privacidad de la información de los Titulares.

Es por ello, que es apenas natural que de dichas visitas se levantaran informes de auditoría y seguimiento para velar por el cumplimiento de la mencionada oferta comercial, por lo que no resulta una interpretación extensiva por parte de esta autoridad exigirle a la investigada que haya tenido los informes de auditoría, cuando ella misma lo estipula dentro de los documentos que suscribió con la sociedad BANSERFIN SAS., lo que deja claro que luego de cerca de 5 años el Responsable del Tratamiento ni siquiera cumplió sus propias condiciones.

En este punto, este Despacho debe hacer una precisión respecto del uso de las cláusulas de confidencialidad en las ofertas comerciales. Como es sabido, este tipo de cláusulas se prevén para que las partes que celebran no divulguen la información que busca proteger el contrato. Así las cosas, en dichas clausulas se deberá (i) describir la información que deberá ser considerada como confidencial;

(ii) razones por las cuales la información deja de ser confidencial; (iii) circunstancias en las que la información confidencial puede ser divulgada a terceros, como cuando esta se vuelve pública, o por requerimiento judicial, entre otros aspectos. Ahora bien, en dichas cláusulas se puede pactar que las mismas se disponen para efectos de garantizar la seguridad de la información, yendo más allá del objeto principal de las mismas que es impedir la divulgación de la información. Sin embargo, este Despacho considera que dicho pacto, por mas que sea la voluntad de las partes, no resulta ser suficiente para efectos de demostrar que efectivamente se exigió en todo momento el respecto de seguridad por parte del Encargado del Tratamiento.

Lo anterior, ya que el simple pacto bilateral entre las partes contractuales no garantiza efectivamente que se cumpla con el deber al que se encuentra obligada la recurrente, en la medida en que la cláusula de confidencialidad está dispuesta para prevenir la no divulgación de información mas no para efectivamente garantizar que en la práctica el Responsable le haya exigido al Encargado del Tratamiento que cumpla con el respeto a las condiciones de seguridad y privacidad de la información del Titular.

Este punto cobra especial importancia cuando dentro del mismo acuerdo de confidencialidad la recurrente expone que “El usuario se compromete a cumplir con las normas y políticas determinadas por el responsable del tratamiento que afectan al desarrollo de sus funciones, así como todas aquellas medidas de seguridad, técnicas u organizativas que el responsable del tratamiento establezca para garantizar la confidencialidad y el deber de secreto de toda la información que tenga la consideración de información confidencial”45, sin embargo, mas allá de lo que dispone esta cláusula, la misma recurrente no demostró dentro de la investigación como puso en conocimiento a al encargado de las medidas de seguridad y políticas implementadas, pues dentro del proveído solo está probado el conocimiento que el encargado tenía por la oferta mercantil.

De tal manera que, ante la ausencia de prueba alguna aportada por la recurrente que le permita establecer a este Despacho que efectivamente veló por el control y seguimiento de la gestión realizada por BANSERFIN SAS más allá de la estipulación contractual en la medida en que no se aportaron actas de las reuniones celebradas por las partes o cualquier otro documento que permitiera probar tal seguimiento, no puede este Despacho tener evidencia de que FEG cumplió con lo señalado por el literal i) del artículo 17 consagrado en la Ley 1581 de 2012.

Por todos los argumentos hasta acá expuestos, no es posible aceptar la aseveración de que se haya vulnerado por parte de este Dirección el principio de legalidad; máxime cuando la misma Ley 1581 de 2012, en su artículo cuarto, literal a) establece que “el tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen.”. 45 Radicado 19-172149-46-2, pág. 64 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 5.3 HOJA N 17, VERSIÓN ÚNICA Respecto a la supuesta indebida valoración probatoria Por otro lado, frente a la supuesta indebida valoración probatoria en relación con la documentación aportada, la recurrente alega que “Dentro de los fundamentos utilizados por parte de la administración en materia de protección de datos, se menciona que los formatos aportados “están sin diligenciar, con esto se evidencia una conducta negligente de la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG, al aportar preformas generales para desvirtuar el cargo formulado.

Por lo tanto, al no acreditar los documentos que suscribió con la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. se evidencia el incumplimiento de su deber de “Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular””. Dicha aseveración le atribuye efectos totalmente contrarios a los que se pretendían acreditar a través de la documentación aportada, toda vez que al allegar los documentos que a continuación se refieren, lo que se pretendía era demostrar la implementación de todo un Plan de Gestión de Datos Personales al interior del Fondo, demostrando interés y compromiso con el cumplimiento de las prerrogativas exigidas en la Ley 1581 de 2012 y las normas que la desarrollan”46 Dentro de los documentos mencionados incorpora, entre otros, el siguiente: “Formato de Contrato de Transmisión de Datos Proveedores: Por medio del cual se evidencian las actuales condiciones contractuales por medio de la cual transmitimos información con nuestros aliados en calidad de encargados del tratamiento de la información, en ningún momento pretende ser soporte de las relaciones comerciales en materia de protección de datos entre FEG y BANCA DE SERVICIOS FINANCIEROS S.A.S., relación que se encuentra mediada únicamente por la oferta mercantil y la orden de venta mencionadas anteriormente.47” A continuación, afirma que “la finalidad de los documentos que la entidad sancionadora menciona como muestras de negligencia, era la de demostrar el estado actual de la documentación e implementación de todo un Plan de Gestión de Datos Personales, en los términos de la política de tratamiento que sobre el mismo tema tiene la entidad.

