(07 OCTUBRE 2020) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-131597 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que el 12 de julio de 2018, acorde con el radicado 18-183704-00000, se presentó ante esta Superintendencia denuncia1 por la presunta violación de normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la sociedad ALMACENES ÉXITO S.A., identificada con NIT 890.900.608-9, indicando la denunciante que: “Almacenes Exito (sic) y Carulla y todos sus aliados comerciales han abusado de mi derecho, todo el tiempo me envían sin cesar mensajes de promociones.
He expresado de manera contundente mi inconformidad con sus prácticas y el 21 de marzo escribí prohibiendo el uso de mi celular y cualquier otro dato, pero siguen violando mis derechos. Siguen enviando mensajes temprano en la mañana, a las 9 de la nocha (sic) (cono el mensaje del viernes 4 de abril, incluso los fines de semana, como el del sábado 30 de junio y el mas (sic) reciente el lunes pasado.” Por su parte, con la denuncia, se aportó copia de la petición realizada el 21 de marzo de 2018 por la denunciante a la investigada, en la cual señala: “(…) requiero que eliminen toda mi información de sus bases de datos y reitero que prohíbo el uso de cualquiera de mis datos personales para ningún fin mas (sic) que para dar respuesta a este requerimiento.”
SEGUNDO: Que mediante Resolución No. 9205 del 15 de abril de 2019, obrante en el expediente físico 19-131597 en los folios 2 al 6, expedida por el Grupo de Trabajo de Hábeas Data de esta Dirección, se ordenó: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente.”
TERCERO: Que en la parte motiva de la Resolución 9205 del 15 de abril de 2019, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, de cara a la denuncia presentada, se consideró que no existía mérito para emitir una orden de carácter administrativo con el fin de suprimir los datos personales de la Titular, toda vez que la sociedad ALMACENES ÉXITO S.A., ya había realizado dicha eliminación de sus bases de datos; por tal motivo se decidió archivar la averiguación preliminar al estar ante un hecho superado.
En todo caso, en la parte motiva de la citada resolución se indicó: “Aclarado lo anterior, es pertinente mencionar que en el presente caso la titular manifiesta que “Requiero conocer en que (sic) momento se tomaron ustedes las atribuciones para hacer uso de mis datos personales, QUE CATEGÓRICAMENTE HE PROHIBIDO usar. Requiero pruebas de los medios en los que según ustedes yo haya autorizado alguna vez que me envíen los muy molestos e-mails o mensajes de texto a mi celular” (fl.3).
Anexa al radicado 18-183704-00000 del 12 de julio de 2018, obrante en el expediente físico 19-131597 a folios 7 al 9. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 2, Frente a lo anterior, este Despacho el día 9 de noviembre de 2018 requirió a la sociedad Almacenes Éxito para que se pronunciara sobre los hechos de la materia de la denuncia y aportara entre otros “prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales” (fls. 14 y 15), al respecto, dicha sociedad mediante respuesta de explicaciones del día 29 de noviembre de 2018 indicó que “(…) la señora Xxxxxxx Xxxxxx Xxxxxxxx ingresó en la base de datos de ÉXITO el día 14 de abril de 2015 a través de un formulario de asignación de clave para la entrada al programa de fidelización de clientes” (fl. 25) dentro del cual asegura se encuentra inmersa la autorización previa, expresa e informada otorgada por la titular para el tratamiento de su información personal.
Ante tal afirmación, este Despacho evaluó la documentación obrante en el expediente encontrado a folio 33 la enunciada sociedad allegó copia del documento denominado “Asignación de Clave” en el cual se encuentra diligenciado a nombre de la señora Xxxxxxx Xxxxxx Xxxxxxxx y contiene la siguiente autorización “Autorizo de manera previa expresa informada a Almacenes Éxito S.A. sus filiales y vinculada para que mis datos personales puedan ser almacenados y usados con el fin de lograr una eficiente comunicación durante el presente trámite o actividad y autorizo en los mismos términos que dicha información pueda ser tratada conforme a lo dispuesto en la Ley 1582 de 2012 y sus Decretos Reglamentarios con el fin de recibir información acerca de sus productos servicios ofertas promocionales (…).
