Sanción 059 de 2023 — SIC

(30 MAYO 2023) “Por la cual se impone una sanción y se imparte una orden” Radicación: 22-99858 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia mediante Resolución número 43585 de 31 de julio de 20201, ordenó lo siguiente: “ARTÍCULO CUARTO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Hábeas Data lo pertinente”

SEGUNDO: Que en la parte motiva de la Resolución No. 43585 de 31 de julio de 2020, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, de conformidad con la queja presentada ante esta Superintendencia, por la señora XXXXXXXXXXXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía número XXXXXX; en contra de la sociedad VANTI S.A. E.S.P., identificada con NIT. 800.007.813-5., se consideró lo siguiente: “6.2 Respecto al derecho de los titulares de solicitar la supresión de su información personal.

( ) Ahora bien, se observa que en el presente caso la reclamante manifiesta que a pesar de no haber otorgado la autorización previa, expresa e informada a la sociedad Vanti S.A. ESP recibe llamadas telefónicas de empresas que ofrecen servicios de reparaciones de gas quienes le informan que sus datos fueron suministrados por dicha sociedad, por lo cual, ha solicitado que cesen estas llamadas telefónicas (Consecutivo No. 20-023089-0).

( ) No obstante, observa éste Despacho a la luz de las pruebas que obran en el expediente que el deber legal y contractual que obliga a la titular a mantenerse dentro de las bases de datos de la sociedad Vanti S.A. ESP no obsta para que dicha sociedad no realice las gestiones necesarias para que los terceros a los cuales se le suministró la información personal de la titular procedan a suprimir de sus bases de datos los datos personales de la misma puesto que ella, respecto de dichos terceros, no tiene ningún deber legal o contractual.

Dicho en otras palabras: si bien es cierto la titular está obligada a mantenerse en las bases de la sociedad Vanti S.A. ESP en virtud del deber legal y contractual que la vincula con dicha compañía, ello no quiere significar que posea ese mismo deber frente a los terceros que afirma la titular (y no niega la sociedad investigada) la contactan para ofrecer servicios de reparación de acometidas de gas o temas similares y quienes le informaron que su información se la había suministrado la sociedad Vanti S.A. ESP Así pues, esta Superintendencia observa que la sociedad Vanti S.A. ESP vulneró el derecho de supresión invocado por la titular toda vez que como Responsable del 1 Expediente digital, consecutivo 0, página 1, folio 2 a 17 HOJA N, 2 “Por la cual se impone una sanción y se imparte una orden” tratamiento debió solicitar a los terceros a los cuales les suministró la información de la titular eliminar la misma.

Razón por la cual, en la parte resolutiva de la presente resolución se impartirá una orden administrativa en la cual se le ordenará gestionar ante los terceros la eliminación o desindexación de las bases de datos de dichos terceros de la información de la titular. 6.3. Respecto de la autorización previa, expresa e informada otorgada por el titular (…) No obstante, en el plenario no se observa que la sociedad Vanti S.A. ESP haya aportado prueba de haber realizado alguno de los mecanismos alternos de comunicación consagrados en el artículo arriba cita, mecanismos que vale aclarar solo podían ser utilizados máximo hasta el 27 de julio de 2013 en virtud del parágrafo de dicho artículo.

De igual manera, aunque como se precisó anteriormente la titular tiene el deber legal y contractual de mantenerse en las bases de datos de la sociedad Vanti S.A ESP para lo relacionado con la prestación del servicio y el cobro de las respectivas contraprestaciones, esto de ninguna manera puede significar que dicha sociedad como Responsable del tratamiento quede relevada de la obligación de obtener la autorización previa, expresa e informada para el uso de los datos de los titulares y menos cuando una de las finalidades específicas del tratamiento es posiblemente compartir dicha información con terceros como los mencionados por la titular en la queja que presentó ante este Superintendencia, quienes vienen desarrollando actividades telefónicas ofreciendo servicios de reparación. Por lo anterior, es dable afirmar que la sociedad Vanti S.A. ESP no obtuvo la autorización para el tratamiento de datos personales de la titular, lo cual, se corrobora cuando la misma sociedad aporta una marcación en la cual se observa que la reclamante efectivamente no otorgó dicho consentimiento (Consecutivo No. 20-023089-4): 6.4 Respecto al deber del Responsable del tratamiento de responder los reclamos de los titulares (…) Ahora bien, este Despacho procedió a revisar las pruebas obrantes en el plenario y evidencia, en primer lugar, que la titular el 23 de noviembre de 2019 presentó una solicitud en materia de protección de datos personales (Consecutivos No. 20-023089-0 y No. 20023089-4): (…) En segundo lugar, evidencia el Despacho que la sociedad Vanti S.A. ESP se negó a recibir la queja por teléfono y le indicó a la titular que debía hacerlo por escrito lo cual resulta en todo sentido contrario a las disposiciones de la Ley 1581 de 2012, razón por la cual, la reclamante debió radicar esta vez por escrito el 17 de enero de 2020 una nueva petición solicitando que respondan la petición telefónica con radicado No. 192615226 (Consecutivo No. 20-023089-0): (…) En tercer lugar, este Despacho evidencia que la sociedad investigada le suministró respuesta a la titular el 29 de enero de 2020 mediante acto administrativo No. 200104074 (Consecutivo No. 20- 023089-0): “(…) En cuarto lugar y respecto a ésta respuesta, observa el Despacho dos aspectos.

Por un lado, que la sociedad Vanti S.A. ESP no suministró respuesta de fondo y completa a la solicitud de la titular puesto que no mencionan nada respecto a la razón por la cual terceros están usando su información personal para contactarla telefónicamente a ofrecerle servicios relacionados con reparaciones de instalaciones de gas o temas similares.

Por otro lado, que dicha sociedad no suministró la respuesta dentro de los términos previstos en el artículo 15 de la Ley 1581 de 2012 que establece que el Responsable del tratamiento cuenta con un término de quince (15) días hábiles para atender las peticiones presentadas por los titulares, contados a partir de la fecha de recibo de este y podrán HOJA N, 3 “Por la cual se impone una sanción y se imparte una orden” prorrogarlo por el término de ocho (8) días hábiles más, de este modo, frente a la petición telefónica presentada por la reclamante el día 23 de noviembre de 2019, el término para dar respuesta se cumplía el día 13 de diciembre de 2019, razón por la que, este Despacho concluye que la sociedad Vanti S.A. ESP respondió extemporáneamente la solicitud ya indicada.

Así las cosas, se tiene que la sociedad Vanti S.A. ESP no solo no respondió de forma completa y de fondo la solicitud de la titular sino que adicionalmente no dio cumplimiento al término establecido para suministrar dicha respuesta, lo cual, en su conjunto, significa que incumplió el deber establecido en el artículo 15 de la Ley 1581 de 2012 y en consecuencia este Despacho emitirá una orden en el presente acto administrativo que conlleve a que dicha entidad responda de fondo y de manera completa en un término de cinco (5) días hábiles la solicitud telefónica presentada por la reclamante el 23 de noviembre de 2019 con radicado No. 192615226, especialmente, en lo relacionado con el uso de información por parte de terceros y la ausencia de autorización para tratamiento de datos personales.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5 (ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (iii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4, literales f) y g) de la misma ley.

(iv) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley; el 11 de abril de 2022, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 19269 de 2022 por medio de la cual se formularon cuatro (4) cargos a la sociedad VANTI S.A. ESP, identificada con Nit. 800.007.813-5.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

CUARTO: En la medida en que los descargos fueron presentados por fuera del término legal establecido para ello, los mismos no serán tenidos en cuenta al momento de proferir una decisión. No obstante, lo anterior, las pruebas aportadas si se tendrán en cuenta de acuerdo a lo establecido en el artículo 40 de la Ley 1437 de 2011.

QUINTO: Que mediante Resolución No. 43884 del 8 de julio de 20222, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 22-99858, consecutivos 0 a 9, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que, vencido el término otorgado para presentar alegatos de conclusión, la investigada guardó silencio.