Sin embargo, sorpresivo resultó el análisis de un formato cuyo reproche fue la falta de diligenciamiento, asunto apenas lógico si se trataba de un ejemplo y cuya prueba era relevante por los campos y lo que significaba la documentación misma, no por los datos de alguno de los asociados que pudiese estar en el formato ejemplificado.”48 Finalmente, sobre este punto, menciona que “En cuanto a la aplicabilidad de las garantías del debido proceso propias del derecho penal al derecho administrativo sancionador, la Corte Constitucional ha aceptado su aplicación, según lo establecido en sentencia T-051 de 2016”49 y destaca de ellas la presunción de inocencia y la facultad de solicitar, aportar y controvertir pruebas.

En primer lugar, considera pertinente este Despacho hacer claridad sobre lo que se entiende jurisprudencialmente en cuanto al principio del debido proceso, en particular sobre la facultad de aportar y controvertir las pruebas. Veamos: “(…) El debido proceso administrativo y la facultad de aportar y controvertir las pruebas. El debido proceso es un derecho fundamental.

Posee una estructura compleja, en tanto se compone por un plexo de garantías que deben ser observadas en todo procedimiento administrativo o judicial, escenarios en los que operan como mecanismo de protección a la autonomía y libertad del ciudadano y límites al ejercicio del poder público. Por ese motivo, el debido proceso es también un principio inherente al Estado de Derecho, cuyas características esenciales son el ejercicio de funciones bajo parámetros normativos previamente establecidos y la erradicación de la arbitrariedad.

Así lo ha explicado la Corte: (…) Una de las notas más destacadas de la Constitución Política de 1991 es la extensión de las garantías propias del debido proceso a las actuaciones administrativas.[13] Ello demuestra la intención constituyente de establecer un orden normativo en el que el ejercicio de las funciones públicas se encuentra sujeto a límites destinados a asegurar la eficacia y protección de la persona, mediante el respeto por sus derechos fundamentales.

El Estado Constitucional de Derecho es, desde esta perspectiva, un conjunto de garantías de esos derechos, al tiempo que las normas que determinan la estructura del Estado y sus instituciones deben interpretarse en función de esas garantías. En la sentencia C-980 de 2010, señaló la Sala Plena: “Así entendido, en el ámbito de las actuaciones administrativas, el derecho al debido proceso hace referencia al comportamiento que deben observar las autoridades públicas en el ejercicio de sus funciones, en cuanto éstas se encuentran obligadas a “actuar conforme a los procedimientos previamente establecidos en la ley, con el fin de garantizar los derechos de quienes puedan resultar afectados por las decisiones de la administración que crean, modifican o extinguen un derecho o imponen una obligación o una sanción”[14]|| 5.5.

En el propósito de asegurar la defensa de los administrados, la jurisprudencia ha señalado que hacen parte de las garantías del debido proceso administrativo, entre otros, los derechos a: (i) ser oído durante toda la actuación, (ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”.[15] (…) El derecho a aportar y controvertir las pruebas, como componente del derecho fundamental al debido proceso.

El problema jurídico planteado en esta oportunidad atañe al derecho a presentar pruebas, el cual ha sido considerado como un derecho fundamental autónomo, a la vez que una de las garantías del más amplio derecho al debido proceso [C-598 de 2011].[25] La importancia de las pruebas en todo procedimiento es evidente, pues solo a través de una vigorosa actividad probatoria, que incluye la posibilidad de solicitar, aportar y controvertir las 50 Radicado 19-172149-46-1, págs. 11 y 12 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, VERSIÓN ÚNICA que obran en cada trámite, puede el funcionario administrativo o judicial alcanzar un conocimiento mínimo de los hechos que dan lugar a la aplicación de las normas jurídicas pertinentes, y dar respuesta a los asuntos de su competencia ciñéndose al derecho sustancial.

En la sentencia C-1270 de 2000,[26] la Corporación se refirió al alcance del derecho a presentar y controvertir pruebas, en el escenario de los conflictos propios del derecho laboral: “(…) 3.3. Siendo el proceso un conjunto sucesivo y coordinado de actuaciones en virtud del cual se pretende, hacer efectivo el derecho objetivo, restablecer los bienes jurídicos que han sido lesionados o puestos en peligro y garantizar los derechos fundamentales de las personas, resulta razonable que el legislador haya determinado unas oportunidades dentro del proceso en donde las partes puedan presentar y solicitar pruebas, y el juez, pronunciarse sobre su admisibilidad y procedencia, e incluso para ordenarlas oficiosamente y, además, valorarlas”.

