Decisión 5050 de 2022 — SIC

(Agosto 30 de 2022) Radicación 18-127153 VERSIÓN ÚNICA LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 67646 de 20 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales ordenó: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad comercial COMUNICACIÓN CELULAR S.A. - COMCEL S.A. con NIT. 800.153.993-7, correspondiente a NOVECIENTOS CINCUENTA MILLONES DE PESOS ($950,000,000) correspondientes a 26,165.0325 Unidades de Valor Tributario (“UVT”), por violación en lo dispuesto en: • • Del principio de finalidad (Ley 1581 de 2012, artículo 4, literal (b)) y el deber de informar de forma debida sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada (Ley 1581 de 2012, artículo 17, literal (c)).

Del principio de libertad (Ley 1581 de 2012, artículo 4, literal (c)) y el deber de solicitar y conservar copia de la respectiva autorización otorgada por el Titular en los términos establecidos por la ley (Ley 1581 de 2012, artículos 9 y 17, literal (b), Decreto1377 de 2013, artículos 5, 7, y 8 -incorporado en el Decreto Único Reglamentario 1074 de 2015)”.

SEGUNDO. Que mediante escrito radicado bajo el No. 18-127153-153-01 de 12 de noviembre de 2021, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. -en adelante “la investigada” o “Comcel S.A.”-presentó recurso de reposición y en subsidio de apelación en contra de la Resolución 67646 de 20 de octubre de 2021, al igual que las sociedades AVANTEL S.A.S. EN REORGANIZACIÓN mediante el escrito radicado bajo el número 18-127153-152-01 de 10 de noviembre de 2021 y COLOMBIA MÓVIL S.A. E.S.P. mediante el escrito radicado bajo el número 18-127153-151-01 de 10 de noviembre de 2021 respectivamente.

TERCERO. Que mediante la Resolución No. 29602 de 17 de mayo de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió los recursos de reposición interpuestos, confirmando en todas sus partes la Resolución No. 67646 de 20 de octubre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver los recursos de apelación interpuestos contra la Resolución No. 67646 de 20 de octubre de 2021. Con este propósito, iniciará con el resumen de los argumentos expuestos:

1. RECURSO DE APELACIÓN INTERPUESTO POR AVANTEL S.A.S. EN REORGANIZACIÓN “( )SOBRE LA VULNERACIÓN AL RÉGIMEN DE PROTECCIÓN DE LA COMPETENCIA Y LA AUSENCIA DE TRASLADO DEL EXPEDIENTE A LA SUPERINTENDENCIA DELEGADA PARA LA PROTECCION [sic] DE LA COMPETENCIA ( ) su despacho reconoció que, de existir una potencial afectación al Régimen de protección de la competencia, debía -con fundamento en el principio de legalidad que gobierna las actuaciones públicas, que se materializa en el ejercicio del marco funcional expresamente previsto en el ordenamiento jurídico - ( ) remitir a cualquier otra autoridad los casos que considere que son de su competencia ( ) HOJA Nº, 2 VERSIÓN ÚNICA Sin embargo, al hacer una revisión de las autoridades respecto de las cuales se ejerció dicha facultad oficiosa (Artículo [sic] Noveno [sic] del acto administrativo), encontramos que su Despacho no dio traslado de los hechos a la Superintendencia [sic] Delegada [sic] para la Protección de la Competencia no obstante, haber sido solicitada expresamente por los terceros interesados en la actuación administrativa.

( ) solicitamos respetuosamente a su Despacho que proceda a adicionar el acto administrativo recurrido en el sentido de adicionar el artículo noveno del acto administrativo aquí recorrido en el sentido de ordenar la REMISION [sic] DE COPIA del expediente administrativo a la Superintendencia [sic] Delegada [sic] para la Protección de la Competencia para que avoque conocimiento y ejerza sus facultades legales en materia de libre competencia. ( ) RESPECTO A AUSENCIA DE REPROCHE RESPECTO AL USO INDEBIDO DE INFORMACIÓN DE LA BASE DE DATOS ADMINISTRATIVA POSITIVA DE HURTO A CELULARES Y DE LA INFORMACIÓN DE TRÁFICOS DE USUARIOS DE COMPETIDORES A QUIENES CLARO DA ACCESO MEDIANTE ROAMING AUTOMATICO NACIONAL Desde el mismo acto de apertura de investigación administrativa, su Despacho tuvo en cuenta que Claro pudo haber hecho uso indebido de la Base de Datos Administrativa Positiva de Hurto a Celulares, en la cual reposa la información de todos los IMEI que han ingresado legalmente a Colombia.

A punto 7.1.2. de la parte considerativa del acto administrativo 67646 de 2021, su despacho hizo un escueto análisis respecto de estas bases de datos, en el cual no llegó a ninguna conclusión y en el cual no se hizo ninguna referencia o análisis a pronunciamiento de COMCEL, sobre el particular, razón por la cual consideramos que con la decisión de instancia y ante ausencia de pruebas y manifestaciones en contrario, debió presumir como ciertos los hechos denunciados por Avantel y haber declarado que COMCEL hizo un uso no autorizado de las bases de datos reguladas de hurto a celulares.

Haber expedido el acto sin dicho análisis y conclusiones, no sólo [sic] favorece a CLARO, quien tenía la carga de la prueba, sino que agravó la situación de los terceros interesados, ya que el acto de sanción no abarcó la totalidad de supuestos de hecho denunciados, los cuales reiteramos, tampoco fueron desestimados mediante decisión motivada por parte de su Despacho.

En similar sentido, advertimos que Avantel desde el memorial de 28 de julio de 2020, en el cual se solicitó a su Despacho reconocer a Avantel como tercero interesado y posteriormente se ratificó y reiteró en el memorial de alegatos de conclusión, se puso en su conocimiento que COMCEL podría estar haciendo uso ilegal de la información de tráficos generados por el acceso otorgado a su red, mediante ROAMING AUTOMATICO [sic] NACIONAL.

Acceso, que también está regulado y en el cual no se autoriza la extracción de información al operador de red visitada, con fines comerciales o de telemercadeo y que versan sobre comunicaciones de titulares [sic] de datos [sic] personales que no tienen servicios móviles contratados con COMCEL, sino con terceros operadores como los que intervinieron en esta actuación administrativa.

No obstante, respecto a este punto no se hizo ninguna referencia ni análisis siquiera sumario en la parte considerativa del acto sancionatorio que aquí se recurre, y en consecuencia, tampoco fue tratado en su parte resolutiva. Atendiendo a que se trató de hechos expresamente denunciados y reiterados en los escritos que Avantel ha presentado a consideración de su Despacho, solicitamos adicionar la resolución en el sentido de declarar la responsabilidad de COMCEL por hacer uso indebido de la información de Hurto a celulares y tráficos de Roaming Automático Nacional, bajo el entendido que COMCEL no se pronunció sobre el particular, no reposa prueba en contrario al interior del expediente y en consecuencia, los hechos denunciados se deben presumir como ciertos y ser reprochados y declarados mediante adición del acto de sanción, en sede de reposición o de apelación. ( ) PETICIONES ( ) Adicionar el Artículo [sic] Noveno [sic] de la parte resolutiva del acto administrativo, en el sentido de compulsar copias de eta [sic] actuación a la Superintendencia [sic] Delegada [sic] para la Protección de la Competencia para que investigue si con los hechos reprochados mediante Resolución No. 67646 de 2021, incurrió en infracción a las disposiciones contenidas en la Ley 155 de 1959, Decreto 2153 de 1992, Ley 1340 de 2009, entre otras.

