(21 de abril 2025) “Por la cual se resuelve un recurso de apelación” Radicación 22-183535 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que mediante Oficio No. 21-192415-00 del 8 de mayo de 2021, la señora xxxxxx xxxxxxxx xxx xxx xxxxxx presentó una queja en contra de MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA (en adelante MAC CENTER), por la presunta vulneración a su derecho constitucional de habeas data.
SEGUNDO. Que mediante Resolución No. 61469 del 27 de septiembre de 2021, la Dirección de Habeas Data, resolvió lo siguiente: “ARTÍCULO PRIMERO: Ordenar a la sociedad Mac Center Colombia Sociedad por Acciones Simplificada, identificada con Nit. 900.311.581-7, para que dentro del término de quince (15) días hábiles siguientes a la ejecutoria de la presente decisión, ajuste los procedimientos para solicitar y conservar la autorización previa, expresa e informada para tratamiento de datos personales de los titulares conforme a los artículos 9 y 12 de la Ley 1581 de 2012 en concordancia con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.3. del Decreto 1074 de 2015.
(…)
ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Hábeas Data lo pertinente”.
TERCERO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 58042 del 29 de agosto de 2022, decidió abrir una investigación administrativa y formular cargos en contra de MAC CENTER, por el presunto incumplimiento del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
CUARTO. Que una vez agotada la etapa probatoria y efectuado el análisis del escrito de descargos1 y de los diferentes medios probatorios allegados al expediente, la Dirección, mediante Resolución No. 21200 del 29 de abril de 2024, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7 de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden DIEZ MIL NOVENTA Y DOS (10092) Unidades de Valor Básico – UVB, equivalentes a CIENTO DIEZ MILLONES QUINIENTOS DIECISIETE MIL CUATROCIENTOS NOVENTA Y DOS PESOS M/CTE ($110.517.492), por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
Mediante Oficio No. 22-183535-10 del 29 de septiembre de 2022 el apoderado de MAC CENTER presentó el escrito de Descargos. “Por la cual se resuelve un recurso de apelación”
ARTÍCULO 2: ORDENAR a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, cumplir con las siguientes instrucciones: • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá implementar un mecanismo para dar respuesta dentro del término legal establecido en la Ley 1581 de 2012 a las solicitudes de revocatoria de la autorización de los Titulares de información. • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá eliminar cualquier información sobre quejosa y sobre aquellos Titulares de quienes no tenga autorización para la recolección, uso, almacenamiento y circulación de sus datos personales.
QUINTO. Que MAC CENTER a través de su apoderado especial (en adelante la RECURRENTE), mediante escrito radicado con el número 22-183535-23 del 15 de mayo de 2024, presentó recurso de reposición y en subsidio de apelación2 en contra de la decisión contenida en la Resolución No. 21200 del 29 de abril de 2024, indicando como principales argumentos los siguientes: 5.1.
Considera que la Dirección tuvo en cuenta el régimen sancionatorio establecido en la Ley 1480 de 2011, mencionando que el monto de la sanción se basa en el criterio de daño a los consumidores según el numeral 1 del parágrafo 1 del artículo 61 del Estatuto del Consumidor. 5.2. Solicita de esta manera la reducción de la sanción, en la medida que no se tuvieron en cuenta otros criterios atenuantes específicamente los literales a) y b) del artículo 24 de la Ley 1581 de 2012. 5.3.
Considera procedente la reducción del valor de la multa impuesta tendiendo en cuenta lo siguiente: a. Buenas Prácticas y Medidas Correctivas: Mac Center Colombia S.A.S. ha demostrado su compromiso con la protección de datos personales mediante la implementación de procedimientos y medidas correctivas. b. Atenuantes Adicionales: La dimensión limitada del daño y la ausencia de beneficio económico deberían ser considerados en la graduación de la sanción. c. Proporcionalidad y Razonabilidad: La sanción impuesta debe ser proporcional a la naturaleza y el impacto del incumplimiento.
Dado el alcance limitado del incidente y la ausencia de beneficio económico, la sanción debería ser reducida. d. Reparación del Daño: Mac Center Colombia S.A.S. ha tomado todas las medidas necesarias para reparar el daño y asegurar el cumplimiento de las disposiciones legales en el futuro.
SEXTO. Que la Dirección, mediante Resolución No. 62058 del 17 de octubre de 2024, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 21200 del 29 de abril de 2024.