(…) Ahora bien, superada la anterior discusión, se observa que en el presente caso la reclamante manifiesta que presentó derecho de petición ante la sociedad Almacenes Éxito S.A. “(…) He expresado de manera contundente mi inconformidad con sus prácticas y el 21 de marzo escribí prohibiendo el uso de mi celular y cualquier otro dato, pero siguen violando mis derechos.
Siguen enviándome mensajes (…)” (fl. 1). Al respecto la sociedad Almacenes Éxito S.A. mediante respuesta de explicaciones del día 29 de noviembre de 2018 indicó que “(…) con el propósito de atender la voluntad del titular de datos personales se ha realizado la supresión de los datos personales de la señora Xxxxxxx Xxxxxx Xxxxxxxx de las bases de datos de Almacenes Éxito” (fl. 27), lo anterior lo corrobora sirviéndose a allegar pantallazos de consultas en el Sistema MDM – Master Data Management, Base de Datos de Clientes Fidelizados, Bases de Datos de Comercio Electrónico, Lista de Envíos de Mensajes y EMAILS en los cuales se evidencia que la información personal de la titular fue eliminada de las bases de datos de la sociedad (fls. 27 al 30).”
CUARTO: Que como consecuencia de la remisión efectuada por el Grupo de Trabajo de Hábeas Data con ocasión a la denuncia presentada contra la sociedad ALMACENES ÉXITO S.A., se evidenció la presunta violación de las normas de protección de datos personales y en particular las disposiciones contenidas en: (i) el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem, mediante la expedición de la Resolución 68625 del 29 de noviembre de 2019, se inició la presente investigación administrativa por medio de la cual se formularon cargos a la sociedad ALMACENES ÉXITO S.A. La mencionada resolución fue notificada por aviso No. 29409 el 16 de diciembre de 2019 a la investigada, acorde con la constancia de notificación emitida por la Secretaria General Ad-Hoc de esta Superintendencia mediante el radicado 19-131597- -8 del 30 de diciembre de 2019, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente se comunicó la actuación a la denunciante.
QUINTO: Que mediante escrito con radicado 19-131597- -00009 del 8 de enero de 2020, el apoderado especial de ALMACENES ÉXITO S.A., presentó durante el término establecido para tal fin, escrito de descargos.
SEXTO: Que mediante la Resolución 8681 del 28 de febrero de 2020 este Despacho procedió a: (i) incorporar las pruebas obrantes en el expediente; (ii) prescindir del término para el periodo probatorio y; (iii) correr traslado para presentar alegatos de conclusión. Esta resolución fue comunicada el 3 de marzo de 2020 a la sociedad ALMACENES ÉXITO S.A., a través de su “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 3, apoderado especial, como consta en la certificación con número de radicado 19-131597- -13 de la Secretaria General Ad-Hoc de esta Superintendencia.
SÉPTIMO: Que dentro del término señalado en la Resolución 8681 de 2020 para presentar alegatos de conclusión, correspondiente a diez (10) días hábiles, la sociedad ALMACENES ÉXITO S.A. se abstuvo de presentarlos.
OCTAVO: Que mediante la Resolución 44019 del 31 de julio de 2020, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A., identificada con NIT. 890.900.608-9, de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS DIEZ MIL SEISCIENTOS SESENTA Y CINCO PESOS M/CTE ($ 145.810.665), equivalente a CUATRO MIL NOVENTA Y CINCO (4.095) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración de lo dispuesto en (i) el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.
De igual manera, se ordenó al señor XXXXXX XXXXX XXXXXXXXXXXX, identificado con C.C. No. xx.xxx.xxx, en su calidad de representante legal de la sociedad ALMACENES ÉXITO S.A., identificada con NIT 890.900.608-9, para que adopte las medidas pertinentes, útiles efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2.