( ) Adicionar el acto administrativo en el sentido de aclarar que Claro incurrió en violación del Régimen de Datos Personales por hacer un uso no autorizado de datos [sic] personales contenidos en la base [sic] de datos [sic] positiva administrativa de hurto a celulares reglada en la Resolución CRC 5050 de 2016 y de información de tráficos de los operadores a quienes en virtud de esta misma resolución otorga acceso a su red móvil bajo la instalación esencial de “Roaming Automático Nacional”, en la medida que Claro no se pronunció sobre este particular y estos hechos denunciados, debieron ser tenidos como ciertos, ante la inexistencia de prueba o manifestación en contrario por parte del investigado.

( )”.

2. RECURSO DE APELACIÓN INTERPUESTO POR COLOMBIA MÓVIL S.A. E.S.P. “( ) Supuesta Violación al debido proceso ( ) quedó suficientemente demostrado que COMCEL tuvo pleno conocimiento del plenario de la investigación desde su notificación, lo que de hecho le permitió ejercer su derecho a la contradicción. Bien hace la SIC al HOJA Nº, 3 VERSIÓN ÚNICA desvirtuar este argumento, pues podría pensarse que el investigado solo trata de desviar una inminente sanción tratando de configurar un inexistente error de forma.

Incumplimiento de norma y del principio de finalidad Recordemos que la base [sic] de datos [sic] de la que COMCEL ha extraído información para finalidades distintas a las que dieron origen a su creación, es la base [sic] de datos [sic] centralizada de portabilidad numérica móvil, misma que fue concebida con el único propósito de permitir el enrutamiento de las llamadas.

Esto es: La base [sic] de datos [sic] centralizada de portabilidad numérica móvil de la que COMCEL ha extraído información para configurar la lista de números a contactar de clientes que no pertenecen a este operador, como quedó consignado en la visita efectuada por la SIC a las instalaciones de este operador, tiene por finalidad permitir el proceso de portabilidad numérica de acuerdo con lo dispuesto en el título II de la Resolución compilatoria CRC 5050 de 2016.

La base de portabilidad es en esencia aquella administrada por el ABD que para este caso se encuentra en cabeza de la sociedad Informática El Corte Inglés S.A. y es puesta a disposición de todos los operadores de servicios de telecomunicaciones con la única finalidad de implementar la portabilidad numérica, específicamente para el enrutamiento de llamadas hacia los números portados.

De acuerdo con el artículo 2.6.3.1, Capítulo 6 del Título II de la Resolución CRC 5050, en la solución técnica para la implementación y operación de la portabilidad numérica en Colombia, los operadores móviles deberán enrutar las comunicaciones con destino a números no geográficos de redes, de acuerdo con el esquema de ACQ all call query de dos niveles en el que se utiliza la base [sic] de datos [sic] administrativa centralizada, y se dispone de bases [sic] de datos [sic] operativas a cargo de los operadores, por tanto, es con este objetivo que los operadores pueden tener acceso a la información de todos los números portados hacia todos los operadores móviles del país. ( ) el hoy sancionado ha puesto en marcha desde hace por lo menos tres años, prácticas para el tratamiento [sic] de datos [sic] personales abiertamente contrarias a lo dispuesto en la Ley 1581 de 2012 y el Decreto 1377 del 2013.

Situación que enrostra de forma correcta la SIC en la resolución aquí recurrida, de lo cual se puede extraer que: COMCEL pese a tener acceso a la base de portabilidad numérica administrada por la ABD como cualquier operador, la utiliza para fines distintos a la que fue creada. COMCEL no solicitó la autorización [sic] de los usuarios para dar un tratamiento [sic] distinto a los datos [sic] personales contenidos en la base de portabilidad ni informó adecuadamente a los titulares [sic] de los datos [sic] sobre este hecho.

COMCEL no señaló condiciones jurídicas que justifiquen el tratamiento [sic] de las bases [sic] de datos [sic] que realizó, lo que evidencia que la base [sic] de datos [sic] de portabilidad tiene la finalidad específica de permitir el enrutamiento de llamadas de líneas portadas y no puede ser usada para nada distinto. COMCEL desconoce el principio de finalidad consagrado la Ley 1581 de 2012 en su artículo 4, esto es, todo uso de información personal que se pretenda debe tener un propósito específico, acorde a la ley e informando el [sic] titular [sic] de manera previa, clara y suficiente y en todo caso, el tratamiento [sic] de datos [sic] personales para una finalidad distinta a la permitida por ley deberá contar con autorización [sic] expresa del titular [sic] de los datos [sic].

( ) Comcel no solo ha venido utilizando bases [sic] de datos [sic] personales con fines distintos a los manifestados en la Ley 1581 de 2012, sino que además no cuenta con los consentimientos de los titulares [sic] de la información para este efecto, ni para ningún otro tipo de tratamiento [sic] que pudiera equipararse a las finalidades de la base [sic] de datos [sic] de portabilidad.

Así las cosas, salta de bulto la necesidad de endurecer la sanción impuesta a COMCEL, ya que es flagrante la violación a la norma y el desconocimiento de los derechos de los titulares [sic] de la información. Indebida graduación de la sanción ( ) la sanción impuesta al infractor COMCEL debió corresponder a la más alta consagrada en el artículo 23 de la Ley 1581 de 2012, equivalente a 2.000 SMMLV, pues existen argumentos suficientes para determinar que la conducta desplegada por COMCEL es lo suficientemente grave para hacerse acreedora de dicha sanción, tal y como la misma SIC enfatizó a lo largo de la resolución recurrida.

Dimensión del daño ocasionado por Comcel y ganancia económica derivada de ello ( ) es evidente que la utilización de la bases de datos de portabilidad numérica con una finalidad diferente y sin la autorización de los titulares de los datos allí recolectados es una afectación grave, no solo para el Régimen de Protección de Datos, sino para los derechos fundamentales de los titulares como sujetos especiales de protección del Régimen, pues COMCEL realizó para usuarios inscritos a COLOMBIA MÓVIL y otros operadores más de 7 millones de llamadas no autorizadas utilizando los datos contenidos en la base de datos de portabilidad numérica, lo que de entrada configura suficientemente el cumplimiento del criterio contenido en el literal a del artículo 24 de la Ley 1581 de 2012.

( ) respecto al literal (ii), la SIC realiza un ejercicio matemático respecto a los ingresos que pudo obtener COMCEL de las llamadas efectuadas, limitándose únicamente a las que se hicieron a AVANTEL, dejando de lado HOJA Nº, 4 VERSIÓN ÚNICA el 1.6 millones de llamadas efectuadas a usuarios COLOMBIA MÓVIL, lo que incrementaría proporcionalmente el beneficio económico de $13.416.000.000 mencionado por la SIC, evidenciando la desorbitante ventaja económica obtenida por COMCEL y que de ninguna manera se refleja en la sanción que le fue impuesta.