En la sentencia C-537 de 2006 la Corte Constitucional hizo una amplia referencia al alcance del derecho a probar. Aunque la providencia se ocupaba del ámbito penal, donde las garantías judiciales irradian su mayor fuerza normativa, con el propósito de prevenir restricciones injustificadas de la libertad personal, sus consideraciones son relevantes como marco ilustrativo del alcance de este derecho: “El artículo 29 constitucional consagra el derecho fundamental a presentar pruebas y a controvertir las que se alleguen en contra del procesado.

Se trata de una de las dimensiones más importantes del derecho de defensa, en el sentido de poder utilizar los medios de prueba legítimos, idóneos y pertinentes y a controvertir la evidencia presentada por los otros sujetos procesales. En tal sentido, la Corte ha considerado que (i) el juez sólo puede condenar con base en pruebas debidamente controvertidas que lo llevan a la certeza de la responsabilidad del procesado[27];

(ii) se trata de una garantía[28] que debe ser respetada en cualquier variedad de proceso judicial o administrativo; (iii) para la validez y valoración de las pruebas deberá garantizarse a la contraparte el escenario para controvertirlas dentro del proceso en el que se pretenda hacerlas valer[29]; (iv) el funcionario judicial vulnera el derecho de defensa y desconoce el principio de investigación integral, en aquellos casos en los cuales deja de solicitar, o practicar sin una justificación objetiva y razonable, aquellas pruebas que resultan fundamentales para demostrar las pretensiones de la defensa[30];

(v) en virtud del derecho de contradicción, el procesado tiene derecho a oponer pruebas a aquellas presentadas en su contra, vulnerándose esta garantía cuando “se impide o niega la práctica de pruebas pertinentes, conducentes y oportunas en el proceso”[31]; por otro lado, se refiere a la facultad que tiene la persona para participar efectivamente en la producción de la prueba, “por ejemplo interrogando a los testigos presentados por la otra parte o por el funcionario investigador”[32] y exponer sus argumentos en torno a lo que prueban los medios de prueba; y (vi) el núcleo esencial del derecho de defensa comprende la posibilidad real y efectiva de controvertir las pruebas.[33] En ese sentido, es posible concluir que la pluralidad de principios del debido proceso administrativo involucra los derechos de defensa y contradicción, ambos con naturaleza y estructura autónoma de derecho fundamental.

En tal sentido, en sentencia T-1341 de 2001, la Corte sentenció: “i.) La efectividad de ese derecho en las instancias administrativas supone la posibilidad de que el administrado interesado en la decisión final que se adopte con respecto de sus derechos e intereses, pueda cuestionarla y presentar pruebas, así como controvertir las que se alleguen en su contra (CP, art. 29), pues, a juicio de la Corte, de esta forma se permite racionalizar el proceso de toma de decisiones administrativas, en tanto que <ello evidentemente constituye un límite para evitar la arbitrariedad del poder público (…)”51 Frente a estos puntos, este Despacho debe manifestarle a la recurrente que los otros documentos que allegó como formatos tampoco demuestran las acciones tomadas frente al caso particular, ya que de nada sirven los formatos, políticas y procedimientos que se han documentado si las acciones concretas que se prevén en ellos no se ven reflejadas en el actuar de la sociedad.

Así las cosas, en la medida en que la documentación aportada se reduce a ser una proforma de los documentos que suele celebrar la sociedad FEG, no puede este Despacho efectivamente tener por acreditado el cumplimiento de dicho deber. 51 Cfr. Corte Constitucional, sentencia C 034 del 2014 del veintinueve (29) de enero de dos mil catorce (2014), M.P.: María Victoria Calle Correa “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 20, VERSIÓN ÚNICA Por su parte, si la sociedad en cuestión quería demostrar que había implementado un Plan de Gestión de Datos Personales, como en sus palabras lo nombra, este Despacho debe hacerle claridad de que, en aras de demostrar el cumplimiento del principio de la responsabilidad demostrada, no basta con que los procesos o documentos estén elaborados, a modo de ejemplo como lo quiere hacer ver la recurrente.

Por el contrario, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que, los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012 Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, así como el Encargado del Tratamiento demuestre dentro de su organización se cuente con (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responde al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión ara lo cual deberán desarrollarse auditorias internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Sin embargo, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría (como se demostró en la resolución recurrida), sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la recurrente sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

Finalmente, sobre este punto, menciona que “En cuanto a la aplicabilidad de las garantías del debido proceso propias del derecho penal al derecho administrativo sancionador, la Corte Constitucional ha aceptado su aplicación, según lo establecido en sentencia T-051 de 2016”52 y destaca de ellas la presunción de inocencia y la facultad de solicitar, aportar y controvertir pruebas.