SÉPTIMO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 7.1. Respecto de la proporcionalidad de la sanción impuesta. Análisis de los criterios de graduación de la Ley 1581 de 2012. En términos generales, el derecho administrativo sancionador pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no solo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas.”3 La Resolución No. 21200 del 29 de abril de 2024, fue notificada a MAC CENTER personalmente de manera electrónica el 29 del abril de 2024.
Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm “Por la cual se resuelve un recurso de apelación” En un pronunciamiento reciente, la Corte Constitucional4 sostuvo que el derecho administrativo sancionador “es una manifestación del ius puniendi estatal”5, esto es, de la facultad que tiene el Estado para sancionar las conductas que se consideran reprochables.
Dada su naturaleza, es una rama del derecho público que está sometida a unos principios “que operan como límite”6, entre ellos, los principios de legalidad y tipicidad7. Dicha potestad se desarrolla materialmente bajo el procedimiento administrativo establecido en el CPACA, encontrándose sujeta a los principios establecidos en el artículo 3 de la citada codificación. De conformidad con lo establecido en el citado artículo8, las actuaciones sancionatorias definidas en el artículo 47 y siguientes del CPACA, se desarrollarán, con arreglo al principio del debido proceso9, en virtud del cual, se tendrán en cuenta las normas de procedimiento y competencia establecidas en la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción, así como del principio de legalidad de las faltas y de las sanciones.
En lo que tiene que ver con el principio de legalidad, la doctrina ha indicado que su finalidad es garantizar la libertad de los titulares y controlar la arbitrariedad judicial y administrativa mediante el señalamiento legal previo de las penas aplicables. Y aunque la doctrina y la jurisprudencia han reconocido que el derecho administrativo sancionador no tiene la misma rigurosidad exigible en materia penal, aun así, el comportamiento sancionable debe ser preciso, como también debe serlo la sanción correspondiente, a fin de garantizar el derecho al debido proceso al que laude el artículo 29 Superior10.
Respecto al principio de tipicidad, se ha dicho que el legislador está obligado a describir la conducta o comportamiento que se considera ilegal o ilícito en la forma más clara y precisa posible, de modo que no quede duda alguna sobre el acto, el hecho, la omisión o la prohibición que da lugar a sanción, e igualmente debe predeterminar la sanción indicando todos aquellos aspectos relativos a ella, esto es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición11.
Ahora, en materia de protección de datos personales, la potestad sancionadora de esta Superintendencia se concreta en el artículo 22 de la Ley 1581 de 2012, el cual establece que, para la imposición de una sanción, deberá determinarse que hubo una vulneración a las disposiciones descritas en la citada Ley. Mediante sentencia C – 748 del 6 de octubre de 2011, la Corte Constitucional cuando estudió la constitucionalidad del artículo 22 antes mencionado, manifestó: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción285.
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer Sentencia C- 094 de 2021 Sentencia C-412 de 2015. Ib. La Corte Constitucional también ha considerado como principios del derecho administrativo sancionador el debido proceso, el principio de proporcionalidad y la independencia entre la sanción administrativa y la sanción penal (cfr., sentencia C-748 de 2011, citada por la sentencia C-412 de 2015).
La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA.
Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 Efectivamente, el artículo 29 de la Constitución Política, establece que el “debido proceso” se aplicará a toda clase de actuaciones judiciales y administrativas, así mismo indica que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”, aspectos que se materializan en los principios de legalidad y tipicidad.
Restrepo Medina, MANUEL ALBERTO. Nieto Rodríguez MARÍA ANGELICA. El Derecho Administrativo Sancionador en Colombia. Editorial Universidad del Rosario. Legis. Bogotá Colombia Primera Edición 2017. Ibidem “Por la cual se resuelve un recurso de apelación” independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.
Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
De esta misma generalidad adolecía el proyecto que dio origen a la Ley 1266 de 2008, y la Corte, en la sentencia C-1011 de 2008, interpretó que la infracción administrativa la constituía el desconocimiento de los deberes de los usuarios, fuentes y operadores. Esa interpretación será la misma que empleará en esta oportunidad la Sala para declarar la exequibilidad del inciso primero del artículo 22, cuando se refiere al “incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento”.