( ) salta de bulto que COMCEL, por medio de su estrategia comercial de mercadeo y con el uso ilegal de la base de datos de portabilidad numérica, generó, en palabras de la SIC, “una ganancia económica significativa durante el período de 2018 a 2021 en perjuicio de los derechos fundamentales de los titulares cuya información se encontraba resguardada y sobre la cual no se solicitó autorización previa para iniciar el contacto e ignorando, cuando es expresa, su finalidad específica y acceso restringido.

En virtud de lo anterior, no es claro para Colombia Móvil como encontrándose probado un incremento patrimonial de COMCEL a expensas del desmedro de los derechos de los usuarios, no se le sanciona con el valor máximo permitido por la norma, situación que constituye el eje central del presente reproche y por el cual la resolución recurrida debe ser modificada.

( ) PRETENSIONES PRIMERO: REPONER la decisión proferida mediante la resolución 67646 del 20 de octubre 2021 y que en su lugar se modifique la sanción impuesta a COMCEL en el sentido de imponer la sanción máxima ( ) PETICIÓN SUBSIDIARIA: Si el Despacho considera inviable la solicitud elevada por la suscrita, decida mantener incólume su decisión y se abstenga de reducir la sanción impuesta a COMCEL.

SEGUNDO: Que se conceda el Recurso de Apelación en el evento en que el Recurso de Reposición interpuesto sea resuelto de manera desfavorable. ( )”.

3. RECURSO DE APELACIÓN INTERPUESTO POR COMUNICACIÓN CELULAR S.A. COMCEL S.A. “( ) La sanción impuesta no toma en consideración que COMCEL no hizo uso alguno de datos [sic] personales ( ) nuestro ordenamiento jurídico ha entendido como dato personal “Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

( ) los datos [sic] que resultan impersonales no entran dentro de tal calificación, esto es así en tanto la protección que ha otorgado nuestro ordenamiento está encaminada a proteger los derechos que le asisten a las personas con las que se vincula el dato [sic], no siendo posible afirmar lo mismo cuando el dato no tiene relación alguna con una persona determinada o determinable ( ).

( ) los datos [sic] que reposan en las bases de portabilidad no pueden ser considerados como personales Así, en varias oportunidades se ha reiterado que los datos [sic] a los que tuvo COMCEL, a través de la BDA, corresponden a un listado de números de celular correspondientes a los rangos de numeración autorizada por la CRC que en nada se asocian a datos [sic] personales.

Prueba de ello es que cuando el personal de COMCEL procedía hacer las llamadas para ofrecer sus servicios a través de la figura de portabilidad, no conocían el nombre de la persona a la que se dirigían, su sexo, raza, condición, estrato. Ni siquiera si se trataba de números corporativos, de SIM cards no vinculadas a uso personal. Es decir, el único dato al que tenían acceso es el número celular.

Lo anterior puede ser corroborado por la Dirección con el guion de llamada preparado por COMCEL para que fuera usado por el personal de compañía en las campañas de portabilidad ( ) Del guion referenciado se resalta que al inicio de la llamada el personal de COMCEL debe preguntar “¿Con quién tengo el gusto” esto en tanto no conoce el nombre de la persona a la que se dirige.

Además de esto, contrario a lo que adujo la Superintendencia, nótese como una vez el nombre de la persona es suministrado, al interlocutor se le solicita su autorización [sic] para el tratamiento [sic] de datos [sic] personales con fines comerciales. Es decir, resulta evidente que COMCEL bajo ningún supuesto vulneró el régimen de datos [sic] personales, pues tan pronto tuvo acceso a datos [sic] que en efecto pueden denominarse como “personales” la compañía procede a solicitar la autorización [sic] para el debido tratamiento [sic].

( ) el propio CORTE INGLÉS le indicó a la Superintendencia que los datos que reposan en las bases de datos de portabilidad y que son utilizados para el proceso de portabilidad no son datos personales. ( ) la autoridad aduce que los datos [sic] no son personales pero sí privados, ya que permiten la individualización de los titulares [sic].

Sobre este punto se precisa que la posibilidad de individualizar es una característica propia de los datos [sic] personales y no de los privados que están definidos como: “Dato privado. Es el dato [sic] que por su naturaleza íntima o reservada sólo es relevante para el titular” ( )se equivoca la Dirección al indicar que dado su supuesto carácter de “privado” (pese a no ser personales) los mismos deben ser tratados con sujeción a lo dispuesto en la Ley 1581 de 2012, pues lo cierto es que para que el raciocinio de la autoridad fuera correcto, se requiere que el dato sea personal y que luego se determine si este es o no privado, no al contrario.

De esta forma, el reproche que hace la Dirección en punto al uso de datos [sic] personales que presuntamente se encuentran en las bases [sic] de datos [sic] de portabilidad resulta ser incorrecto, ya que allí no se encuentran datos [sic] de dicha índole. El reproche que hace la Superintendencia escapa sus competencias como autoridad de protección de datos personales HOJA Nº, 5 VERSIÓN ÚNICA En la Resolución 67646 de 2021, la Dirección hace reproches que no resultan acordes a sus competencias como autoridad de protección de datos [sic] personales y que de por si son tenidos en cuenta para la imposición de la multa impuesta a mi representada.

( ) la Dirección hace un reproche en el que termina concluyendo que COMCEL actuó en contravención de la propia finalidad de la base de datos de portabilidad numérica para obtener beneficios económicos. Este tipo de afirmaciones escapa las competencias otorgadas a la Delegatura para la Protección de Datos Personales, pues refiere a aspectos propios del régimen de telecomunicaciones, como lo es la portabilidad numérica, los cuales son vigilados y controlados por la Comisión de Regulación de Comunicaciones y no por la Superintendencia de Industria y Comercio.

El procedimiento de imposición de la sanción impuesta viola el artículo 29 de la Constitución Política El concepto jurídico del debido proceso es un mecanismo que le permite a una sociedad incorporar una serie de valores que considera importantes proteger en los procesos de decisión colectiva encargados al Estado. Así, el debido proceso es una garantía que las decisiones estatales no se preocupan sólo por alcanzar un resultado, sino que ellas se toman respetando la dignidad humana del sujeto sometido a decisión y la racionalidad, y con ella la predictibilidad, de la actuación, entre otros valores.

( ) Desde el inicio de la actuación mí representada intentó tener acceso al expediente para poder preparar adecuadamente su defensa. En ese sentido, debe recordarse que dentro de las garantías al debido proceso se encuentra que cada decisión debe respetar las formas de cada juicio. ( ) El respeto por el debido proceso es una carga procesal de la Autoridad Estatal y ella no puede unilateralmente imponer requisitos no contemplados por el Congreso de la República o el Legislador de Excepción y no se puede afirmar que le corresponde al investigado superar dificultades insuperables, dadas las múltiples comunicaciones en ese sentido y las pruebas de las dificultades técnicas de acceso, cumplir con requisitos establecidos durante la investigación para presentar su defensa y conocer las pruebas en su contra.