SÉPTIMO: Que mediante la Resolución 77572 del 2 de noviembre de 20223, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad VANTI S.A. E.S.P., identificada con NIT. 800.007.813- 5, de DIECINUEVE MILLONES DOS MIL PESOS M/CTE ($19.002.000) equivalente a QUINIENTAS (500) unidades de valor tributario-UVT, por la violación a lo dispuesto en: (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (ii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley. 2 Resolución No. 43884 del 8 de julio de 2022 obrante en el expediente 22-99858 3 Resolución 77572 del 2 de noviembre de 2022 obrante en el expediente 22-99858 HOJA N, 4 “Por la cual se impone una sanción y se imparte una orden”

OCTAVO: Que la Resolución 77572 del 2 de noviembre de 2022 fue notificada por Aviso No. 30599 el 16 de noviembre de 2022 a la sociedad investigada, a través de su Representante Legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 22-99858- -21 del 16 de noviembre de 2022.

NOVENO: Que mediante correo electrónico con radicado 22-99858- -00022-0000 del 24 de noviembre de 2022, a través de su apoderado general, VANTI S.A. E.S.P. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución 77572 del 2 de noviembre de 2022 para que se revoque la sanción impuesta, con fundamento en: 9.1 El recurrente declara lo siguiente entre otras cosas4: “Sea lo primero indicar que resulta preocupante y constituye una flagrante violación del derecho al debido proceso y de defensa, el hecho de que en la Resolución objeto de recurso, se expresa por la SIC que Vanti S.A. E.S.P. guardó silencio en el término otorgado para presentar alegatos de conclusión, lo cual resulta totalmente impreciso dado que mediante correo electrónico del día veinticinco (25) de julio de 2.022, siendo las 3:15 p.m. se envió a la dirección contactenos@sic.gov.co documento por medio del cual se presentaron al Despacho en debida oportunidad, los alegatos de conclusión correspondientes al caso objeto de investigación y que no fueron tenidos en cuenta por esa Dirección en la adopción de la decisión objeto del presente recurso.” 9.2 Aporta un pantallazo con el envío de los alegatos de conclusión5:

DÉCIMO: Que mediante la Resolución 5954 del 20 de febrero de 20236 se resolvió el recurso de reposición interpuesto por la investigada, en donde se encontró probado que la investigada radicó los alegatos de conclusión dentro del término establecido en otro expediente, por lo cual, este Despacho para garantizarle el derecho de defensa y contradicción decidió revocar la resolución mediante la cual se impuso la sanción y ordenó continuar la investigación con el fin de proceder a la incorporación al expediente número 22-99858 los alegatos de conclusión presentados por VANTI S.A. E.S.P. en el expediente 22-27869 para tomarlos en cuenta al momento de decidir. 4 Expediente digital, consecutivo 22, página 2, folio 1 5 Expediente digital, consecutivo 22, página 2, folio 2 6 Resolución 5954 del 20 de febrero de 2023 obrante en el expediente 22-99858 HOJA N, 5 “Por la cual se impone una sanción y se imparte una orden”

DÉCIMO PRIMERO: Que dentro del plazo otorgado por la Resolución 77572 del 2 de noviembre de 2022, la sociedad investigada mediante comunicado del 25 de julio de 2022 con radicado 2227869- -00009-0001, presentó alegatos de conclusión reiterando lo señalado en los descargos e indicando lo siguiente 7: 11.1 Indicó que si cuenta con prueba de la autorización previa otorgada por la titular: “Señalamos de entrada que como se tuvo oportunidad en la solicitud de información en la indagación preliminar y que a la postre finalizó con la expedición de la correspondiente Orden Administrativa, frente a la Autorización o Consentimiento de la titular de los datos, Vanti S.A. E.S.P., haciendo uso de la condición prevista en el Art. 10 del Decreto 1377 de 2013, hoy incorporado en el DU 1074 de 2015, comunicó a través de un medio escrito (Notificación anexa a la factura) remitiendo a sus suscriptores de servicios la antedicha comunicación escrita con el clausulado reglamentado a través del mecanismo señalado en la norma.

Desecha el despacho esta prueba cardinal para el proceso, señalando que “no avizora la existencia de material probatorio con el cual se pudiese determinar que en efecto la Titular haya otorgado autorización para el tratamiento de sus datos personales, así como tampoco para los mismos fueran compartidos con terceros”.8 11.2 Manifestó que: “De lo anterior, esta sociedad aportó a la entidad el mensaje remitido sin que estuviera en su poder o bajo su potestad poder certificar que la usuaria recibió dicha comunicación; pretender que la empresa conserve uno a uno prueba de esas entregas desborda lo normatizado y no es un REQUISITO expresado ni en la Ley ni en el Reglamento para la validez de dicha autorización; por lo anterior consideramos estamos frente a una exigencia que carece de sustento normativo por parte de la Dirección de Investigaciones.”9 11.3 Respecto a la queja de la titular con relación a las llamadas de empresas para ofrecer sus servicios de revisión de instalaciones de gas10: “Ahora bien, en su queja se ha puesto de manifiesto por parte de la usuaria señora XX XXXXX, la inconformidad en recibir llamadas de terceras empresas ofreciendo servicios de revisión a sus instalaciones de gas natural; al respecto informamos que Vanti S.A. ESP, tal como se ha señalado en diferentes oportunidades no ha transferido ni transmitido los datos personales de la señora XXXXX a terceras personas/ empresas.

Si bien es cierto la Revisión Periódica Obligatoria es un procedimiento que debemos recordar es mandatorio según la Resolución 059 de 2012 de la Comisión de Regulación de Energía y Gas CREG en la que básicamente se señala que los usuarios del servicio público de gas natural deben realizar dicha revisión periódica cada 5 años. Conforme a la anterior reglamentación, Cinco (5) meses antes de que se venza el plazo para realizar la revisión, el distribuidor debe enviar al usuario una carta de aviso anexa a la factura, indicando la necesidad de revisión; se reitera que Vanti S.A. ESP no realiza llamadas a sus usuarios y la comunicación que al respecto se realiza es de manera exclusiva a través de un inserto en la factura del servicio público domiciliario.” 11.4 Señala que no realizó contacto alguno con la titular referente a las llamadas por las cuales presentó su queja11: “Ahora bien, frente al malestar de la usuaria, en cuanto al contacto supuestamente realizado por Vanti, es del caso resaltar que, como empresa prestadora de un servicio público domiciliario, nos encontramos en la obligación de registrar en nuestro sistema de información cada uno de los contactos efectuado con o por el usuario.

Es de la mayor importancia señalar que una vez verificado en nuestro sistema no evidenciamos contacto alguno relacionado con el asunto objeto de la presente investigación y en consecuencia con la queja de la señora XXXX.” 7 Expediente digital, consecutivo 31 8 Expediente digital, consecutivo 31, página 2, folio 3 9 Expediente digital, consecutivo 31, página 2, folio 4 10 Expediente digital, consecutivo 31, página 2, folio 4 11 Expediente digital, consecutivo 31, página 2, folio 4 HOJA N, 6 “Por la cual se impone una sanción y se imparte una orden” 11.5 Declara que dio cumplimiento a la orden impuesta en la Resolución 43585 del 31 de julio de 2020: Tal como lo señalamos y quedo demostrado, VANTI S.A E.S.P atendió la petición de la titular de explicaciones sobre el uso de su información personal, no se han tratados datos personales de la señora XXXXXXXX que impliquen un perjuicio o un daño a sus intereses o de sus derechos como titular, no existe materialización de algún daño ni transgresión normativa o a los principios que rigen este derecho.

Adicional, tal como se informó a su despacho, el pasado 23 de noviembre de 2019, se realizó la actualización solicitada por la titular XXXXXXXXXXXX, siendo así, la revocatoria de la finalidad de contacto comercial por parte de terceros o nuestra con fines comerciales y se realizó la respectiva marcación en el Sistema de Gestión de Clientes de la empresa tal como consta en la siguiente imagen: 11.6 Señala que existe un hecho superado12: “De manera final hemos de expresar adicionalmente otros elementos que consideramos han de conducir a la entidad a desechar todos los Cargos y por contrario, dar por terminada la investigación. En primera medida, como obra prueba documental suficiente existe el Contrato de Condiciones uniformes regulado por la Ley 142 de 1994 el cual se trata de un contrato de adhesión con expreso desarrollo en la normativa citada así: “un contrato uniforme, consensual, en virtud del cual una empresa de servicios públicos los presta a un usuario a cambio de un precio en dinero, de acuerdo con estipulaciones que han sido definidas por ella para ofrecerlas a muchos usuarios no determinados”.