Al respecto, este Despacho debe hacer una clarificación para la recurrente en el sentido de que no se puede dar aplicabilidad de las garantías del debido proceso propias del derecho penal al derecho administrativo sancionador, ya que si bien ambos cuerpos normativos parten de la figura del ius puniendi, la Corte Constitucional en su sentencia C 042 de 2018 dispuso que “El ius puniendi aparece como uno de los instrumentos que configuran el monopolio de la fuerza en cabeza del Estado constitucional para reaccionar ante el fenómeno criminal.”54 Además, líneas más abajo en la misma sentencia citada se señala que: “el Texto Superior contempla una serie de garantías que guían y controlan el ejercicio del ius puniendi del Estado con la finalidad de minimizar la afectación de los derechos fundamentales de las personas y maximizar la protección de los bienes jurídicos afectados por el delito, desde la tipificación legal de los delitos, su comprobación judicial y la ejecución de la sanción que se imponga a la conducta objeto de reproche”.55 Lo anterior sumado a la sentencia C 818 de 2005, se expresa que tanto el derecho penal como el derecho administrativo sancionatorio son especies del denominado ius puniendi del estado, el derecho penal no es parte del derecho administrativo sancionador en la medida en que la Corte Constitucional expresó que: “Esta Corporación ha sostenido de manera reiterada que el derecho sancionador del Estado en ejercicio del ius puniendi, es una disciplina compleja que envuelve, como género, al menos cuatro especies, a saber: el derecho penal delictivo, el derecho contravencional, el derecho disciplinario y el derecho correccional.

Salvo la primera de ellas, las demás especies del derecho punitivo del Estado corresponden al denominado derecho administrativo sancionador56” Como se advierte en los pronunciamientos de esa Corporación, el ius puniendi se predica en el derecho penal y en el derecho administrativo sancionatorio, pero como también señala la Corte Constitucional, el derecho penal no hace parte del derecho administrativo sancionatorio.

De esta forma, se descarta cualquier argumento tendiente a precisar que aplica lo dispuesto en el derecho penal y sus garantías procesales para garantizar el debido proceso en dichas actuaciones. Finalmente, sobre el principio de la carga probatoria en que la recurrente pretende hacer ver que este Despacho debía desvirtuar los argumentos y las pruebas por ella planteados, la Corte Constitucional, al recoger jurisprudencia del Consejo de Estado y de la Corte Suprema de Justicia, determinó a través de la sentencia de constitucionalidad C 086 del 201657 lo siguiente: “(…) 6.3.- Con todo, el abandono de una concepción netamente dispositiva del proceso, al constatarse cómo en algunos casos surgía una asimetría entre las partes o se requería de un nivel alto de especialización técnica o científica que dificultaba a quien alegaba un hecho demostrarlo en el proceso, condujo a revisar el alcance del “onus probandi”.

Fue entonces cuando surgió la teoría de las “cargas dinámicas”, fundada en los principios de solidaridad, equidad (igualdad real), lealtad y buena fe procesal, donde el postulado “quien alega debe probar” cede su lugar al postulado “quien puede debe probar”. La teoría de la carga dinámica de la prueba halla su origen directo en la asimetría entre las partes y la necesidad de la intervención judicial para restablecer la igualdad en el proceso judicial.

Quizá el caso más representativo –no el único-, que en buena medida dio origen a su desarrollo dogmático, jurisprudencial y legal, es el concerniente a la prueba de las malas prácticas médicas: 53 Radicado 19-172149-46-1, págs. 11 y 12 54 Corte Constitucional, sentencia C 042 DE 2018. M.P.: GLORIA STELLA ORTIZ DELGADO 55 Ídem 56 Corte Constitucional, sentencia C 818 de 2005.

M.P.: RODRIGO ESCOBAR GIL 57 Cfr. Corte Constitucional, sentencia C 086 del 2016, de fecha veinticuatro (24) de febrero de dos mil dieciséis (2016). M.P.: Jorge Iván Palacio Palacio “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 22, VERSIÓN ÚNICA “Cierto es que la susodicha [doctrina de las cargas probatorias dinámicas] nació como un paliativo para aligerar la ímproba tarea de producir pruebas diabólicas que, en ciertos supuestos, se hacían caer sin miramientos, sobre las espaldas de algunas de las partes (actor o demandado) por mal entender las tradicionales y sacrosantas reglas apriorísticas de distribución de la carga de la prueba (…).