( ) La sanción impuesta viola el principio de tipicidad de las sanciones ( ) en el supuesto en que en efecto procediera una sanción por los hechos analizados por esa autoridad, debe considerarse que la Dirección de Investigación de Protección de Datos Personales impone una desproporcionada sanción por la infracción de un principio: el definido en el literal b del artículo 4 de la Ley 1581 de 2012.

( ) El principio de finalidad, que se cumple a través de una declaración de propósito ayuda a generar un balance razonable entre los intereses de los responsables de los registros y quienes suministran la información, y le permite a la persona que consigna los datos [sic] las consecuencias de revelar su información. Esa declaración de propósito proporciona al interesado información sobre el propósito de la recopilación de datos [sic], de modo que pueda evaluar los beneficios y riesgos de la divulgación y tomar una decisión informada.

También evita que un administrador de registros use o divulgue información de formas que no estén de acuerdo con el propósito establecido para la recopilación de esos datos [sic]. ( ) El proceso de portabilidad numérica requiere la disponibilidad de la información necesaria para el enrutamiento de comunicaciones hacia números portados, lo que involucra información sobre si un número de teléfono celular existe o no. De esta manera verificar si un número existe o no, es esencial para cumplir con el propósito de la Base de Datos de Portabilidad, cuya única información es un listado de números que no permiten identificar a un individuo, y no constituye un dato sujeto de protección, como la misma Dirección lo reconoce.

( ) De esta forma, la forma en la que COMCEL accedió a la información no representa una infracción alguna a los deberes del administrador de bases de datos que contengan información personal, ya que todas las consultas realizadas por Claro se hacían a las bases propias que contaban con los requisitos señalados en la Ley 1581 de 2011 [sic].( ) Como se expuso anteriormente [sic] un principio no contiene un deber, orden o prohibición alguna, ya que su nivel de generalidad es alto y no contempla ni prescribe una conducta específica, por lo tanto, sancionar administrativamente la violación de un principio sin que este se encuentre atado a un deber legal, constituye una violación al principio de legalidad de las sanciones que no es permitido constitucionalmente.

La sanción impuesta viola el artículo 29 de la Constitución Política por vulneración al principio de non bis in ídem [sic] ( ) la sanción impuesta por la Dirección de investigación de Protección de Usuarios de Servicios de Comunicaciones a través de la Resolución 67646 de 2021 vulnera el principio del non bis in ídem. Esto, en tanto se sanciona la vulneración de dos normas distintas basándose en los mismos hechos.

Aun cuando los cargos fueron formulados de forma independiente y por supuestas faltas diferentes, esto es, vulneración al principio de finalidad y al principio de libertad y como fueron analizados por la entidad, reprochando una causa común, esto es no contar con el consentimiento previo para el tratamiento de los datos, los cuales, como previamente ya se explicó no corresponden a datos personales.

( ) Es de resaltar que el literal (C) del artículo 4 corresponde es al principio de libertad y no de finalidad, lo que demuestra que la autoridad en su análisis frente a la presunta vulneración al principio de finalidad hace reproches que son propios del segundo cargo imputado, esto es, la supuesta violación al principio de libertad. Esto, implica una vulneración al principio de non bis in ídem en la medida en que existe identidad: HOJA Nº, 6 VERSIÓN ÚNICA 1.

En el sujeto incriminado: COMCEL S.A. 2. Del objeto, es decir, de los hechos por los cuales fue sancionada mi representada, esto es, un supuesto incumplimiento al principio de libertad para el tratamiento de datos personales 3. Al motivo de la iniciación del proceso que tal y como fue descrita en la Resolución 35890 de 2020 obedece a la supuesta infracción al principio de finalidad (incluyendo en sus fundamentos el principio de libertad) y al principio de libertad para el tratamiento de datos personales por parte de COMCEL S.A. En esa medida, aun cuando la Dirección investigó y sancionó a mi representada por una supuesta vulneración al principio de libertad para el tratamiento de datos personales, a su juicio, los mismos supuestos de hecho darían lugar para una sanción por una violación al principio de finalidad para el tratamiento de datos personales.

Esta interpretación, tal y como se expuso previamente es contraria al principio de non bis in ídem y por consiguiente al debido proceso. La sanción impuesta viola el artículo 29 de la Constitución por vulneración a los principios de proporcionalidad y razonabilidad de la sanción derivada de su indebida dosificación ( ) el análisis propuesto por la Dirección no se hizo de cara a las circunstancias fácticas propias del caso sino de forma genérica.

( ) Nótese como la Dirección aduce que el supuesto daño ocasionado por COMCEL se relaciona directamente con una infracción al régimen de protección de datos personales y los derechos fundamentales de los titulares de datos personales, que se reitera no fueron usados en ningún momento por COMCEL. De esta forma, la graduación que hace la autoridad en punto al daño ocasionado no corresponde a la realidad y no se adecue a los supuestos analizados por la Dirección.( ) La Dirección aduce sin conocer las políticas de generación de ingresos de COMCEL que buscó compensar las supuestas pérdidas generadas por el proceso de portabilidad a través de lo que la autoridad denominó “un proceso de capitalización de la base de datos”.

Como si lo anterior no fuera poco, la Dirección, sin ningún sustento, propone un cálculo de ganancias generadas con las llamadas que realizó COMCEL a números AVANTEL. ( ) los criterios que fueron analizados por la Dirección para graduar su sanción, esto es, literales (a) y (b) del artículo 24 de la Ley 1581 de 2012 están basados ya sea en supuestos incorrectos o que carecen de fundamento alguno. Asimismo, la Dirección sin justificación para tal, no se pronunció sobre los literales (e) y (f) del artículo 24, los cuales, si hubieran sido tenidos en cuenta, serían a favor de COMCEL, es decir, hubieran tenido un impacto directo sobre la disminución de la multa impuesta.

En razón de lo expuesto, la sanción impuesta por la Dirección carece de justificación para alcanzar el valor de NOVECIENTOS CINCUENTA MILLONES DE PESOS ($950,000,000) SOLICITUD Solicito respetuosamente se proceda a REVOCAR la Resolución 67646 del 20 de octubre de 2021, por medio de la cual se impuso una sanción en contra de COMCEL, por los motivos indicados en este escrito que demuestran que la investigación en contra de mis poderdantes debe archivarse.

En caso en que no se decida revocar la Resolución 67646 de 2021, solicito subsidiariamente reducir el monto de la sanción por los argumentos aquí expuestos. De no acogerse la solicitud principal, conceder el recurso de apelación ante el Despacho del Superintendente Delegado. ( )”. CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. DEL EXAMEN PROCESAL REALIZADO POR LA DIRECCIÓN DE INVESTIGACIÓN DE DATOS PERSONALES A LOS RECURSOS INTERPUESTOS 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. HOJA Nº, 7 VERSIÓN ÚNICA Luego de realizar el análisis pertinente sobre los argumentos presentados por los recurrentes, y los documentos que reposan en el expediente, esta Delegatura se sujeta a lo allí decidido en lo relacionado con: - Violación al debido proceso por imposibilidad de acceso al expediente y El procedimiento de imposición de la sanción impuesta viola el artículo 29 de la Constitución Política Nacional

3. POTESTAD SANCIONADORA DE LA COMERCIO. PRINCIPIO DE TIPICIDAD SUPERINTENDENCIA DE INDUSTRIA Y Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 En el mismo sentido, y en relación con los principios 4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.