En segunda medida también es necesario RECORDAR que nos encontramos frente a un requerimiento de la quejosa que fue atendido de manera favorable a sus pretensiones revocando la autorización otorgada por la titular de los datos desde 2013; es decir, no hubo afectación real a los intereses del particular y los hechos que originaron su inconformidad inicial se aclararon al informarle claramente las actuaciones de VANTI S.A. E.S.P., respecto a sus datos.

DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO TERCERO: Análisis del caso 13.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la 12 Expediente digital, consecutivo 31, página 2, folio 6 13 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N, 7 “Por la cual se impone una sanción y se imparte una orden” constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5 (ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (iii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4, literales f) y g) de la misma ley.

(iv) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos, así como el conjunto de pruebas allegadas al expediente. 13.2 Valoración probatoria y conclusiones 13.2.1 Respecto del deber de solicitar y conservar copia de la respectiva autorización otorgada por el Titular De acuerdo con lo establecido en la Ley 1581 de 2012 artículo 17 literal b), en concordancia con lo dispuesto en el artículo 4 literal c), y el artículo 9 de la misma Ley; así como en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2 inciso primero, y el artículo 2.2.2.25.2.5; normas que establecen lo siguiente: “Ley 1581 de 2012 Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad ( ) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.

( ) Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o HOJA N, 8 “Por la cual se impone una sanción y se imparte una orden” divulgados sin previa autorización, o en ausencia de mandato legal o judicial que revele el consentimiento;

( ) Artículo 9. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. (Subraya fuera de texto original).” “Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2.

( ) En caso de haber cambios sustanciales en el contenido las políticas Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento implementar las nuevas políticas.

( ) Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” (Subraya fuera de texto original).” El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: “Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.”.

Por su parte el artículo 10 de la Ley 1581 de 2012, dispone lo siguiente: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. En este mismo sentido, la Corte Constitucional señaló lo siguiente: HOJA N, 9 “Por la cual se impone una sanción y se imparte una orden” “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (Resaltado fuera del texto) (…) La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos.

Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data.

(Resaltado fuera del texto)” En el caso bajo estudio, esta Dirección observó que la titular manifestó que no otorgó autorización previa, expresa e informada para el tratamiento de sus datos personales a la investigada y a pesar de ello dicha compañía utilizó su información al compartirla con terceros para que posteriormente se comunicaran vía telefónica con el propósito de ofrecerle servicios relacionados con la prestación del servicio público domiciliario de gas natural14; por tal razón, esta Superintendencia requirió a la sociedad VANTI S.A. E.S.P. para que entre otras cosas acreditara prueba de la autorización otorgada por la Titular denunciante para el tratamiento de sus datos personales 15, a lo que la sociedad investigada mediante comunicación allegada el día 16 de marzo de 202017 indicó que: “A la fecha no se cuenta con una prueba la cual acredite la autorización de manejo de tratamiento de datos por parte del titular”16; ahora bien, la entidad VANTI S.A. E.S.P, aun cuando habría manifestado no contar con la debida autorización, posteriormente, se pronunció sobre el particular, mediante comunicación fechada de 25 de agosto de 2020 17, queriendo acreditar en esta misiva, que la prueba de la autorización otorgada por la Titular, la obtuvo mediante el envío de una comunicación adjunta a la factura, manifestando que: “Teniendo en cuenta que la fecha de contratación del servicio es anterior al año 2013, es relevante mencionar que de acuerdo a lo establecido por el Decreto 1377 de 2013, en sus artículos 7 y 10, la empresa en esa época denominada Gas Natural S.A. ESP, hoy Vanti S.A ESP, procedió a remitir una comunicación de autorización, adjunto a la factura de servicio de gas natural domiciliario a cada uno de los usuarios”18 14 Expediente digital, consecutivo número 0, página 2, folio 18 15 Expediente digital, consecutivo número 0, página 2, folio 31. 16 Expediente digital, consecutivo número 0, página 2, folios 33 a 38 17 Expediente digital, consecutivo número 0, página 2, folios 40 a 117 18 Expediente digital, consecutivo número 0, página 2, folio 41 HOJA N, “Por la cual se impone una sanción y se imparte una orden” En este sentido, esta Dirección preliminarmente no encontró material probatorio con el cual se pudiese determinar que en efecto la Titular haya otorgado autorización para el tratamiento de sus datos personales así como tampoco para que los mismos fueran compartidos con terceros; en su lugar allegó documento anexo denominado “copia de la comunicación enviada a cada uno de los usuarios”19, que al ser analizado, vislumbra la ausencia de elementos probatorios que permitan determinar que la comunicación haya sido enviada a la Titular en las condiciones fácticas descritas; teniendo en cuenta que este documento anexo carece de las formalidades descritas en el Artículo 2.2.2.25.2.2 Decreto Único Reglamentario 1074 de 201520 para que pueda valer como Autorización para el tratamiento de datos personales.

Ahora bien, aun cuando este documento fuera la prueba de que la sociedad Investigada tuviese la autorización de la Titular, presuntamente éste no contiene la posibilidad de compartir datos con terceros tal y como según se informa aconteció. De otra parte, en los alegatos de conclusión la investigada manifestó que:  Indicó que si cuenta con prueba de la autorización previa otorgada por la titular: “Señalamos de entrada que como se tuvo oportunidad en la solicitud de información en la indagación preliminar y que a la postre finalizó con la expedición de la correspondiente Orden Administrativa, frente a la Autorización o Consentimiento de la titular de los datos, Vanti S.A. E.S.P., haciendo uso de la condición prevista en el Art. 10 del Decreto 1377 de 2013, hoy incorporado en el DU 1074 de 2015, comunicó a través de un medio escrito (Notificación anexa a la factura) remitiendo a sus suscriptores de servicios la antedicha comunicación escrita con el clausulado reglamentado a través del mecanismo señalado en la norma.

Desecha el despacho esta prueba cardinal para el proceso, señalando que “no avizora la existencia de material probatorio con el cual se pudiese determinar que en efecto la Titular haya otorgado autorización para el tratamiento de sus datos personales, así como tampoco para los mismos fueran compartidos con terceros”.21  Manifestó que: “De lo anterior, esta sociedad aportó a la entidad el mensaje remitido sin que estuviera en su poder o bajo su potestad poder certificar que la usuaria recibió dicha comunicación; pretender que la empresa conserve uno a uno prueba de esas entregas desborda lo normatizado y no es un REQUISITO expresado ni en la Ley ni en el Reglamento para la validez de dicha autorización; por lo anterior consideramos estamos frente a una exigencia que carece de sustento normativo por parte de la Dirección de Investigaciones.”22 Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: Mediante comunicación del 16 de marzo de 2020 la investigada indicó que: “A la fecha no se cuenta con una prueba la cual acredite la autorización de manejo de tratamiento de datos por parte del titular” sin embargo aclara que el contrato de condiciones uniformes que acepta la titular al contratar y al mantenerse como suscriptora del servicio de gas domiciliario mediante la cláusula 68 dice lo siguiente: 19 Expediente digital, consecutivo número 0, página 2, folio 45 20 “Decreto Único Reglamentario 1074 de 2015, Artículo 2.2.2.25.2.2.

Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento” 21 Expediente digital, consecutivo 31, página 2, folio 3 22 Expediente digital, consecutivo 31, página 2, folio 4 HOJA N, “Por la cual se impone una sanción y se imparte una orden” Como se manifestó en la Resolución No. 43585 de 2020 dicha cláusula corresponde a una autorización previa y expresa para consulta y reporte en las centrales de riesgo regulada por la Ley 1266 de 2008 y no a una cláusula de autorización para tratamiento de datos personales regulada por la Ley 1581 de 2012.