La facultad sancionadora a la cual se ha hecho referencia, además de encontrarse sujeta a los principios de legalidad y tipicidad, lo está también al principio de proporcionalidad. Según el cual, la sanción a imponer debe ser “proporcional” a la falta o infracción que se quiere sancionar, esto dentro de un marco de referencia que permita la determinación de la sanción en el caso concreto.
En desarrollo de los citados principios, la Ley 1581 de 2012 en sus artículos 23 y 24 establece las clases de sanciones y los criterios que deben ser tenidos en cuenta para efectos de su graduación. “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
(…)
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Ahora bien, frente a los citados criterios de graduación, el recurrente indicó lo siguiente: 7.1.1. Indicó el RECURRENTE que, “en la resolución sancionatoria, se tuvo en cuenta únicamente el literal f) del artículo 2 de la Ley 1581 de 2012, que se refiere al reconocimiento o aceptación expresa por parte del investigado sobre la comisión de la infracción. Sin embargo, existen otros atenuantes concurrentes que no fueron considerados, específicamente los literales a) y b) del mismo artículo, que justifican una reducción de la sanción impuesta.
Frente al literal a) del artículo 24 de la Ley 1581 de 2012, relacionado con la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley, solicita el recurrente tener en consideración lo siguiente: “Frente a este atenuante, se solicita a la Dirección tener en consideración lo siguiente: - El incidente involucró a un solo titular de datos, lo que limita la dimensión del daño potencial.
“Por la cual se resuelve un recurso de apelación” - Los datos en cuestión no eran sensibles; se trató de información utilizada para enviar correos electrónicos. La naturaleza no sensible de los datos y el alcance limitado del incidente reducen significativamente el daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012”.
En lo que tiene que ver con el literal b) relacionado con el beneficio económico obtenido por el infractor o terceros: “Frente a este atenuante, se solicita a la Dirección tener en consideración lo siguiente: - No se reportó ningún beneficio económico derivado de la infracción por parte de Mac Center Colombia S.A.S. La ausencia de ganancia económica debería ser considerada como un atenuante adicional en la graduación de la sanción, ya que no hubo motivación lucrativa detrás del incumplimiento”.
La Corte Constitucional en sentencia C-748 de 2011, respecto de los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012 manifestó lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) Siguiendo el citado lineamiento, la Dirección, al momento de graduar la sanción impuesta, consideró conforme la conducta investigada y las pruebas allegadas, aplicar únicamente el criterio establecido en el literal a) del ya citado artículo 24, y no los establecidos en los literales b), c), d) y e) en la medida que, MAC CENTER: (i) (ii) (iii) (iv) No obtuvo un beneficio económico en virtud de la comisión de la infracción. No reincidió en la comisión de la falta investigada.
No se resistió ni obstruyó la acción investigadora de esta Superintendencia. No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia. Al estudiar el literal f) del artículo 24, la Dirección decidió atenuar el valor inicialmente considerado como multa, teniendo en cuenta que MAC CENTER aceptó de manera expresa la comisión de la conducta sancionada, tal como puede observarse a continuación: 12.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada alega que “A partir de los descargos, Mac Center ha reconocido como cierto el hecho de que existió un retardo en hacer efectivo el derecho a la revocatoria de la autorización de datos y supresión de la información de la Sra. xxxxxxxx”, este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducido a de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden DIEZ MIL NOVENTA Y DOS (10.092) Unidades de Valor Básico – UVB Vigentes para el año 2024, equivalentes a CIENTO DIEZ MILLONES QUINIENTOS DIECISIETE MIL CUATROCIENTOS NOVENTA Y DOS PESOS M/CTE ($110.517.492), por la vulneración a lo dispuesto en literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. Así las cosas, este Despacho considera que la sanción impuesta por la Dirección se ajusta a los principios constitucionales y legales que rigen la imposición, en la medida que reprocha el desconocimiento de las normas de protección de datos por parte de MAC CENTER.
Finalmente, es importante aclarar que las sanciones impuestas en el marco de procesos administrativos sancionatorios no representan una cuantificación de perjuicios materiales o morales. Es decir, no constituyen una estimación de daños subjetivos. Su propósito, además de castigar la violación a las normas de protección de datos personales radica en fomentar y “Por la cual se resuelve un recurso de apelación” garantizar su cumplimiento, contribuyendo así a la protección efectiva del derecho fundamental de habeas data, entre otros12.