Sentencia C-748 de 2011. 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 2 Artículo HOJA Nº, 8 VERSIÓN ÚNICA sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012 para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad corresponde a un total de 26,165.0325 UVT (Unidades de Valor Tributario), equivalentes a novecientos cincuenta millones de pesos m/cte ($950’000.000), que representa aproximadamente el 52,28% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

4. DE LA REMISIÓN DEL EXPEDIENTE A LA DELEGATURA PARA LA PROTECCIÓN DE LA COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Al respecto, AVANTEL S.A.S. EN REORGANIZACIÓN manifiesta en el escrito del recurso lo siguiente: 6 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo.

Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº, 9 VERSIÓN ÚNICA “( ) su despacho reconoció que, de existir una potencial afectación al Régimen de protección de la competencia, debía -con fundamento en el principio de legalidad que gobierna las actuaciones públicas, que se materializa en el ejercicio del marco funcional expresamente previsto en el ordenamiento jurídico - ( ) remitir a cualquier otra autoridad los casos que considere que son de su competencia ( ) Sin embargo, al hacer una revisión de las autoridades respecto de las cuales se ejerció dicha facultad oficiosa (Artículo [sic] Noveno [sic] del acto administrativo), encontramos que su Despacho no dio traslado de los hechos a la Superintendencia [sic] Delegada [sic] para la Protección de la Competencia no obstante, haber sido solicitada expresamente por los terceros interesados en la actuación administrativa.” Sobre este punto, vale la pena recordar que mediante escrito radicado bajo el No. 18-12753-3 de 20 de junio de 2018, el Coordinador del Grupo de Trabajo de Prácticas Restrictivas de la Competencia trasladó todo el asunto a esta Delegatura.

Por lo que, no habría tenido sentido devolver el expediente a esa Delegatura cuando en primera instancia allí no consideraron tener competencia para iniciar la investigación pertinente:

5. RESPECTO DEL SUPUESTO USO DE INFORMACIÓN DE LA BASE DE DATOS ADMINISTRATIVA POSITIVA DE HURTO A CELULARES Y DE LA INFORMACIÓN DE TRÁFICOS DE USUARIOS DE COMPETIDORES A QUIENES CLARO DA ACCESO MEDIANTE ROAMING AUTOMATICO NACIONAL Sobre este punto, la recurrente AVANTEL se refiere en su escrito: “En similar sentido, advertimos que Avantel desde el memorial de 28 de julio de 2020, en el cual se solicitó a su Despacho reconocer a Avantel como tercero interesado y posteriormente se ratificó y reiteró en el memorial de alegatos de conclusión, se puso en su conocimiento que COMCEL podría estar haciendo uso ilegal de la información de tráficos generados por el acceso otorgado a su red, mediante ROAMING AUTOMATICO [sic] NACIONAL.

No obstante, respecto a este punto no se hizo ninguna referencia ni análisis siquiera sumario en la parte considerativa del acto sancionatorio que aquí se recurre, y en consecuencia, tampoco fue tratado en su parte resolutiva”. Frente a esto, tanto en el acto administrativo recurrido, como en la Resolución No. 29602 de 2022 que resolvió el recurso de reposición interpuesto se señaló por parte de la Dirección de Investigación de Protección de Datos Personales que la investigada utilizó de forma indebida la Base de Datos de portabilidad numérica, pues fue utilizada con una finalidad distinta a la fijada por la ley.

HOJA Nº,10 VERSIÓN ÚNICA Ahora, debido a que no se aportaron las pruebas pertinentes en cuanto a la utilización por parte de la investigada de las Bases de Datos negativa y positiva de registro de IMEI y de la Base de Datos de roaming internacional, frente al particular no existió ningún tipo de manifestación por parte de la Dirección de Investigación de Protección de Datos, por lo que la posible vulneración del Régimen de Habeas Data producto de ese presunto debido Tratamiento no fue motivo de análisis ni sanción en la resolución recurrida.

6. CARGA DE LA PRUEBA La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para demostrar dentro del proceso un determinado hecho o supuesto. De esta manera, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”9 En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto.

La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales. Contra el acto que decida la solicitud de pruebas no proceden recursos.

El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes” 10; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”11 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”12 9 Corte Constitucional, Sentencia T-733 de 2013. 10 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 11 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 12 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. HOJA Nº,11 VERSIÓN ÚNICA Así las cosas, el Despacho debe dejar claridad en que AVANTEL S.A.S. EN REORGANIZACIÓN no aportó prueba alguna que demostrara que la investigada estaba haciendo uso de las Bases de Datos negativa y positiva de registro de IMEI y de la Base de Datos de roaming internacional.

De conformidad con lo expuesto, de los argumentos presentados, y la valoración de las pruebas entregadas por AVANTEL S.A.S. EN REORGANIZACIÓN, resulta notorio que su actuación dentro de este trámite no significó una colaboración determinante, por lo menos en cuanto al aporte de pruebas conducentes, pertinentes y suficientes que demostraran la realidad del contexto que pretendía revelar en relación con el presunto indebido Tratamiento de esas Bases de Datos.

7. DE LOS DATOS PERSONALES. DE LA BASE DE DATOS DE LA PORTABILIDAD NUMÉRICA BDA Y BDO. DE LA CONFESIÓN ESPONTÁNEA DE LA INVESTIGADA Mediante la Sentencia C-748 de 2011, la cual revisó la constitucionalidad de la Ley 1581 de 2012, se estableció que son características propias del Dato personal: i. ii. iii. iv. estar referido a aspectos exclusivos y propios de una persona natural; permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros Datos; su propiedad reside exclusivamente en el Titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; y, su Tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación. Por su parte, como lo ha manifestado este Despacho en otros casos, “la Ley Estatutaria 1581 de 2012 define el Dato Personal como “cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables” 13.

En este orden de ideas, los números telefónicos son Datos personales cuando puedan asociarse a una persona natural determinada o determinable. Aunque, en principio, el número telefónico, por sí solo, no se refiera directamente a una persona natural específica, a partir del mismo o con la interrelación con otros Datos se puede establecer el nombre de la persona a que se refiere la información. Es decir, al final se puede establecer la persona Titular del Dato (número telefónico)” 14.

Es importante tener presente que, en este caso, así el Dato (número del teléfono móvil) esté en una lista de acceso público, en ningún caso eso significa que es un Dato personal de naturaleza pública. Sobre esto, el párrafo 2 del artículo 5 del Decreto 1377 de 201315 dispone que los Datos personales que estén en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos Datos o Bases de Datos que estén disponibles para el público, pueden ser tratadas por cualquier persona siempre y cuando, por su naturaleza, sean Datos públicos.