Sin embargo, la fuerza de las cosas demostró, verbigracia, que imponerle al actor víctima de una lesión quirúrgica en el interior del quirófano, la prueba acabada de lo que había ocurrido y de cómo había ocurrido, resultaba equivalente a negarle toda chance de éxito”. De esta manera, la noción de carga dinámica de la prueba, “que no desconoce las reglas clásicas de la carga de la prueba, sino que trata de complementarla o perfeccionarla”[92], supone reasignar dicha responsabilidad, ya no en función de quien invoca un hecho sino del sujeto que, de acuerdo con las circunstancias de cada caso, se encuentra en mejores condiciones técnicas, profesionales o fácticas de acreditarlo.

(…)” (Negrilla fuera del texto original) De esta manera, entendiendo que en los procesos administrativos sancionatorios se está ante una investigación amparada en la facultad sancionatoria del Estado58, consagrada en el artículo 209 de la Constitución Política de 1991, en el cual busca garantizar el orden público, más específicamente, garantizar el adecuado cumplimiento del Régimen General de Protección de Datos Personales dispuesto en la Ley 1581 de 2012.

La facultad sancionatoria de vigilancia y control que ejerce esta entidad fue explicada por la Corte Constitucional en sentencia C 703 del 201059, en la cual determinó que: “(…) En cuanto hace a la administración, la filiación de su potestad sancionadora se suele situar en la función de policía que pretende asegurar el orden público y en el poder de policía que, con la finalidad de garantizar el orden público, permite regular el ejercicio de las libertades individuales e imponer sanciones orientadas al cumplimiento de las medidas de policía60.

En cualquier caso, el fundamento de la potestad sancionadora de la administración actualmente se encuentra en una pluralidad de disposiciones constitucionales que van desde el señalamiento de los fines del Estado, contemplados en el artículo 2º, hasta el establecimiento, en el artículo 209, de los principios que guían la función administrativa y, señaladamente, el de eficacia, pasando por el artículo 29 superior que, al estatuir la aplicación del debido proceso “a toda clase de actuaciones judiciales y administrativas”, reconoce, de modo implícito, que la administración está facultada para imponer sanciones.

(…)” A partir de la facultad sancionatoria que otorga el artículo 19 61 de la Ley 1581 de 2012 y según el anterior apartado jurisprudencial de dicho Tribunal, este Despacho se encarga de verificar si la conducta desplegada por la recurrente fue o no violatoria de la Ley 1581 de 2012 a efectos de garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

Además, de lo señalado líneas atrás frente a los argumentos de la recurrente sobre la carga probatoria, este Despacho se sirve hacer claridad sobre la actuación de la recurrente como Responsable del Tratamiento: 58 Artículo 209. La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones.

Las autoridades administrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado. La administración pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley. 59 Cfr. Sentencia C 703 del 2010, M.P.: Gabriel Eduardo Mendoza Martelo 60 Cfr. Sentencia C-506 de 2002, M.P.: Marco Gerardo Monroy Cabra 61 Artículo 19.

Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. Parágrafo 1°. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia de Industria y Comercio un despacho de Superintendente Delegado para ejercer las funciones de Autoridad de Protección de Datos.

Parágrafo 2°. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma. HOJA N 23, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA La Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental, y el cumplimiento de esos deberes no son de carácter facultativo, por ende al momento que se haga tratamiento de información personal, se deberá cumplir cada uno de dichos deberes de los cuales la Autoridad podrá exigir que demuestre su cumplimiento.

Finalmente, al aplicar el principio de la carga dinámica de la prueba, este Despacho entiende que era la apoderada de las investigadas quien debía probar el cumplimiento de los deberes de ley y en ese sentido aportar las pruebas que fueren pertinentes para desvirtuar las presunciones del Despacho. De esta manera, este Despacho no puede aceptar las afirmaciones de la apoderada por cuanto este Despacho no tiene que desvirtuar las pruebas allegadas al proceso, sino que en virtud de su potestad sancionatoria, esta Dirección se encarga de verificar si la conducta desplegada por la recurrente fue o no violatoria de la Ley 1581 de 2012 a efectos de garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. 5.4 Respecto de la proporcionalidad de la sanción La sociedad BANSERFIN SAS expresa que la sanción es desproporcionada debido a “(…) no se entiende como una MINIPYME (sic) del tamaño de Banserfin S.A.S. en su condición de encargado de la información obtenga una sanción pecuniaria de idéntica cuantía respecto al cargo primero del “Fondo de Empleados Granfondo” cuyo tamaño, rol de responsable y conductas previas concomitantes y posteriores a este proceso distan de las nuestras.