Se destaca igualmente que, para determinar el monto de la sanción, la Dirección consideró diversos factores, como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, y el deber incumplido. Por lo tanto, se evidencia que todo esto se ha evaluado, en congruencia con los principios de proporcionalidad y razonabilidad.
Por otra parte, frente al argumento relacionado con la aplicación de la Ley 1480 de 2011 “Por medio de la cual se expide el Estatuto del Consumidor y se dictan otras disposiciones”, debe el despacho aclarar al recurrente que el objeto de la citada ley se circunscribe a las normas que regulan los derechos y las obligaciones surgidas entre los productores, proveedores y consumidores y la responsabilidad de los productores y proveedores tanto sustancial como procesalmente, por lo que no es posible darle aplicación en la presente actuación administrativa.
Finalmente, en lo que tiene que ver con la multa pecuniaria impuesta, resulta pertinente resaltar lo siguiente: • La multa impuesta a MAC CENTER ($110.517.492), corresponde al 4.76% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012). • El monto de dicha sanción es el resultado del análisis de la puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa por el incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables del tratamiento. • La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data y en particular de los mandatos legales señalados. 7.1.2.
Respecto del “Cuestionamiento al Procedimiento de Inclusión en la “Do not Contact List”. Indicó el recurrente lo siguiente: “El 10 de mayo de 2021, Mac Center Colombia S.A.S. incluyó el número de celular y el correo electrónico del titular en la "Do Not Contact List". Este procedimiento interno se implementa para evitar cualquier contacto adicional con el titular mientras se verifica que no exista una disposición legal que obligue a mantener los datos.
La inclusión en la "Do Not Contact List" fue un paso previo a la eliminación total de los datos, asegurando que no se realicen más contactos con el titular y respetando su solicitud de revocatoria. Posteriormente, los datos fueron completamente eliminados, cumpliendo con todas las obligaciones legales. La Ley 1581 de 2012 define el tratamiento de datos personales como cualquier operación sobre datos, incluyendo la supresión. Mantener datos en una lista de "no contactar" no constituye tratamiento en el sentido de uso o circulación de los datos.
La inclusión en la "Do Not Contact List" es una medida temporal para asegurar que los datos no sean tratados en el futuro, cumpliendo con la solicitud de revocatoria. En razón a lo anterior, la inclusión en la referida lista no tiene que constituir un hecho que se tenga como demostrativo de una falta de cumplimiento de parte de Mac Center de la obligación de hacer la supresión del dato de la titular”.
Pues bien, el artículo 15 de la Constitución Política, dispone que “todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tiene derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de apelación” públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. La Corte Constitucional mediante sentencia C-748 de 2011, manifestó: “la Corporación ha señalado que el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales[265]13.
Conforme lo anterior, el Responsable está en la obligación de garantizar al titular el ejercicio de sus derechos frente al tratamiento de los datos personales para lo cual deberá obrar de manera profesional, diligente y efectiva. Por esta razón, ante una solicitud de revocatoria de la autorización que se realice, debe proceder conforme lo establecido en la Ley 1581 de 2012 y sus normas reglamentarias.
Efectivamente la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) En la ya mencionada Sentencia C-748 de 2011, la Corte se refirió al precitado artículo de la siguiente manera: “(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.
En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos”.
Concordante con el literal e) del artículo 8 antes citado, el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, dispone: “ARTÍCULO 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”.
Así las cosas, en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201214 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida. [265] Cfr. Ibídem. sentencia C-1011 de 2008 M.P. Jaime Córdoba Triviño ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. “Por la cual se resuelve un recurso de apelación” Ignorar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado.
Esto, se reitera, es censurable e inadmisible. En el presente caso, conforme los hechos probados, la quejosa desde el 18 de octubre de 2019 presentó en varias oportunidades la solicitud de revocatoria de la autorización para el tratamiento de sus datos personales para que no fuera contactada a través del envío de correos electrónicos de carácter publicitario.
Sin embargo, sólo hasta el 10 de mayo de 2021, como lo indica el recurrente, los datos personales de la quejosa fueron incluidos en la base denominada “Do Not Contact List”, situación que no puede ser considerado como un cumplimiento a lo solicitado inicialmente, teniendo en cuenta que MAC CENTER en calidad de responsable continuaría realizando tratamiento a los datos personales de la quejosa. 7.1.3.