Así pues, en este caso en particular, al estar en presencia de un listado que contiene información privada como el número de teléfono móvil de un ciudadano, pero que a su vez tiene una finalidad específica (portabilidad numérica), esta restricción genera la necesidad legal para el Responsable o Encargado de obtener una nueva Autorización por parte del Titular de la información, cuando se requiera realizar un Tratamiento diferente al de la portabilidad numérica con otro operador de telecomunicaciones.

Vemos como, al no tratarse de Datos públicos, sino de Datos privados, y, al estar en una Base de Datos con una finalidad específica, existe una restricción para quienes tienen acceso a ella. Razón por la que no se acepta el argumento presentado por el apoderado de la investigada, según el cual, la Base de Datos de portabilidad numérica no contiene Datos de carácter personal.

Vale la pena recordar lo que adujo y confesó espontáneamente la investigada en sus descargos 16: 13 Literal c) del artículo 4 de la Ley Estatutaria 1581 de 2012 14 Resolución No. 38281 de 14 de julio de 202, hoja No. 4, 15 Incorporado en el Decreto Único 1074 de 2015. 16 Escrito de descargos con radicado: 18-127153- 56 de 11 de agosto de 2020.

HOJA Nº,12 VERSIÓN ÚNICA En el recuadro 4 del esquema anterior vemos cómo la propia investigada acepta que utilizó la base de portabilidad numérica “Fuente: BD Corte Inglés/listado aleatorio depurado” para procesos de mercadeo, tal como expone el recuadro 5, aunado a que se trata de la formación de una lista de clientes que no son suyos.

Igualmente se corroboró que la investigada tuvo acceso y utilizó la Base de Datos de portabilidad numérica por medio del proceso de portabilidad numérica donde sí se recolecta información personal de los ciudadanos, de conformidad con la Resolución 5050 de 2016, art. 2.6.4.1 de la C.R.C. y, además, tuvo acceso al igual que los demás PSRTM tienen a la Base de Datos BDA/BDO donde están contenidos los números de cada uno de los Titulares.

En síntesis, la investigada incumplió con los mecanismos dispuestos por la C.R.C. en la Resolución No. 5050/16, así: i. La información no fue utilizada para efectos de la prevención y control de fraudes de comunicación y el cumplimiento de la actividad regulatoria y, además, como lo exige la Ley al tratarse de información personal, no se solicitó la Autorización expresa de los Titulares (C.R.C. Resolución 5050 de 2016, art. 2.1.1.8.) cuyos números telefónicos estaba registrados obligatoriamente en los BDO de los operadores (como los operadores que en este caso también recurrieron el acto administrativo bajo estudio); ii.

8. DEL PRINCIPIO NON BIS IN IDEM COMCEL S.A., en su calidad de investigada, manifiesta en el recurso lo siguiente: HOJA Nº,13 VERSIÓN ÚNICA “( ) la sanción impuesta por la Dirección de investigación de Protección de Usuarios de Servicios de Comunicaciones a través de la Resolución 67646 de 2021 vulnera el principio del non bis in ídem [sic].

Esto, en tanto se sanciona la vulneración de dos normas distintas basándose en los mismos hechos. Aun cuando los cargos fueron formulados de forma independiente y por supuestas faltas diferentes, esto es, vulneración al principio de finalidad y al principio de libertad y como fueron analizados por la entidad, reprochando una causa común, esto es no contar con el consentimiento previo para el tratamiento de los datos, los cuales, como previamente ya se explicó no corresponden a datos personales.

En el sujeto incriminado: COMCEL S.A. Del objeto, es decir, de los hechos por los cuales fue sancionada mi representada, esto es, un supuesto incumplimiento al principio de libertad para el tratamiento de datos personales 3. Al motivo de la iniciación del proceso que tal y como fue descrita en la Resolución 35890 de 2020 obedece a la supuesta infracción al principio de finalidad (incluyendo en sus fundamentos el principio de libertad) y al principio de libertad para el tratamiento de datos personales por parte de COMCEL S.A. En esa medida, aun cuando la Dirección investigó y sancionó a mi representada por una supuesta vulneración al principio de libertad para el tratamiento de datos personales, a su juicio, los mismos supuestos de hecho darían lugar para una sanción por una violación al principio de finalidad para el tratamiento de datos personales.

Esta interpretación, tal y como se expuso previamente es contraria al principio de non bis in ídem y por consiguiente al debido proceso.” Al respecto, y como es sabido, la Constitución Política Nacional en su artículo 29 inciso 1º consagra el Derecho al Debido Proceso, el cual se aplica a toda clase de actuaciones judiciales y administrativas.

El inciso 4º establece el principio del Non Bis in Idem al prohibir juzgar al sindicado dos veces por el mismo hecho. Este principio ha sido ampliamente desarrollado tanto por la Corte Constitucional como por el Consejo de Estado. La Corte Constitucional en su línea jurisprudencial ha reconocido que, en el constitucionalismo colombiano, el principio del Non Bis in Idem no se restringe al ámbito penal, sino que “se hace extensivo a todo el universo del derecho sancionatorio”17.

La Corte además ha precisado que dicho principio veda que exista una doble sanción “cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción”18. Vale aclarar que dicha prohibición de doble enjuiciamiento, en ningún punto excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, “siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”19.

El Consejo de Estado ha desarrollado también una extensa línea jurisprudencial en materia de violación al principio del Non Bis in Idem en la que ha sido enfático en señalar que “tal prohibición no implica que por un mismo hecho no se puedan infringir varias sanciones, de distinta naturaleza ( ) La prohibición opera frente a sanciones de una misma naturaleza”20 (énfasis en el texto original).

En otras palabras, se configura la violación a dicho principio cuando por los mismos hechos se juzga a una persona natural o jurídica dos o más veces, en la misma modalidad 21. Ahora bien, ha precisado la misma Corporación el alcance de este principio, estableciendo que, “para que se consolide un hecho igual que excluya un nuevo juzgamiento sobre el mismo, se requiere: a) identidad del sujeto; b) identidad de la conducta; c) identidad de circunstancias de tiempo, modo y lugar”22.

De modo similar, la Corte Constitucional desde las primeras decisiones sobre el tema, ha establecido que para que se configure la violación al Non Bis in Idem es necesario que “exista identidad de causa, identidad de objeto, e identidad en la persona”23. Es preciso entonces que este Despacho proceda a determinar si a la sociedad recurrente se le sancionó dos veces por lo mismo, mediante la identidad de sujeto, conducta y circunstancias de tiempo, modo y lugar. 17 Corte Constitucional.

Sentencia de Constitucionalidad 554 de 2001. MP Clara Inés Vargas Hernández. Fundamento 3.3. 18 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 19 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 20 Consejo de Estado, Sala de lo Contencioso Administrativo.

Sentencia del 21 de agosto de 2008. Rad. 2008-90662. Consejero Ponente: Marco Antonio Velilla Moreno 21 Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia del 11 de octubre de 2007. Rad. 1994-04373. Consejero Ponente: Marco Antonio Velilla Moreno. 22 Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia de 17 de mayo de 2001.