Respetar y garantizar los derechos de los titulares de los datos. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)” con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales. 5.
Hacer efectivo el pleno respeto del derecho fundamental de Hábeas Data.
NOVENO: Que la Resolución 44019 del 31 de julio de 2020 fue notificada por aviso No. 18422 el 19 de agosto de 2020 a la sociedad investigada, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 19-131597- -25 del 25 de agosto de 2020.
De igual manera, fue notificado el representante legal de la sociedad investigada, el señor XXXXXXXXXXXXXXXXXX XXXXXXX, mediante aviso No. 18421 del del 19 de agosto de 2020, según dicha certificación.
DÉCIMO: Que mediante correo electrónico con radicado 19-131597- -00026 del 1 de septiembre de 2020, a través de su apoderado especial, ALMACENES ÉXITO S.A. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución 44019 del 31 de julio de 2020 para que se revoque y/o modifique la sanción impuesta y la orden impartida, con fundamento en: 10.1 Sintetiza la razón de su solicitud de revocatoria y/o modificación de la Resolución 44019 del 31 de julio de 2020 en que “la sanción impuesta, así como su cuantía, no obedecen a los criterios legales de proporcionalidad y razonabilidad, ni fue debidamente graduada”. 10.2 Alega que se presentó una indebida graduación de la sanción en la Resolución 44019 del 31 de julio de 2020, en consideración a que es desproporcionada frente a la conducta desplegada por la sociedad y debe tenerse en cuenta que “a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad.
Adicionalmente, esta sustentación debe tener una carga de argumentación jurídica de la cual se pueda extraer el fundamento del por qué se impone un valor y no otro”. 10.3 Arguye que el artículo 24 de la Ley 1581 de 2012 establece los criterios para graduar las sanciones, dentro de los cuales se encuentra “[e]l reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”, a lo cual indica que la sociedad, en aras de cumplir con los HOJA N 4, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” principios de economía y lealtad procesal, se allanó a los cargos objeto de la investigación administrativa.
Al respecto, señala que la disminución de la sanción fue irrisoria, equivalente al 10% de la sanción impuesta, “lo cual no obedece a una disminución proporcional y razonable frente a la actuación realizada por la compañía en el allanamiento previo y expreso de los cargos”. 10.4 Agrega que en otras decisiones, este Despacho no ha desconocido el criterio de graduación de la sanción por el reconocimiento y allanamiento a los cargos, ejemplificando “algunos casos en que este criterio, en conjunto con otros, se tuvo en cuenta para una adecuada graduación de la sanción”. 10.5 Expresa que la sociedad cuenta con un Programa Integral de Protección de Datos Personales “acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares.
Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales”, constituyendo la supresión extemporánea de los datos de la denunciante, frente al volumen de 2000 solicitudes de titulares al año, en “una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares”. 10.6 La recurrente indica que no comparte lo señalado por este Despacho en el sentido de que “Almacenes Éxito incurre en una ‘trasgresión flagrante a los derechos humanos de un ciudadano’.