Posteriormente mediante comunicación fechada del 25 de agosto de 2020, la investigada corrige lo dicho en la comunicación del 16 de marzo de 2020, y manifiesta que cuenta con la autorización otorgada por la Titular para el tratamiento de sus datos personales, que obtuvo mediante el envío de una comunicación adjunta a la factura, diciendo lo siguiente: “Teniendo en cuenta que la fecha de contratación del servicio es anterior al año 2013, es relevante mencionar que de acuerdo a lo establecido por el Decreto 1377 de 2013, en sus artículos 7 y 10, la empresa en esa época denominada Gas Natural S.A. ESP, hoy Vanti S.A ESP, procedió a remitir una comunicación de autorización, adjunto a la factura de servicio de gas natural domiciliario a cada uno de los usuarios.

La remisión entre la cual se envió dicha comunicación a la señora XXXX, se realizó entre abril y mayo ya que esta se realizaba a los usuarios captados con anterioridad al 10 de octubre de 2012. Adjunto se remite copia de la comunicación enviada a cada uno de los usuarios antes mencionada.”24 La comunicación de autorización mencionada por la investigada es la siguiente: 23 Expediente digital, consecutivo 0, página 2, folio 34 24 Expediente digital, consecutivo 0, página 2, folio 41 HOJA N, “Por la cual se impone una sanción y se imparte una orden” En correspondencia con el deber en comento, se debe tener en cuenta lo dicho por la Ley respecto a los casos que no requieren autorización para el tratamiento: Ley 1581 de 20212 “Artículo 10.

Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” Así mismo, en el presente caso se debe resaltar que VANTI S.A. ESP ofrece un servicio público como lo es el suministro de gas natural a los hogares colombianos, por lo tanto, no está obligada a 25 Expediente digital, consecutivo 0, página 2 folio 45 HOJA N, “Por la cual se impone una sanción y se imparte una orden” contar con la autorización previa para el tratamiento de los datos personales de los titulares para la finalidad específica que es prestar el servicio público de gas, garantizar la revisión de los artefactos que proveen el gas natural en las viviendas de los ciudadanos y verificar que cumplan con las condiciones de seguridad necesarias para no poner en peligro la vida de las personas que cuentan con este importante servicio público.

Por lo tanto, la investigada está obligada a exigirle a los titulares la programación de las revisiones periódicas del servicio de gas para verificar que las instalaciones se encuentren en buenas condiciones, adicionalmente por disposición legal debe delegar en un tercero que actúa como Encargado del tratamiento de datos personales la ejecución de la revisión periódica.

Ahora bien, dicho Encargado es un tercero autorizado por la Ley y es autorizado por el Organismo Nacional de Acreditación de Colombia (ONAC) quien acredita a ciertas empresas para llevar a cabo las revisiones periódicas del funcionamiento del servicio de gas natural. Es pertinente señalar que en el Artículo 2 de la Resolución Comisión de Regulación de Energía y Gas (CREG) adscrita al Ministerio de Minas y Energía 059 de 2012 se define lo siguiente: “Revisión Periódica de la Instalación Interna de Gas: Es la inspección obligatoria de la Instalación Interna de gas, realizada por un Organismo de Inspección Acreditado, dentro de los plazos mínimo y máximo definidos en esta resolución, desarrollada en cumplimiento de las normas o reglamentos técnicos vigentes.

La Revisión Periódica de la Instalación Interna de Gas no incluye la comprobación del equipo de medición de que trata el numeral 5.29 del Código de Distribución. Plazo Máximo de Revisión Periódica: Es la fecha límite que tiene el usuario para que la Instalación Interna cuente con el Certificado de Conformidad y corresponde al último día hábil del mes en que se cumplen los cinco años de haberse efectuado la última revisión de la instalación interna de gas o la conexión del servicio”.

(Subrayado fuera de texto) Mediante Concepto 6999 del 24 de diciembre 2020 la Comisión de Regulación de Energía y Gas (CREG) dice lo siguiente: “A su vez, en el Reglamento Técnico de Instalaciones Internas de Gas Combustible, expedido por el Ministerio de Minas y Energía a través de la Resolución MME 90902 de 2013, modificada por la Resolución 41385 de 2017, se define la revisión Periódica como sigue: “Revisión periódica: Es una actividad de inspección de las Instalaciones en Servicio correspondiente a la etapa de mantenimiento de las instalaciones.

Debe ser realizada por un organismo de certificación acreditado o por un organismo de inspección acreditado por el ONAC para esta actividad, y dentro de los plazos determinados en la Resolución 059 de 2012 o aquella que la modifique o sustituya”. De acuerdo con las disposiciones transcritas, es claro que el plazo máximo para contar con el certificado de conformidad de su instalación interna el usuario tiene como fecha última la definida como.

Ahora bien, en el Artículo 9 de la misma Resolución CREG 059 de 2012 se establece que el Distribuidor es el responsable de verificar el cumplimiento de la obligación que tiene el usuario de realizar la revisión periódica de su instalación interna de gas combustible y de obtener el correspondiente certificado de conformidad, y se prevén los pasos al efecto, entre los que se señala el procedimiento de información al usuario a cargo del distribuidor respecto al vencimiento del plazo máximo con que cuenta para cumplir dicha obligación; surtido el cual, expresamente señala en el Numeral viii) que: “(…)Surtido lo anterior sin que la instalación cuente con el Certificado de Conformidad, o en el evento que éste no sea auténtico, el distribuidor procederá a la suspensión del servicio”.

Así pues, de acuerdo con lo establecido en la Resolución Comisión de Regulación de Energía y Gas 059 de 2012, es una obligación de los usuarios realizar la revisión periódica de su instalación interna de gas, pues en caso de que esta no se lleve a cabo se suspenderá el servicio, es por ello que para permitir el correcto ejercicio de las labores de la investigada, esta no se encuentra obligada a solicitar la autorización previa del tratamiento de los datos personales al titular para contactarlo y programar la visita técnica.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” Por otra parte, respecto a los hechos denunciados por la titular acerca de las llamadas de tipo comercial por terceros no autorizados para la revisión de las instalaciones de gas, se debe decir que no existe prueba de ello en el expediente, razón por la cual no es posible comprobar la veracidad de estas denuncias.

En conclusión, este Despacho considera que no es procedente imponer una sanción a VANTI S.A. ESP por este cargo, en la medida en que la Ley establece que al ser una empresa prestadora de un servicio público para poder prestarlo debe realizar el tratamiento de los datos personales del titular, para estas finalidades específicas, y en consecuencia, en cumplimiento de estos deberes legales es que no le es exigible la autorización previa y expresa del titular.

De igual manera, los titulares están obligados a obtener el certificado de conformidad de su instalación de gas de acuerdo con las normas técnicas vigentes, para lo cual, el tratamiento de los datos personales de los titulares se realiza en aras de proteger su seguridad, sin ser requerida la autorización previa; esto no quiere decir que la investigada no este obligada a cumplir con los demás deberes como Responsable del tratamiento.

En consecuencia, este cargo será desestimado. 13.2.2 Respecto del deber de informar al Titular de manera previa, clara y expresa sobre las finalidades del Tratamiento al que serán sometidos sus datos personales Contemplado en la Ley 1581 de 2012, artículo 17 literal c), en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 inciso primero; normas que determinan: “Ley 1581 de 2012 Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad ( ) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

( ) Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

( ) Artículo 12. Deber de informar al Titular. El responsable del Tratamiento, al momento de solicitar al Titular de la información, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.” ( ) HOJA N, “Por la cual se impone una sanción y se imparte una orden” “Decreto Único Reglamentario 1074 de 2015 Artículo 2.2.2.25.2.2.

(Negrita y Subraya fuera de texto). El deber de informar la finalidad del tratamiento, de acuerdo con los pronunciamientos de la Corte Constitucional por medio de la sentencia C- 748 del 2011, se ha entendido así: “(…) Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas.

En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad. (…)” 26 Adicionalmente, la Corte Constitucional en la misma sentencia ha explicado el alcance del artículo 12 de la Ley 1581 de 2012, es decir el deber de informar al Titular de la siguiente manera: “(…) El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento.

La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones. La norma señala a los Titulares deberá informárseles “el carácter facultativo a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes”. En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida.

Sin embargo, existe una forma de interpretar la disposición de una manera que se avenga a los postulados constitucionales. En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas. Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.