Rad.1998-0603. 23 Corte Constitucional, Sentencia de Constitucionalidad 244 de 1996. Magistrado Ponente: Carlos Gaviria Díaz. Consideración b) HOJA Nº,14 VERSIÓN ÚNICA En el presente caso, las acciones que aduce la investigada son de naturaleza distinta, aunque ambas provienen del mismo hecho generador, el cual es la ausencia de la Autorización para el nuevo Tratamiento de información del Titular.

La Dirección de Investigación de Protección de Datos Personales realizó una imputación independiente por el incumplimiento de los deberes establecidos en los literales b) y c) del artículo 17 de la Ley 1581 de 2012, esto es: (i) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva Autorización otorgada por el Titular;

(ii) e Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la Autorización otorgada, del otro. Aquí, a pesar de que estemos ante el mismo sujeto (la investigada), estamos en presencia de obligaciones diferentes. En esencia, la investigada: (i) utilizó una Base de Datos de portabilidad numérica que contiene Datos personales privados; contactó a los Titulares de esa Base de Datos;

(ii) no contaba con la Autorización previa, expresa e informada para el nuevo Tratamiento (diferente al de la portabilidad numérica) y; (iii) tampoco le informó a los Titulares la finalidad del Tratamiento, desconociendo la finalidad original, única y restrictiva destinada por la ley para esa Base de Datos de portabilidad numérica. En virtud de lo anterior, no se aceptan los argumentos de la recurrente en relación con la violación del principio non bis in idem.

9. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Menciona la investigada en el recurso de reposición lo siguiente: ( ) en el supuesto en que en efecto procediera una sanción por los hechos analizados por esa autoridad, debe considerarse que la Dirección de Investigación de Protección de Datos Personales impone una desproporcionada sanción por la infracción de un principio: el definido en el literal b del artículo 4 de la Ley 1581 de 2012.

También evita que un administrador de registros use o divulgue información de formas que no estén de acuerdo con el propósito establecido para la recopilación de esos datos [sic]. ( ) Al respecto, debe recordar el Despacho lo siguiente: Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”24. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº,15 VERSIÓN ÚNICA Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de esta desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) que se hubiere obtenido por la recurrente beneficio económico alguno por la comisión de la infracción; reincidencia en la comisión de la conducta; resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, renuencia o desacato a cumplir las órdenes e instrucciones de la misma.

Así, al momento de imponer la sanción no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió, y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar aún más el monto de la sanción impuesta. En segundo lugar, es claro que la Resolución No. 67646 de 20 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. HOJA Nº,16 VERSIÓN ÚNICA En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Adicionalmente, una vez revisada la información relacionada con la compañía COMCEL S.A. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data: Resolución Año Valor de la Sanción 71279 2010 $ 25’750.000 9575 2011 $10’712.000 15440 2011 $ 535.600 22931 2011 $29’458.000 23206 2011 $ 5’356.000 39701 2011 $ 5’356.000 42493 2011 $ 535.600 46362 2011 $5’356.000 5172 2012 7764 2012 10676 2012 $11’334.000 15808 2012 $5’667.000 18476 2012 $566.700 52726 2012 $5’667.000 53006 2012 $5’667.000 4641 2014 $12’320.000 31709 2014 $51’548.000 8510 2015 $12’887.000 33922 2015 $83’765.500 34237 2015 $64’435.000 39146 2015 $77’322.000 61777 2015 $45’104.500 78974 2015 $96’652.500 93278 2015 $644’350.000 93283 2015 $16’108.750 24113 2016 $68’945.500 65580 2016 7243 2017 $68’945.500 14868 2017 $ 280’332.460 45815 2017 $132’789.060 63246 2017 $147’543.400 88711 2017 $132’789.060 81855 2018 $195’310.500 16240 2019 $82’811.600 $5’667.000 $5’667.000 $68’945.500 Motivo Numeral 1 del artículo 8 de la Ley 1266 de 2008 Numerales 1,2 y 3 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numerales 1 y 3 del artículo 8 de la Ley 1266 de 2008 Numerales 1 y 7 del artículo 8 de la Ley 1266 de 2008 Numeral 1 del artículo 8 de la Ley 1266 Numeral 7 del artículo 8 de la Ley 1266 de 2008 y artículo 12 de la misma ley Num. 1 art 8 Ley 1266 Numeral 1 del artículo 8 de la Ley 1266 de 2008 y artículo 12 de la misma ley Artículo 12 de la Ley 1266 de 2008 Numeral 3 del artículo 9 de la Ley 1266 de 2008 Numeral. 1 del artículo 9 de la Ley 1266 de 2008 Numerales 1 y 2 del artículo 9 de la Ley 1266 de 2008 Numeral 1 del artículo 9 de la Ley 1266 de 2008 Numeral 1 del articulo 8 de la Ley 1266 de 2008 Articulo 12 de la Ley 1266 de 2008 Numerales 1 y 3 del articulo 8 de la Ley 1266 de 2008 Numeral 1 del articulo 8 de la Ley 1266 de 2008, en concordancia con el literal a) del artículo 4 de la Ley 1266 de 2008 Articulo 12 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Numerales 3 y 5 del artículo 8 de la Ley 1266 de 2008 Literal e) del artículo 8 de la Ley 1581 de HOJA Nº,17 VERSIÓN ÚNICA 2012 18210 2019 $248’434.800 18982 2019 $124’217.400 18997 2019 $103’514.500 23968 2019 $107’655.080 51025 2019 $165’623.200 61022 2020 $410’784.840 18356 2021 $174’278.400 18337 2021 $ 65’354.400 38512 2021 $90’770.000 68421 2021 $50’831.200 72871 2021 $400’041.544 78034 2021 $72’616.000 Numeral 1 del artículo 9 de la Ley 1266 de 2008 en concordancia con el literal g) del artículo 4 de la Ley 1266 de 2008 Numeral 7 del artículo 8 de la Ley 1266 de 2008 y numerales 3, 4 y 5 del artículo 16 de la misma ley Literal a) del artículo 4, numerales 1 y 2 del artículo 8 y artículo 13 de la Ley 1266 de 2008 Numeral 1 del artículo. 9 y 15 de la Ley 1266 de 2008 Artículo 12 de la Ley 1266 de 2008 Numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la misma norma; yl numeral 8 del artículo 8 de la Ley 1266 de 2008, en concordancia con el numeral 4 del Ítem II del artículo 16 de la misma ley Numeral 10 del artículo 8, en concordancia con el artículo 12 de la Ley 1266 de 2008 Numeral 10 del artículo 8 de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma ley y el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015 Literal g) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la Ley 1581 de 2012 Numeral 8 del artículo 8 la Ley 1266 de 2008, en concordancia con el numeral 4 de literal II del artículo 16 de la misma ley Numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma, literal e) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma ley Razón adicional y suficiente para no acoger la petición de la recurrente, consistente en revocar la Resolución No. 67646 de 20 de octubre de 2021.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental25 a la protección de Datos26. De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”27. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia28.