Este tipo de señalamientos frente a una empresa que ha demostrado no solo la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial (incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos) sino que es un gran aportante al desarrollo de la economía nacional, nos preocupa sobremanera”. 10.7 El Programa Integral de Protección de Datos Personales de la sociedad ALMACENES ÉXITO S.A. es un “programa ha tenido una implementación continua y obedece al principio de mejora continua, además se sustenta en la normativa vigente sobre la materia y en el modelo consagrado por la Superintendencia de Industria y Comercio en lo dictaminado en su Guía para la Implementación del Principio de Responsabilidad Demostrada”, el cual, de acuerdo con esta Guía, comprende los siguientes componentes fundamentales: compromiso de la organización, controles efectivos del programa y, evaluación y revisión periódica. 10.8 Alega que la Superintendencia al indicar que “la mayoría de las medidas, políticas y procedimientos adoptados por la investigada, son posteriores a la fecha de los hechos objeto de investigación”, desconoció que en otro pronunciamiento reconoció que ALMACENES ÉXITO S.A. sí cuenta con un Programa Integral de Protección de Datos Personales y ante este desconocimiento, no redujo la sanción impuesta por la implementación de este programa. 10.9 Además, “la Superintendencia de Industria y Comercio no debe tener en cuenta solamente el material probatorio que se le suministró dentro de esta investigación, sino todos los documentos que se han aportado en el pasado, en el curso de otras investigaciones y que, mirados en conjunto constituyen la prueba no solamente de que Almacenes Éxito ha implementado un programa de protección de datos integral, sino que este es un proceso continuo, al que se le puede hacer seguimiento desde hace varios años”. 10.10 Así mismo, en la Resolución 44026 del 25 de junio de 2018, en la cual se reconoció la implementación de prácticas de responsabilidad demostrada por parte de la sociedad ALMACENES ÉXITO S.A. “se disminuyó la sanción impuesta en más del 56% (de 160 a 90 SMMLV)”.
DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 5, La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO SEGUNDO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 12.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución 44019 del 31 de julio de 2020 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 12.1.1 La sociedad investigada fue notificada por aviso No. 18422 el 19 de agosto de 2020 de la Resolución 44019 del 31 de julio de 2020, a través de su apoderado especial, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la agosto de 2020. 12.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 1 de septiembre de 2020 a través de correo electrónico con radicado 19-131597- -00026, encontrándose presentado dentro del término legal. 12.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 44019 del 31 de julio de 2020, los cuales fueron expuestos en el numeral considerativo décimo de esta resolución. 12.3 Respecto de los documentos aportados como pruebas por la recurrente.
Mediante el correo electrónico con radicado 19-131597- -00026 del 1 de septiembre de 2020, allegó lo siguiente: 12.3.1 Escrito de recurso de reposición y en subsidio de apelación. 12.3.2 Certificación de existencia y representación legal de la sociedad ALMACENES ÉXITO S.A., identificada con NIT 890.900.608-9. 12.4 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio.
El apoderado especial en el acápite de Notificaciones del escrito con radicado 19-131597-00026 del 1 de septiembre de 2020, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 44019 del 31 de julio de 2020, señala nombre, dirección y correo electrónico de la recurrente para notificaciones.
DÉCIMO TERCERO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cuatro aspectos relacionados con el monto de la sanción y los criterios de graduación de la misma, a saber: (i) Falta de proporcionalidad y razonabilidad de la sanción impuesta, (ii) allanamiento a los cargos y colaboración dentro de la actuación administrativa, (iii) ocurrencia de un hecho aislado y no sistemático y;
(iv) implementación de un Programa Integral de Protección de Datos Personales. 13.1 Respecto de la imposición y graduación de la sanción Esta Dirección encuentra que todos los argumentos expuestos por la recurrente objetan el monto de la sanción impuesta, los criterios utilizados para graduar la sanción y la proporcionalidad de la misma, razón por la cual se procederá a analizar lo recurrido de la siguiente manera: HOJA N 6, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 13.1.1 Respecto del principio de proporcionalidad y razonabilidad Sobre este punto, la recurrente señala que si bien la Superintendencia de Industria y Comercio detenta una facultad sancionatoria que tiene un límite señalado por la ley para establecer las multas, la imposición de la sanción y su graduación deben establecerse con criterios de proporcionalidad y de razonabilidad resultando contrario a estos principios la multa impuesta en el acto administrativo recurrido.
En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” De acuerdo con estos criterios de graduación, este Despacho, en primer lugar se refiere al previsto en el literal a) del artículo 24 de la Ley 1581 de 2012.
Dentro de su marco, se encuentra que a lo largo de la presente investigación se demostró la infracción cometida por la recurrente, específicamente respecto de los deberes previstos en (i) el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.