(…)” En este sentido, esta Dirección encontró preliminarmente, en relación con el requerimiento dictado desde esta Superintendencia mediante el cual se le solicitó a la sociedad VANTI S.A. E.S.P., que acreditara prueba mediante la cual se le informó al Titular de la información, las finalidades y los derechos que le asisten por virtud de la autorización otorgada, la sociedad investigada manifestó que: “Teniendo en cuenta que la fecha de contratación del servicio es anterior al año 2013, es relevante mencionar que de acuerdo a lo establecido por el Decreto 1377 de 2013, en sus artículos 7 y 10, la empresa en esa época denominada Gas Natural S.A. ESP, hoy Vanti S.A ESP, procedió a remitir una comunicación de autorización, adjunto a la factura de 26 Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011).

M.P.: Jorge Ignacio Pretelt Chaljub Considerando 2.17.3. Constitucionalidad de los artículos 17 y 18 HOJA N, “Por la cual se impone una sanción y se imparte una orden” servicio de gas natural domiciliario a cada uno de los usuarios. La remisión entre la cual se envió dicha comunicación a la señora XXXX, se realizó entre abril y mayo ya que esta se realizaba a los usuarios captados con anterioridad al 10 de octubre de 2012. ” 27 Este Despacho no encontró acreditado lo dicho por la sociedad VANTI S.A. E.S.P.; lo anterior por cuanto no obra en el plenario, documento alguno que pueda darle sustento a dicha manifestación. Es decir, el resultado de la inexistencia de prueba que verse sobre la autorización previa para el tratamiento de datos personales se configura en la ausencia de las formalidades que se encuentran descritas en el Artículo 2.2.2.25.2.2 Decreto Único Reglamentario 1074 de 2015 28 dentro de las cuales la Ley establece la obligación de informar al Titular cuales datos personales que serán recolectados, así como todas las finalidades especificas del Tratamiento.

Ahora bien, en lo manifestado por la sociedad investigada, no se logra acreditar que la Titular, haya sido la receptora de dicha comunicación, razón por la cual, es dable concluir de manera preliminar que, como consecuencia de la ausencia de material probatorio que compruebe que en efecto existiera la autorización debidamente otorgada por la Titular XXXXXXXXXXXXXXXXXXXXXXX para el tratamiento de sus datos personales, la sociedad investigada incurrió presuntamente en incumplimiento al deber que le asiste en calidad de Responsable, de informar a la titular sobre el tratamiento y las finalidades para las cuales fueron recolectados sus datos personales.

De otra parte, en los alegatos de conclusión la investigada manifestó que:  Indicó que si cuenta con prueba de la autorización previa otorgada por la titular: “Señalamos de entrada que como se tuvo oportunidad en la solicitud de información en la indagación preliminar y que a la postre finalizó con la expedición de la correspondiente Orden Administrativa, frente a la Autorización o Consentimiento de la titular de los datos, Vanti S.A. E.S.P., haciendo uso de la condición prevista en el Art. 10 del Decreto 1377 de 2013, hoy incorporado en el DU 1074 de 2015, comunicó a través de un medio escrito (Notificación anexa a la factura) remitiendo a sus suscriptores de servicios la antedicha comunicación escrita con el clausulado reglamentado a través del mecanismo señalado en la norma.

Desecha el despacho esta prueba cardinal para el proceso, señalando que “no avizora la existencia de material probatorio con el cual se pudiese determinar que en efecto la Titular haya otorgado autorización para el tratamiento de sus datos personales, así como tampoco para los mismos fueran compartidos con terceros”.29  Manifestó que: “De lo anterior, esta sociedad aportó a la entidad el mensaje remitido sin que estuviera en su poder o bajo su potestad poder certificar que la usuaria recibió dicha comunicación; pretender que la empresa conserve uno a uno prueba de esas entregas desborda lo normatizado y no es un REQUISITO expresado ni en la Ley ni en el Reglamento para la validez de dicha autorización; por lo anterior consideramos estamos frente a una exigencia que carece de sustento normativo por parte de la Dirección de Investigaciones.”30  Respecto a la queja de la titular con relación a las llamadas de empresas para ofrecer sus servicios de revisión de instalaciones de gas31: “Ahora bien, en su queja se ha puesto de manifiesto por parte de la usuaria señora XXX XXXX, la inconformidad en recibir llamadas de terceras empresas ofreciendo servicios de revisión a sus instalaciones de gas natural; al respecto informamos que Vanti S.A. ESP, tal 27 Expediente digital, consecutivo 0, página 2, folio 41 28 “Decreto Único Reglamentario 1074 de 2015, Artículo 2.2.2.25.2.2.

Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento” 29 Expediente digital, consecutivo 31, página 2, folio 3 30 Expediente digital, consecutivo 31, página 2, folio 4 31 Expediente digital, consecutivo 31, página 2, folio 4 HOJA N, “Por la cual se impone una sanción y se imparte una orden” como se ha señalado en diferentes oportunidades no ha transferido ni transmitido los datos personales de la señora XXXXX a terceras personas/ empresas.

Si bien es cierto la Revisión Periódica Obligatoria es un procedimiento que debemos recordar es mandatorio según la Resolución 059 de 2012 de la Comisión de Regulación de Energía y Gas CREG en la que básicamente se señala que los usuarios del servicio público de gas natural deben realizar dicha revisión periódica cada 5 años. Conforme a la anterior reglamentación, Cinco (5) meses antes de que se venza el plazo para realizar la revisión, el distribuidor debe enviar al usuario una carta de aviso anexa a la factura, indicando la necesidad de revisión; se reitera que Vanti S.A. ESP no realiza llamadas a sus usuarios y la comunicación que al respecto se realiza es de manera exclusiva a través de un inserto en la factura del servicio público domiciliario.”  Señala que no realizó contacto alguno con la titular referente a las llamadas por las cuales presentó su queja32: “Ahora bien, frente al malestar de la usuaria, en cuanto al contacto supuestamente realizado por Vanti, es del caso resaltar que, como empresa prestadora de un servicio público domiciliario, nos encontramos en la obligación de registrar en nuestro sistema de información cada uno de los contactos efectuado con o por el usuario.

Es de la mayor importancia señalar que una vez verificado en nuestro sistema no evidenciamos contacto alguno relacionado con el asunto objeto de la presente investigación y en consecuencia con la queja de la señora XXXX.” Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: Mediante comunicación del 16 de marzo de 2020 la investigada indicó que la titular al momento de suscribir el contrato acepta la cláusula 68 que dice lo siguiente: Sin embargo, esta cláusula hace referencia a la autorización que otorga la titular para la consulta y el reporte de su comportamiento crediticio ante los Operadores de información, correspondiente a los deberes concernientes a la Ley 1266 de 2008.

De ningún modo acreditan el cumplimiento del deber de informar las finalidades del tratamiento de los datos personales que se recolectan para compartirlos con terceros, lo cual está regulado por la Ley 1581 de 2012. 32 Expediente digital, consecutivo 31, página 2, folio 4 33 Expediente digital, consecutivo 0, página 2, folio 34 HOJA N, “Por la cual se impone una sanción y se imparte una orden” Ahora bien, respecto al contenido de la comunicación del 23 de abril de 2013: Al respecto, se observa que el documento aportado se encuentra anonimizado y no existe prueba de que haya sido enviado a la titular, por lo cual, la investigada no acreditó que puso en conocimiento de la señora XXXXXXXXXXXXXXXXXXXXXXXXX las políticas de tratamiento, así como tampoco que le informó el modo de ejercer sus derechos, y el Tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo.

Empero, teniendo en cuenta que por el cargo anterior de autorización previa no se sancionó a VANTI S.A. E.S.P, se debe aclarar que respecto al cargo de informar la finalidad del tratamiento de los datos personales de la titular este Despacho si considera que ocurrió un incumplimiento, toda vez que, la investigada debió acreditar que puso en conocimiento de la titular el hecho de que se compartirían sus datos personales con terceros en calidad de Encargados, quienes llevarían a cabo las visitas de revisión periódica para hacer labores de evaluación e inspección de las instalaciones internas de gas, cumpliendo funciones de verificación del correcto funcionamiento de este servicio.