(…)”62 En cuanto al argumento del supuesto reconocimiento de la infracción, menciona que “Desde el momento mismo en que se surtió por parte de la delegatura la investigación preliminar del caso nos fue citada por parte de la S.I.C. una serie de normas y fundamentos que señalaban que la potencial sanción a la que nos veríamos expuestos se mitigaría conforme a la conducta de colaboración, información y asunción de nuestra responsabilidad, 62 Ibidem “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 24, VERSIÓN ÚNICA pero aun independientemente de este hecho el obrar de Banserfin S.A.S. a lo largo de todo el proceso, ha sido de buena fe, de la más absoluta colaboración y sujeción a los requerimientos del ente investigador y sancionador (en contraste con el Fondo de Empleados Granfondo, quien básicamente recibió la misma sanción teniendo un tamaño, rol y responsabilidad aun mayor), razón por la que acudimos a estos antecedentes objetivos, reglado y documentados para que se valore la revocatoria de la sanción económica o la disminución de su cuantía (…)”63 Finalmente, sostiene que “(…) esta situación de envió involuntario por parte de una de nuestra funcionaria de un correo electrónico con información general y abstracta que no alude a datos personales o financieros de ningún tipo es completamente marginal y no obedece a un proceder sistemático o grave de incumplimiento a nuestros deberes, razón por la que consideramos que estos antecedentes, la ausencia de reincidencia, de daños, perjuicios o de desconocimiento alguno de nuestros deberes deberían ser razones más que suficientes para revocar la sanción económica o disminuirla de forma ostensible”64.

Por su parte, la sociedad FONDO DE EMPLEADOS GRANFONDO – FEG señala que existe una violación al principio de proporcionalidad en la tasación de la sanción en tanto afirma que • “la sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S. fue la sociedad que envió el correo electrónico censurado por la SIC, por ende, es la persona jurídica implicada directamente en la violación de las normas de protección de datos personales. • Si bien mi poderdante, un fondo de empleados perteneciente al sector solidario y cuyas sanciones pecuniarias se pagan con el dinero de todos los asociados, tuvo una participación limitada a la contratación de BANCA DE SERVICIOS FINANCIEROS S.A.S., que si bien puede y está adoptando acciones de mejora continua bajo el principio de responsabilidad demostrada, incluyendo el previo nombramiento de un oficial de protección de datos encargado de todos estos procesos de mejora, no resulta ajustado al principio de justicia y equidad, que le sea impuesta la misma sanción que a la persona que directamente permitió la violación de la seguridad de la información.”65 Adicionalmente, alega que la “Corte Constitucional ha desarrollado un test para determinar si una actividad de la administración respeta el postulado de proporcionalidad, a través de la Sentencia C-673 de 200166, por medio de la cual establece como requisitos: 1.

El examen de la relación entre el medio y el fin. Lo que se traduce en la ponderación entre el principio que se protege y el que se sacrifica y la debida correspondencia entre la falta y la sanción. Con relación a lo anterior, se debe tener en cuenta que las empresas están en un continuo mejoramiento en virtud del principio de responsabilidad demostrada (accountability), y que lejos de inferir negligencia de mi poderdante en cuanto a la protección de datos personales, lo que se evidencia es la existencia de un Oficial de Protección de Datos Personales, encargado de verificar y continuar con la ejecución del Plan de Gestión de Datos Personales evidenciado a través de 63 Radicado 19-172149-44-1, pág. 4 64 Ibidem 65 Radicado 19-172149-46-1, pág. 13 66 Corte Constitucional de Colombia, Sala Plena.

(10 de febrero de 2016) Sentencia C 673 de 2011. [Mp. Manuel José Cepeda Espinosa]. HOJA N 25, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA nuestra Política de Tratamiento de Datos Personales, que resalta las siguientes medidas de seguridad.67” Finalmente, menciona sobre este punto que “A pesar de lo anterior, la administración en materia de protección de datos asevera que “aunque los 265 titulares hubiesen otorgado dicha autorización, del análisis de su contenido, no está ni podría estarlo, la divulgación masiva y descontrolada de los datos personales de los ciudadanos, como en este caso, el correo electrónico”, cuando en realidad, resulta probado en el expediente que: i) fue una falla excepcional en la seguridad del encargado del tratamiento, inexistente en años de relación contractual con FEG; ii) aún así el encargado adoptó las medidas tendientes a capacitar a su personal y evitar que se vuelva a presentar un problema de seguridad en su información; iii) debido a la desconfianza que generó dicha vulneración en la seguridad de la información, mi poderdante finalizó el contrato con BANCA DE SERVICIOS FINANCIEROS S.A.S. por incumplimiento de las obligaciones del contrato de servicios de cobranza y (iv) el contenido del correo no ponía en evidencia un estado específico de sus destinatarios, mucho menos algo que atentara contra su honra o dignidad, o información sensible, tratándose más bien de una nota informativa dirigida a destinatarios unidos por el vínculo de asociados.”68 Así concluye que “Teniendo en cuenta que: i) no se tiene evidencia de anteriores actuaciones administrativas por parte de la Superintendencia de Industria y Comercio en contra de mi poderdante que permitan inferir la reiteración de conductas violatorias del Régimen de Protección de Datos Personales; ii) mi representada cuenta con la implementación de todo un sistema de protección de datos personales; iii) la conducta reprochable implica una menor participación en la vulneración a las condiciones de seguridad y confidencialidad de la información, esta representación considera que la sanción es desproporcionada (…)”.69 Dichos argumentos de las recurrentes se enmarcan en la proporcionalidad de la sanción impuesta, por lo que esta Dirección le aclara a estas que al momento de proferir la Resolución 78239 del 4 de diciembre del 2020 tomó en cuenta los criterios dispuestos en el artículo 19 de la Ley 1581 de 2012, los cuales son: “ARTÍCULO

19. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Ahora bien, el Consejo de Estado se ha pronunciado de la siguiente manera en cuanto al principio de proporcionalidad, “(…) El principio de proporcionalidad de la sanción exige que la falta descrita y la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción 67 Radicado 19-172149-46-1, págs. 13 y 14 68 Radicado 19-172149-46-1, pág. 18 69 Radicado 19-172149-46-1, págs. 18 y 19 HOJA N 26, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA administrativa, la Corte Constitucional ha precisado que este principio ‘implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad’.

(…)”70 “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”71.

Es claro entonces que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que las entidades investigadas vulneraron las reglas contenidas en los artículos 17 y 18 de la Ley 1581 de 2012, transgrediendo con ello el derecho fundamental de habeas data de los 265 Titulares.

Así las cosas, el monto de la multa impuesta a las investigadas/recurrentes, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de esta actuación administrativa. De tal suerte que, BANSERFIN S.A.S. al haber enviado el correo al señor señor XXXXXX XXXXXXXXXXXXXXXXX al dejar al descubierto su dirección de correo para que otros 264 titulares tuviesen acceso a este, sin tomar las medidas de seguridad necesarias para impedir que esta situación ocurriese, no solamente puso en peligro los datos del Titular, sino también los datos de contacto de los otros 264 Titulares; razón por la cual se le impuso la sanción al encargado del tratamiento (BANSERFIN S.A.S.) y al Responsable FONDO DE EMPLEADOS GRANFONDO FEG, en la medida en que si bien se trata de dos deberes distintos, la vulneración de los derechos de los 265 Titulares parte del mismo hecho.

De lo anotado se colige que las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador y de los supuestos fácticos y jurídicos planteados en la queja o denuncia del Titular, así como de las posibles causales de agravación o atenuación encontradas, por lo que las afirmaciones de la recurrente no son de recibo por este Despacho.

Por otro lado, se le recuerda al apoderado de la recurrente (FONDO DE EMPLEADOS GRANFONDO - FEG) que el test de proporcionalidad por ella traído a colación, no es aplicable a este caso, en la medida en que este Despacho no está haciendo una ponderación de principios para determinar que derechos fundamental prima sobre otro, sino que, en virtud de las facultades de vigilancia y control que se predican de esta autoridad, se esta evaluando el cumplimiento de la normatividad del régimen general de protección de datos personales.

Además de lo anterior, vale la pena poner de relieve lo siguiente: Causar un daño no es un requisito jurídico para que esta entidad pueda imponer multas o impartir órdenes. Acá no estamos frente a un proceso de responsabilidad civil para indemnizar perjuicios sino ante una actuación administrativa para establecer si se cumplió o no la regulación sobre tratamiento de dato personales.

Es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio dentro del marco legal vigente y observando el debido proceso. Adicionalmente, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos en la regulación sobre tratamiento de datos personales resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas 70Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Quinta-Descongestión. Sentencia de 22 de febrero de 2018. Radicación Número: 25000232400020100034801. Consejera Ponente: Rocío Araújo Oñate. 71 Consejo de Estado, sentencia 25000-23-24-000-2002-00524-01.

Consejero de Ponente: Rafael E. Ostau de Lafont Pianeta “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 27, VERSIÓN ÚNICA que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. En primer lugar, el monto de la multa impuesta a la investigada es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la presente actuación administrativa, pues tal y como se indicó en los numerales anteriores, la violación de los deberes, no solo se determina en los casos afectados, ni en los que se pudo llegar a poner en peligro los derechos, pues no se puede dejar de lado la conducta desplegada por el Encargado del Tratamiento y del Responsable del Tratamiento al permitir la divulgación de correos electrónicos de 265 titulares sin las medidas de seguridad pertinentes y sin exigir del encargado que se adopten las condiciones de seguridad y privacidad de la información del Titular.

En segundo lugar, la Resolución N°. 78239 del 4 de diciembre del 2020 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a Derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración de la ley por parte de la recurrente. Finalmente, la vulneración del Régimen General de Protección de Datos no solo afecta a los titulares concernidos, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Así las cosas, la defensa de un derecho fundamental no puede doblegarse ante los intereses económicos de un operador que violentó el ordenamiento jurídico. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”72.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia73. Por último, cabe recordarle a las recurrentes que la Ley 1581 de 2012 no estableció en el artículo 23 y siguientes, ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer por violaciones al Régimen de Habeas Data.

Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.