Respecto de “la Garantía Efectiva del ejercicio de Derechos del titular”. Indica el recurrente que “Mac Center Colombia S.A.S. ha implementado procedimientos adecuados para garantizar el ejercicio de los derechos de los titulares de los datos personales. Se insiste, sin ser excusable del incumplimiento, que incidente (sic) fue resultado de un error del sistema, lo que impidió la eliminación efectiva de los datos de manera oportuna.
A pesar del error, se tomaron medidas correctivas inmediatas para asegurar la supresión de los datos y evitar futuros incumplimientos”. Dispone el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, que, “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.
La Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.
Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.
Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;
(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”15 (Destacamos) De conformidad con lo anteriormente indicado, el Responsable respecto del tratamiento de los datos personales, debe estar en la capacidad de demostrar que tiene implementado el procedimiento para atender dentro del término indicado en la Ley la solicitud de revocar la autorización para el tratamiento de sus datos personales otorgada, sin que se presenten dilaciones que en últimas ponga en peligro el derecho de habeas de ese titular.
En el caso concreto, llama la atención del Despacho que, a pesar de las diferentes solicitudes realizadas por la quejosa, MAC CENTER no realizó las labores técnicas necesarias para que la información fuera eliminada de las bases de datos. Al respecto, encuentra el Despacho que en Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.
M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm “Por la cual se resuelve un recurso de apelación” el escrito de descargos se allega una cadena de correos electrónicos, y sobre la cual llama la atención el siguiente: De acuerdo con lo anterior, MAC CENTER en su calidad de Responsable, debió tener implementadas las medidas necesarias para que, en un eventual cambio de plataforma no vulnerara el derecho de habeas data de la titular.
Así que, es evidente que los correctivos realizados tuvieron lugar sólo cuando esta superintendencia intervino. Para el Despacho es importante señalar al recurrente que las órdenes que imparte esta Superintendencia son medidas de carácter preventivo que buscan que las vulneraciones al régimen de protección de datos personales no se repitan.
Se pretende igualmente generar conciencia en los Responsables para que realicen todas las tareas necesarias en aras de fortalecer las medidas que puedan tener ya implementadas para que éstas estén acordes con las disposiciones constitucionales y legales vigentes que protegen el derecho de habeas data. CONCLUSIONES. a) En virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 2012, los titulares pueden solicitar la exclusión o supresión “Por la cual se resuelve un recurso de apelación” de la información que repose en las bases de datos de los responsables o encargados del tratamiento, siempre que no exista un deber legal o contractual que lo impida. b) Así mismo, de acuerdo con lo establecido en el literal e) del artículo 8 de la citada Ley, el titular tiene el derecho de revocar en cualquier tiempo la autorización que haya sido otorgada al responsable para el tratamiento de sus datos personales. c) MAC CENTER no garantizó el pleno y efectivo ejercicio del derecho de habeas data del titular toda vez que, a pesar de haber presentado en varias oportunidades la solicitud de la revocatoria de la autorización otorgada, sólo incluyó la información de la quejosa en una base denominada “Do Not Contact List”. d) La multa impuesta a MAC CENTER corresponde al 4.76% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
En mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 21200 del 29 de abril de 2024, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA identificado con el NIT 900.311.581-7, a través de su representante legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente resolución a la señora xxxxxxx xxxxxxxx xxx xxx xxxxxx, identificado con la cédula de ciudadanía No. x.xxx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 de abril 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.04.21 15:42:48 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó: JCUM Aprobó: JCUM “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA Nit. 900.311.581-7 MARÍA JULIANA RENGIFO MURILLO C.C. 40.990.455 Calle 103 No. 18 A – 48 Bogotá D.C. contabilidad1@mac-center.com Apoderado: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo Electrónico: JUAN CARLOS TORRES IBARRA C.C. 73.167.160 99.849 del C. S. de la J. Calle 69 No. 4 – 48 Oficina 401 Bogotá D.C. jctorres@buriticaabogados.com COMUNICACIÓN: Señor: Identificación: Correo Electrónico: XXXXXXX XXXXXXXX XXX XXX XXXXXX C.C. x.xxx.xxx.xxx xxxxxxx.xxxxxxxxx@xxxxx.xxx