Al respecto el Decreto 1074 de 2015 señala lo siguiente: “ARTÍCULO 2.2.2.25.2.7. Datos recolectados antes del 27 de junio de 2013. Para los datos recolectados antes del 27 de junio de 2013, se tendrá en cuenta lo siguiente: 1. Los responsables deberán solicitar la autorización de los titulares para continuar con el Tratamiento de sus datos personales del modo previsto en el artículo 2.2.2.25.2.4., a través de mecanismos eficientes de comunicación, así cómo poner en conocimiento de estos sus políticas de Tratamiento de la información y el modo de ejercer sus derechos. 2.

Para efectos de lo dispuesto en el numeral 1, se considerarán cómo mecanismos eficientes de comunicación aquellos que el responsable o encargado usan en el curso ordinario de su interacción con los Titulares registrados en sus bases de datos. 3. Si los mecanismos citados en el numeral 1 imponen al responsable una carga desproporcionada o es imposible solicitar a cada Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de HOJA N, “Por la cual se impone una sanción y se imparte una orden” Tratamiento de la información y el modo de ejercer sus derechos, el Responsable podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales cómo diarios de amplia circulación nacional, diarios locales o revistas, paginas de Internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco (5) días siguientes a su implementación. Con el fin de establecer cuando existe una carga desproporcionada para el responsable se tendrá en cuenta su capacidad económica, el número de titulares, la antigüedad de los datos, el ámbito territorial y sectorial de operación del responsable y el mecanismo alterno do comunicación a utilizar, de manera que el hecho de solicitar el consentimiento a cada uno de los Titulares implique un costo excesivo y que ello comprometa la estabilidad financiera del responsable, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado.

A su vez, se considerará que existe una imposibilidad de solicitar a cada titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los titulares, ya sea porque los mismos no obrán en sus archivos, registros o bases de datos, o bien, porque estos se encuentran desactualizados, incorrectos, incompletos o inexactos. 4.

Si en el término de treinta (30) días hábiles, contado a partir de la implementación de cualesquiera de los mecanismos de comunicación descritos en los numerales 1, 2 y 3, el Titular no ha contactado al Responsable o Encargado para solicitar la supresión de sus datos personales en los términos del presente capítulo, el responsable y encargado podrán continuar realizando el Tratamiento de los datos contenidos en sus bases de datos para la finalidad o finalidades indicadas en la política de Tratamiento de la información, puesta en conocimiento de los titulares mediante tales mecanismos, sin perjuicio de la facultad que tiene el Titular de ejercer en cualquier momento su derecho y pedir la eliminación del dato. 5.

En todo caso el Responsable y el Encargado deben cumplir con todas las disposiciones aplicables de la Ley 1581 de 2012 y el presente capítulo. Así mismo, será necesario que la finalidad o finalidades del Tratamiento vigentes sean iguales, analogas o compatibles con aquella o aquellas para las cuáles se recabaron los datos personales inicialmente.

PARÁGRAFO. La implementación de los mecanismos alternos de comunicación previstos en esta norma deberá realizarse a más tardar dentro del mes siguiente de la publicación del Decreto 1377 de 2013. (Decreto 1377 de 2013, art. 10)” Sin embargo, VANTI S.A. E.S.P no acreditó en la presente investigación que haya informado de forma efectiva las finalidades del tratamiento de los datos personales de la titular y como se manifestó anteriormente, la comunicación del 23 de abril de 2013 no es prueba suficiente del cumplimiento de este deber, porque esta anonimizada y no hay prueba del envío del documento a la titular.

Por otro lado, la investigada no informó acerca del uso de otro mecanismo eficiente de comunicación para solicitar la autorización previa y poner en conocimiento las finalidades del tratamiento respecto de los datos recolectados antes del 27 de junio de 2013, únicamente aporta la comunicación del 23 de abril de 2013 que al parecer tiene un destinatario específico, por lo cual, se infiere que si a cada titular le fue entregada dicha comunicación, la investigada no aportó la correspondiente a la titular porque no se indica expresamente su nombre, dirección y numero de póliza.

Por otra parte, el artículo 10 de la Ley 1581 de 2012 establece los casos en que se puede realizar tratamiento de datos sin que medie una autorización previa, sin embargo, también señala que "Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.”, en consecuencia, independientemente de que no necesite mediar una autorización para realizar el tratamiento de los datos personales, esto de modo alguno quiere decir que los Responsables pueden incumplir los demás deberes establecidos en la Ley.

Al respecto, la sociedad investigada no cuenta con una prueba que demuestre haber informado de forma expresa todas las finalidades específicas del tratamiento a la titular, entre ellas que sus datos personales serían compartidos con un Encargado del tratamiento que llevaría a cabo la visita HOJA N, “Por la cual se impone una sanción y se imparte una orden” periódica de revisión de las instalaciones de gas.

Esto en la medida en que el único mecanismo acreditado por la investigada, para poner en conocimiento de la titular las finalidades especificas del tratamiento es la comunicación del 23 de abril de 2013 que en primer lugar tiene anonimizado el nombre del destinatario, es decir el titular que otorga la autorización previa, y segundo no señala de forma especifica que los datos personales serán compartidos con un Encargado del tratamiento que realizará las visitas de revisión de las instalaciones de gas obligatorias, entre otras finalidades.

Por consiguiente, se concluye que la investigada recolectó y trato información personal de la señora XXXXXXXXXXXXXXXXXXXXXXXXXX sin cumplir con el deber informar a la Titular de manera previa, clara y expresa sobre las finalidades específicas del Tratamiento al que serían sometidos sus datos personales, vulnerando el derecho de habeas data del titular e incumpliendo lo establecido en la Ley 1581 de 2012, artículo 17 literal c), en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 inciso primero. Por tanto, se encuentra procedente imponer una sanción pecuniaria. 13.2.3 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento De acuerdo con lo establecido en la Ley 1581 de 2012 artículo 17 literal d), en concordancia con lo establecido en el artículo 4, literales f) y g) de la misma ley, normas que estipulan lo siguiente: “Ley 1581 de 2012 Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;” g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” Al respecto, teniendo en cuenta que tal como se explicó en el cargo primero, la sociedad a la cual se le compartieron los datos personales de la titular es un una entidad autorizada por el Organismo Nacional de Acreditación de Colombia (ONAC) y que esto se efectuó en virtud de lo establecido en la normatividad expedida por la Comisión de Regulación de Energía y Gas – CREG es claro que de modo alguno se trata de un acceso no autorizado de los datos personales de la titular a terceros no autorizados, sino que por el contrario los datos son tratados por un Encargado del tratamiento quien en virtud de sus funciones verifica el cumplimiento de la obligación que tiene el usuario del servicio público de gas de manera periódica y de acuerdo a lo establecido en la Resolución CREG 059 de 2012.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” Por lo anterior, frente a este cargo se concluye que la sociedad no incumplió lo consagrado en la Ley 1581 de 2012 artículo 17 literal d), en concordancia con lo establecido en el artículo 4, literales f) y g) de la misma ley, por lo que se desestimará este cargo. 13.2.4 Deber de Tramitar las consultas y reclamos “Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; “Artículo 14. Consultas.

Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

(…) “La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. “Artículo 15.

Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: (…) 3.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. En este punto, vale la pena recordar, recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al interesado (…)”.

Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante. (…)”. De igual manera, en la sentencia T-490 del 2018 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015.

A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”. En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. HOJA N, “Por la cual se impone una sanción y se imparte una orden” 42.

Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”. Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43.

Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente. La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.

La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.

(…)”. Esta Dirección observa de manera preliminar que la reclamante manifestó que el 21 de noviembre de 2019, mediante reclamación telefónica con radicado “No. 192615226”34 solicitó a la sociedad VANTI S.A. E.S.P., que se le brindara información relacionada con el tratamiento de sus datos personales; la misma fue atendida por la sociedad mediante respuesta fechada del 27 de enero de 2020, con el asunto “acto administrativo No. 200104074”35, documentación en la que se observa que la sociedad VANTI S.A. E.S.P. presuntamente no suministró respuesta a la petición telefónica dentro de los términos previstos en la ley, toda vez que el término para dar respuesta se cumplía el día 12 de diciembre de 2019 y fue hasta el 27 de enero del año 202036 que la sociedad se pronunció sobre la petición. Por lo expuesto, es preciso concluir que la sociedad VANTI S.A. E.S.P. presuntamente incurrió en un incumplimiento a su deber de tramitar las consultas y reclamos formulados por los Titulares de la Información en los términos señalados en la Ley 1581 de 2012.