Finalmente, es pertinente recordarle a las recurrentes que al momento de proferir la sanción se tuvo en cuenta el tamaño de las organizaciones, así como los estados financieros aportados en la investigación y los reportados por estas entidades en el Registro único Empresarial de la Cámara de Comercio, ya que por faltas similares, en relación con el mismo hecho, las sanciones oscilaron entre los 200 a 500 salarios mínimos legales mensuales vigentes.

Así las cosas, las multas impuestas a las entidades recurrentes son insignificantes para el tope establecido en la norma, ya que porcentualmente las sanciones oscilan entre el 10% y el 25% del 72 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 73 Artículo 3 de la Carta Democrática Interamericana.

Disponible en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.html HOJA N 28, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA rango previsto permitido por la Ley 1581 de 2012, por lo que las sanciones en términos matemáticos de ninguna forma son desproporcionadas. En este sentido, es absolutamente claro que, contrario a lo sostenido por las recurrentes, únicamente puede constituir una causal de atenuación de la sanción impuesta, el literal f) de la norma, es decir, cuando se hace un reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar. 5.5 RESPECTO DE LAS PRETENSIONES Las recurrentes solicitan que se revoque la sanción impuesta y se archive la presente investigación y subsidiariamente que se reduzca.

Adicionalmente, la apoderada de FONDO DE EMPLEADOS GRANFONDO - FEG solicita que se reduzca el monto de la sanción por el incumplimiento del literal n) del artículo 17, por el NO registro del incidente de seguridad en el Registro Nacional de Base de Datos. Sobre este punto particular, este Despacho ya tuvo en cuenta el reconocimiento de la infracción de este literal en la resolución ahora recurrida, por lo que no puede acoger tal pretensión en este punto procesal.

Sin embargo, con apoyo en los argumentos esgrimidos en este acto administrativo, no se acogerán las consideraciones de las recurrentes en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.

SEXTO: CONCLUSIONES Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 8074 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo, por las siguientes razones: 6.1 Respecto de la supuesta desatención a los argumentos de la defensa alegada por la sociedad Banca de Servicios Financieros - BANSERFIN S.A.S, se concluyó que tanto sus argumentos esgrimidos como las pruebas aportadas al proceso administrativo sancionatorio que se adelantó ante esta entidad fueron tenidos en cuenta para efectos de garantizar el derecho al debido proceso. 6.2 Respecto de la supuesta violación al principio de legalidad, es claro que las sanciones que impone esta autoridad se realizan con base en la vulneración de los deberes probados como violentados por medio de las acciones desplegadas u omitidas por la sociedad investigada.

Por otro lado, la investigada estaba en la potestad de aportar cualquier elemento probatorio que fuese relevante para probar el cumplimiento el deber objeto de estudio, de manera que pudiera desvirtuar la presunción de incumplimiento por parte de este Despacho. 6.3 Respecto de la supuesta indebida valoración probatoria, quedo claro que los documentos que allegó la recurrente FONDO DE EMPLEADOS GRAN FONDO-FEG como formatos no demuestran las acciones tomadas frente al caso particular, ya que de nada sirven los formatos, políticas y procedimientos que se han implementado si las acciones concretas que se prevén en ellos no se ven reflejadas en el actuar de la sociedad. 6.4 Respecto de la proporcionalidad de la sanción, quedo claro que las sanciones impuestas obedecieron a los parámetros dictados por la Ley 1581 de 2012 y del Código de Procedimiento Administrativo y de lo Contencioso Administrativo En mérito de lo expuesto, este Despacho 74 ARTÍCULO

80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 29, VERSIÓN ÚNICA

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR integralmente el contenido de la Resolución N°. 78239 del 4 de diciembre del 2020.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación solicitado por las recurrentes.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad BANCA DE SERVICIOS FINANCIEROS S.A.S., identificada con Nit. 900.069.458-1, a través de su representante legal y/o apoderado, entregándole copia de esta.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad FONDO DE EMPLEADOS GRANFONDO – FEG., identificada con Nit. 800.097.913-8, a través de su representante legal y/o apoderado, entregándole copia de esta

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 26 MARZO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.03.26 15:00:25 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: SRB Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Investigada Entidad: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: BANCA DE SERVICIOS FINANCIEROS S.A.S. Nit. 900.069.458-1 GERMÁN ADOLFO HUERFANO MÉNDEZ C.C. No. 19.395.834 Carrera 18 No. 78-40 oficina 602 info@banserfin.com Bogotá, D.C-Colombia Investigada Entidad: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: FONDO DE EMPLEADOS GRANFONDO – FEG.

Nit. 800.097.913-8 JORGE HELI MORALES MARTINEZ C.C. No. 19.274.250 Calle 59 A Bis No. 5-53 oficina 303 directorfinanciero@feg.com.co Bogotá, D.C-Colombia

Resolución sancionatoria N° 16847 de 2021

CONSIDERANDO

RESUELVE