Así las cosas, recalcamos, 25 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 26 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 27 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº,18 VERSIÓN ÚNICA la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Este Despacho no comparte la postura de la investigada, la misma trata de restarle importancia no solo a los Derechos Humanos sino también a las situaciones particulares de las personas. No se puede tratar de un hecho aislado y omitir el incumplimiento del Régimen General de Protección de Datos Personales. En todo caso, la investigada debe tener claro que no puede desconocer la grave vulneración a los Derechos Fundamentales de los Titulares de la información. No importa si es solo una persona la que se ve afectada con estas situaciones, los derechos de todos son igual de importantes ante la ley y ante esta autoridad.

Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho, así como tampoco los de COLOMBIA MÓVIL quien adujo, entre otras cosas, en cuanto a la graduación de la sanción, que, al encontrarse probado un incremento patrimonial de COMCEL a expensas del desmedro de los derechos de los usuarios, no entendía por qué no se le sancionó con el valor máximo permitido por la norma.

10. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Por lo antes señalado, la actividad empresarial y económica realizada por Comunicación Celular S.A. Comcel S.A. debe tener en consideración este llamado constitucional a ser respetuosa de los derechos fundamentales y humanos de los ciudadanos, incluido el derecho fundamental al debido Tratamiento de los Datos Personales consagrado en el precitado artículo 15 de la Constitución Política.

11. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES HOJA Nº,19 VERSIÓN ÚNICA Si bien la presente actuación administrativa está relacionada con la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. y su cumplimiento de la Ley 1581 de 2012, este Despacho quiere llamar la atención en la responsabilidad que los administradores de dicha sociedad tienen en el cumplimiento de la Ley y los Estatutos.

Al respecto, según el artículo 22 de la Ley 222 de 199529 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado.

Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas. Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.

No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 30 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”31.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. Dado lo anterior, se exhorta al representante legal y demás administradores32 DE COMUNICACIÓN CELULAR S.A. COMCEL S.A., para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: a. Respetar y garantizar los derechos de los Titulares de los Datos; b. Evitar que se repitan hechos como los que dieron origen a la presente investigación; c. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; 29 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 30 El texto completo del artículo 24 de la Ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 31 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 32 Según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones” HOJA Nº,20 VERSIÓN ÚNICA d. Aplicar el principio de responsabilidad demostrada, en los términos señalados en la Ley 2157 de 2021.

Especial énfasis debe hacerse en asegurar la calidad de la información, la comunicación previa para el reporte de información negativa, la confidencialidad y seguridad de la misma, así como la debida y oportuna atención de las consultas o reclamos de los Titulares de los Datos; y, e. Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas.

CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., utilizó la Base de Datos de portabilidad numérica, que contiene Datos personales privados, y contactó a los Titulares de esa Base de Datos sin contar con la Autorización previa, expresa e informada para ese nuevo Tratamiento (diferente al de la portabilidad numérica).

A su vez, tampoco le informó a los Titulares la finalidad del Tratamiento y desconoció la finalidad original, única y restrictiva destinada por la ley para esa Base de Datos; 2. La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a la fecha ha sido multada cuarenta y seis (46) veces por violaciones al Régimen de Protección de Datos Personales colombiano; 3.

Las Bases de Datos de portabilidad numérica sí contienen Datos personales de carácter privado, y es esta Superintendencia la autoridad llamada a la protección de los Derechos Fundamentales de los ciudadanos en materia de Habeas Data; 4. Las partes del proceso siempre tuvieron a su disposición el acceso al expediente, tal como quedó ampliamente demostrado en la Resolución No. 29602 de 2022; 5.

La investigada incumplió con los mecanismos dispuestos por la C.R.C. en la Resolución No. 5050/16, pues: i. La información no fue utilizada para efectos de la prevención y control de fraudes de comunicación y el cumplimiento de la actividad regulatoria y, además, como lo exige la Ley al tratarse de información personal, no se solicitó la Autorización expresa de los Titulares (C.R.C. Resolución 5050 de 2016, art. 2.1.1.8.) cuyos números telefónicos estaba registrados obligatoriamente en los BDO de los operadores (como los operadores que en este caso también recurrieron el acto administrativo bajo estudio); ii.

No se utilizó esa Base de Datos para fines de portabilidad numérica (C.R.C. Resolución 5050 de 2016, art. 2.6.7.3.). Lo anterior contraviniendo la finalidad única para la que fueron recolectados los datos contenidos en dicha Base de Datos. 6. La multa impuesta fue graduada correctamente cumpliendo con los criterios de finalidad, proporcionalidad y racionalidad que caracterizan las sanciones administrativas; 7.

La sanción corresponde a un total de 26,165.0325 UVT (Unidades de Valor Tributario), equivalentes a novecientos cincuenta millones de pesos m/cte ($950’000.000), que representa aproximadamente el 52,28% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 67646 de 20 de octubre de 2021. HOJA Nº,21 VERSIÓN ÚNICA En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 67646 de 20 de octubre de 2021, por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con el Nit. No. 800.153.993 – 7, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de esta resolución a los terceros interesados COLOMBIA MÓVIL S.A. - ESP identificada con NIT. 830.114.921-1 y a AVANTEL S.A.S. - EN REORGANIZACIÓN identificada con NIT. 830.016.046-1 a través de su representante legal y/o apoderado entregándole copia de esta resolución y señalando que contra la misma no procede recurso alguno.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C, agosto 30 de 2022 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), CRISTINA RODRIGUEZ CORZO Firmado digitalmente por CRISTINA RODRIGUEZ CORZO Fecha: 2022.08.30 14:56:06 -05'00' CRISTINA RODRÍGUEZ CORZO CGC NOTIFICACIÓN Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: País: Correo electrónico: COMUNICACIÓN CELULAR S.A. - COMCEL S.A. NIT. 800.153.993-7 Hilda María Pardo Hasche C.C. 41.662.356 Carrera 68 número 24b -10 Bogotá́ D.C. Colombia notificacionesclaro@claro.com.co notificacionesclaromovil@claro.com.co Apoderado: Identificación: Dirección: Ciudad: País: Correo electrónico: XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX COMUNICACIÓN Sociedad: Identificación: Representante Legal: Identificación: Representante Legal Suplente: Identificación: Dirección: Ciudad: País: Correo electrónico: COLOMBIA MÓVIL S.A. - ESP NIT. 830.114.921-1 Marcelo Cataldo Franco C.E. 426.572 Carolina Raquel Bernal Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: País: Correo electrónico: AVANTEL S.A.S. - EN REORGANIZACIÓN NIT. 830.016.046-1 Alexandra Turbay Arango C.C. 33.334.398 Transversal 23 número 95-53, ed Ecotek Bogotá D.C. Colombia notificacionesjudiciales@avantel.com.co C.E. 1.016.500 Carrera 50 # 96-12 Bogotá D.C. Colombia notificacionesjudiciales@tigo.com.co HOJA Nº,22 VERSIÓN ÚNICA

Resolución sancionatoria N° 5050 de 2022

CONSIDERANDO

RESUELVE