De otra parte, en los alegatos de conclusión la investigada manifestó que:  Declara que dio cumplimiento a la orden impuesta en la Resolución 43585 del 31 de julio de 2020: “Tal como lo señalamos y quedo demostrado, VANTI S.A E.S.P atendió la petición de la titular de explicaciones sobre el uso de su información personal, no se han tratados datos personales de la señora XXXXXXXX que impliquen un perjuicio o un daño a sus intereses o de sus derechos como titular, no existe materialización de algún daño ni transgresión normativa o a los principios que rigen este derecho.

Adicional, tal como se informó a su despacho, el pasado 23 de noviembre de 2019, se realizó la actualización solicitada por la titular XXXXXXXXXXXXX, siendo así, la revocatoria de la finalidad de contacto comercial por parte de terceros o nuestra con fines comerciales y se realizó la respectiva marcación en el Sistema de Gestión de Clientes de la empresa tal como consta en la siguiente imagen: 34 Expediente digital, consecutivo 0, página 2, folio 18 35 Expediente digital, consecutivo 0, página 2, folio 28 36 Expediente digital, consecutivo 0, página 2, folio 27 HOJA N, “Por la cual se impone una sanción y se imparte una orden”  Señala que existe un hecho superado37: “De manera final hemos de expresar adicionalmente otros elementos que consideramos han de conducir a la entidad a desechar todos los Cargos y por contrario, dar por terminada la investigación. En primera medida, como obra prueba documental suficiente existe el Contrato de Condiciones uniformes regulado por la Ley 142 de 1994 el cual se trata de un contrato de adhesión con expreso desarrollo en la normativa citada así: “un contrato uniforme, consensual, en virtud del cual una empresa de servicios públicos los presta a un usuario a cambio de un precio en dinero, de acuerdo con estipulaciones que han sido definidas por ella para ofrecerlas a muchos usuarios no determinados”.

De esta forma y aplicando en forma analógica el principio constitucional del hecho superado entendemos que aún en el supuesto del Interés general, no se encuentran en la actualidad acciones que merezcan reproche. Sobre este particular ha dicho la corte: (…)” De acuerdo al acervo probatorio se encuentra lo siguiente: (i) (ii) (iii) (iv) La titular hizo una petición verbal por medio de una llamada telefónica el 21 de noviembre de 2019 solicitando información acerca de la autorización para el tratamiento de sus datos personales.38 En dicha llamada le informan que debe radicar su queja para la protección de sus datos personales por escrito. 39 Posteriormente la titular recibe una respuesta el 10 de enero de 2020 en la que VANTI S.A. E.S.P. no resuelve su petición supresión de sus datos personales para no recibir ofertas comerciales de terceros. 40 VANTI S.A. E.S.P emite respuesta del 27 de enero de 2020 en la que le informa lo siguiente a la titular: (v) VANTI S.A. E.S.P emite respuesta del 20 de agosto de 2020 en cumplimiento de la Resolución N° 43585 fechada 31 de julio de 2020, en la que manifiesta: “Una vez validada su comunicación mencionada en el asunto, mediante la cual solicita el no envío de información comercial de las empresas del Grupo Vanti o derivada de convenios con terceros colaboradores, para la dirección XXXXXXXXXXXXXXXXXXXXX 37 Expediente digital, consecutivo 31, página 2, folio 6 38 Expediente digital, consecutivo 0, página 2, folio 18 39 Expediente digital, consecutivo 0, página 2, folio 18 40 Expediente digital, consecutivo 0, página 2, folio 18 41 Expediente digital, consecutivo 0, página 2, folio 28 HOJA N, “Por la cual se impone una sanción y se imparte una orden” XX, ubicado en la ciudad de Bogotá, identificada con la cuenta XXXXXXX, le informamos que hemos evidenciado que la titular del servicio y por ende de los datos personales que se asocian a esta cuenta es la señora XXXXXXXXXXXXXXXXXXXXXXX, quien contrató el suministro de gas natural domiciliario a partir del 30 de octubre de 2007.

Los datos autorizados por la titular XXXXXXXXXXXXXXXXXXXXXXXX a Vanti S.A. E.S.P., antes Gas Natural SA ESP, al momento de la contratación del suministro de gas natural domiciliario fueron: Nombres, apellidos, cédula, correo electrónico, dirección física, fecha de nacimiento, nacionalidad y estrato socioeconómico. Así mismo, se observa que la titular antes mencionada, al momento de la contratación del suministro de gas natural domiciliario, manifestó que deseaba recibir información comercial, como se muestra a continuación: (…) En relación con su inquietud sobre si se han transmitido los datos personales a otras empresas y/o personas naturales los datos personales asociados al número de cuenta XXXXXX, informo que en ningún momento los mismos han sido trasferidos o transmitidos a personas naturales.

De otro lado, es de la mayor importancia resaltar que no es posible eliminar todos los datos personales del sistema de la empresa, debido a que usted es la titular de la cuenta No. XXXXX y por ende entre las partes existe un Contrato de Condiciones Uniformes, por lo tanto, no es posible realizar la supresión total de sus datos al mediar un contrato que se encuentra vigente.

Lo anterior conforme a la Ley 1581 de 2012.”42 En síntesis, se tiene que la titular interpuso una petición vía telefónica para no recibir ofertas comerciales de terceros asociados con la sociedad investigada el 21 de noviembre de 2019 y la investigada emitió una respuesta completa y de fondo solo hasta el 20 de agosto de 2020 en cumplimiento de lo ordenado en la Resolución N° 43585 del 31 de julio de 2020; teniendo en cuenta que las respuestas emitidas los días 10 y 27 de enero de 2020 no atendieron de fondo la solicitud y solamente le requirieron a la titular radicar la petición de forma escrita para ser atendida.

De manera que la respuesta a la petición de la titular se tardó en ser proferida por la investigada ocho (8) meses y veintinueve (29) días, además se puede decir que la titular recibió una respuesta completa únicamente con motivo del cumplimiento de la orden de la Resolución N° 43585 del 31 de julio de 2020, por lo que la vulneración del derecho de habeas data de la titular se prolongó por bastante tiempo, pese a que es un deber de los Responsables en aras de garantizar este derecho fundamental, atender las peticiones oportunamente, sin imponer tramites innecesarios a los titulares.

Por otra parte, respecto a la figura del hecho superado se debe aclarar que esta se configura ante el amparo del derecho fundamental de habeas data y que como consecuencia no haya lugar a impartir una orden administrativa. Lo anterior pues se habla de hecho superado cuando: “(…) entre el momento de la interposición de la acción de tutela y el momento del fallo se satisface por completo la pretensión contenida en la demanda de amparo, razón por la cual cualquier orden judicial en tal sentido se torna innecesaria.

En otras palabras, aquello que 42 Expediente digital, consecutivo 0, página 2, folio 81 a 95 HOJA N, “Por la cual se impone una sanción y se imparte una orden” se pretendía lograr mediante la orden del juez de tutela ha acaecido antes de que el mismo diera orden alguna.43” De manera que podría configurarse esta figura si los actos que vulneran el derecho fundamental desaparecen y como consecuencia la orden pierde su razón de ser.

Esto podría suceder en el transcurso de la actuación administrativa en lo relativo al amparo del derecho fundamental. Ahora bien, esta Superintendencia está facultada para adelantar una actuación administrativa de carácter sancionatorio, cuando existe responsabilidad administrativa derivada de la vulneración al Régimen Especial de Protección de Datos Personales.

Por lo que, el hecho de que una empresa corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales, de modo que la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido una organización frente al tratamiento de datos personales.

Así pues, el cumplimiento del Régimen Especial de Protección de Datos Personales debe demostrarse mediante una conducta continuada, y en el presente caso la investigada no demostró que hubiera respondido la petición hecha por la titular de manera telefónica el 21 de noviembre de 2019 dentro del término legal establecido para ello, ni otorgó una respuesta de fondo a su solicitud de supresión de sus datos personales.

Ahora bien, el hecho de que la investigada haya accedido a la petición de la titular de eliminar su información personal para fines comerciales en virtud de la orden impuesta por esta entidad no la exime de las sanciones a que haya lugar por la vulneración que efectivamente ocurrió del derecho de habeas data de la titular y al incumplimiento de sus deberes como Responsable del tratamiento.

En conclusión, se encuentra probado el incumplimiento por parte de VANTI S.A. E.S.P del deber de tramitar las consultas y reclamos formulados por los titulares de forma oportuna, toda vez que profirió una respuesta completa y de fondo a la petición radicada por la titular vía telefónica el 21 de noviembre de 2019, después de ocho (8) meses y veintinueve (29) días el 20 de agosto de 2020 con ocasión del cumplimiento de la orden emitida en la Resolución N° 43585 del 31 de julio de 2020.

DÉCIMO CUARTO: Que el parágrafo del artículo 2 de la Ley 1581 de 201244 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201545.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos 43 Corte Constitucional Sentencia T-358 de 2014, ver también: sentencias T-608 de 2002, T-552 de 2002, T-146 de 2012 y T-200 de 2013, entre otras. 44Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 45Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N, “Por la cual se impone una sanción y se imparte una orden” Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1.

Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 1 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”1 (subrayamos) (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”1.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad VANTI S.A. E.S.P para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de finalidad, acceso y circulación restringida, seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO QUINTO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La sociedad VANTI S.A. E.S.P deberá implementar un procedimiento de recepción de quejas por indebido tratamiento de datos personales que lleguen mediante llamadas telefónicas de los titulares, garantizándoles que se les dará respuesta dentro del término legal que empezará a contar desde el día que se reciba la petición vía telefónica, de forma completa y de fondo.  La sociedad VANTI S.A. E.S.P deberá verificar que previo a realizar el tratamiento de los datos personales verifique que se hayan informado todas las finalidades específicas al titular de acuerdo a lo establecido en la Ley.

De lo anteriormente ordenado la sociedad VANTI S.A. E.S.P. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO SEXTO: Imposición y graduación de la sanción 16.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante HOJA N, “Por la cual se impone una sanción y se imparte una orden” una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 46.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional47 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 47 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N, “Por la cual se impone una sanción y se imparte una orden” norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”48 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros49. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”50.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia51. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2352 de la misma ley.

Asimismo, el artículo 24 de la 48 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 50 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 51 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 52Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: HOJA N, “Por la cual se impone una sanción y se imparte una orden” norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 16.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”53 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 53 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. HOJA N, “Por la cual se impone una sanción y se imparte una orden” del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados54. También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: (i) La investigada recolectó y trato información personal de la señora XXXXXXXXX XXXXXXXXXXXXXXXXXX sin cumplir con el deber de informar a la Titular de manera previa, clara y expresa sobre las finalidades del Tratamiento al que serían sometidos sus datos personales, vulnerando el derecho de habeas data de la titular e incumpliendo lo establecido en la Ley 1581 de 2012, artículo 17 literal c), en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 inciso primero. Por tanto, se encuentra procedente imponer una sanción pecuniaria. de DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($10.603.000) equivalente a DOSCIENTAS CINCUENTA (250) unidades de valor tributario- UVT55.

(ii) Se encuentra probado el incumplimiento por parte de VANTI S.A. E.S.P del deber de tramitar las consultas y reclamos formulados por los titulares de forma oportuna, toda vez que profirió una respuesta completa y de fondo a la petición radicada por la titular vía telefónica el 21 de noviembre de 2019, después de ocho (8) meses y veintinueve días (29) con ocasión al cumplimiento de la orden emitida en la Resolución N° 43585 del 31 de julio de 2020.

De conformidad con el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley, por lo tanto, procede una sanción pecuniaria DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($10.603.000) equivalente a DOSCIENTAS CINCUENTA (250) unidades de valor tributario- UVT56. 16.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO SÉPTIMO: CONCLUSIÓN 54 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Mediante Resolución 001264 del 18 de noviembre de 2022 se fijó en $ 42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023.

Mediante Resolución 001264 del 18 de noviembre de 2022 se fijó en $ 42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023. HOJA N, “Por la cual se impone una sanción y se imparte una orden” Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en: (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (ii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley. ii.

VANTI S.A. E.S..P es prestador de un servicio público, por lo tanto, en virtud de lo establecido en la Ley la sociedad realiza el tratamiento de los datos personales para esta finalidad legalmente establecida y en consecuencia no debe mediar una autorización previa. Pero esto no exime a la sociedad de cumplir con los demás deberes y exigencias establecidos en la Ley. iii.

La investigada recolectó y trato información personal de la señora XXXXXXXX XXXXXXXXXXXXXXXX sin cumplir con el deber informarle de manera previa, clara y expresa las finalidades del tratamiento, específicamente que sus datos serían utilizados por terceros para la realización de visitas periódicas de evaluación e inspección de las instalaciones internas de gas, vulnerando su derecho fundamental de habeas data. iv.

La investigada no demostró haber informado las finalidades del tratamiento de los datos personales de lo titulares, cuyos datos fueron recolectados antes del 27 de junio de 2013 mediante un mecanismo de comunicación eficiente que pruebe que efectivamente tuvieron conocimiento de que sus datos serian tratados por Encargados del tratamiento para el cumplimiento de las funciones de VANTI S.A. E.S..P como prestadora de un servicio público. v. La investigada incumplió el deber de tramitar las consultas y reclamos formulados por los titulares de forma oportuna, toda vez que profirió una respuesta completa y de fondo a la petición radicada por la titular vía telefónica el 21 de noviembre de 2019, después de ocho (8) meses y veintinueve días (29) el 20 de agosto de 2020 con ocasión al cumplimiento de la orden emitida en la Resolución N° 43585 del 31 de julio de 2020.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a VEINTIÚN MILLONES DOSCIENTOS SEIS MIL PESOS M/CTE ($21.206.000) equivalente a QUINIENTAS (500) unidades de valor tributario-UVT, por la vulneración de (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (ii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley a la sociedad VANTI S.A. E.S.P.

DÉCIMO OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad VANTI S.A. E.S.P identificada con NIT. 800.007.813- 5, con el correo electrónico de notificación judicial serviciosjuridicos@grupovanti.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-99858. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad VANTI S.A. E.S.P. identificada con el Nit. 800.007.813- 5 de VEINTIÚN MILLONES DOSCIENTOS SEIS MIL PESOS M/CTE ($21.206.000) equivalente a QUINIENTAS (500) unidades de valor tributario-UVT, por la violación a lo dispuesto en: (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 (ii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo el artículo 14 inciso tercero y el artículo 15 numeral 3) de la misma ley PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: Ordenar a la sociedad VANTI S.A. E.S.P. identificada con el Nit. 800.007.813- 5, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de seis (6) meses siguientes a la ejecutoria de la presente decisión. Las siguientes instrucciones:  La sociedad VANTI S.A. E.S.P deberá implementar un procedimiento de recepción de quejas por indebido tratamiento de datos personales que lleguen mediante llamadas telefónicas de los titulares, garantizándoles que se les dará respuesta dentro del término legal que empezará a contar desde el día que se reciba la petición vía telefónica, de forma completa y de fondo.  La sociedad VANTI S.A. E.S.P deberá verificar que previo a realizar el tratamiento de los datos personales verifique que se hayan informado todas las finalidades específicas al titular de acuerdo a lo establecido en la Ley.

PARÁGRAFO PRIMERO: La sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5 a través de su representante HOJA N, “Por la cual se impone una sanción y se imparte una orden” legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: Comunicar la presente decisión a la señora XXXXXXXXXXXXXX XXXXXXXX identificada con C.C XXXXXX.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 MAYO 2023 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2023.05.30 15:47:30 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DMPRB Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: VANTI S.A. E.S.P. Identificación: Nit.: 800.007.813- 5 Representante Legal: RODOLFO ENRIQUE ANAYA ABELLO Identificación: C.C. No. 72145437 Dirección: Cl 72 No. 5-38 Ciudad: Bogotá D.C Correo electrónico: serviciosjuridicos@grupovanti.com COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXX

Resolución sancionatoria N° 059 de 2023

CONSIDERANDO

RESUELVE