El primero de ellos, por la negligencia de la recurrente respecto del cumplimiento del deber de “garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, del cual se evidenció su desconocimiento al suprimir los datos de la denunciante, aproximadamente, 8 meses después de que solicitara la eliminación de todos sus datos de las bases de datos de la compañía. Esta negligencia implica el desconocimiento del derecho fundamental de hábeas data que es el objeto de amparo a través de la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 7, Por su parte, por la indebida diligencia respecto del cumplimiento del deber de “tramitar las consultas y reclamos formulados en los términos señalados en la presente ley”, demostrado por la respuesta dada por la recurrente a la denunciante después de 7 meses y 7 días a la fecha de vencimiento para dar respuesta, no solo vulnera el derecho fundamental de hábeas data de la Titular, sino el derecho fundamental de petición previsto en el artículo 23 de la Constitución Política.
Así pues, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de las infracciones al Régimen General de Hábeas Data se configuró un peligro a los interés de la Titular contemplados en la Ley 1581 de 2012, al continuarse con el tratamiento de sus datos personales cuando su voluntad manifiesta a la recurrente fue de supresión de sus datos y, no tuvo la oportunidad de desplegar otra acción, diferente a la presentación inicial de una petición, ante la falta de respuesta a su solicitud.
Ahora bien, este Despacho aclara a la recurrente que para la disminución del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23, le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro y vulneró el derecho fundamental de hábeas data de la Titular, ya que se demostró que la sociedad incumplió con los deberes previstos en (i) el literal a) del artículo 17 de la Ley 1581 de 2012 en “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 8, concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.
Por su parte, es importante que la recurrente tenga presente, que al analizar el presente caso y al revisar el material probatorio, así como los argumentos de hecho y de derecho de la investigada, no solo se encontró que para el caso es aplicable el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también para determinar el monto de la sanción se tuvieron en cuenta la aplicación de otros agravantes y atenuantes, el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.
Ahora bien, frente a los varios argumentos de la recurrente que refutan el monto de la sanción impuesta y sus criterios de graduación, en los numerales siguientes de este artículo, se analizará de forma específica lo referente a lo invocado en el recurso de reposición y en subsidio de apelación2 sobre el allanamiento a los cargos y colaboración dentro de la actuación administrativa, así como a la ocurrencia de un hecho aislado y no sistemático y, sobre la implementación de un Programa Integral de Protección de Datos Personales. 13.1.2 Respecto al allanamiento a los cargos y la colaboración dentro de la actuación administrativa La recurrente expresa que reconoció el incumplimiento de los cargos objeto de esta investigación “(…) ante la insuficiencia de material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar”, así como colaboró “(…) durante el trámite del expediente en el Grupo de Habeas Data, como en la etapa investigativa explicando los motivos por los cuales se presentó una falla humana (…)”.
Adicionalmente, la recurrente señala que en otras decisiones se valoró el criterio de graduación del literal a) del artículo 24 de la Ley 1581 de 2012, de forma adecuada por esta Dirección y ejemplificó dos de ellas, enunciando que el porcentaje de disminución de la sanción fue del 40% en uno de ellas, mientras que en otra, del 17,85%. Al respecto, la sociedad ALMACENES ÉXITO S.A. en su escrito de descargos con radicado 18183704-00009 del 8 de enero de 2020 se allanó a los cargos, al indicar: “Almacenes éxito S.A. acogiéndose a los principios de económica procesal, celeridad, eficiencia, eficacia, buena fe y lealtad procesal dispuestos por el legislador y que deben observar las partes en un proceso, en aras de garantizar el uso eficiente de los recursos humanos y físicos dispuestos por el Estado para impartir justicia, se allana de manera voluntaria y expresa a los cargos formulados, ante la insuficiencia de material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar.” Sobre la objeción presentada por la recurrente respecto al monto de disminución de la sanción por su allanamiento a los cargos, este Despacho señala que no es dable comparar la disminución impuesta a otras compañías por el reconocimiento de los hechos, ya que la dosificación de la sanción es valorada de forma concreta y particular en cada investigación administrativa, de acuerdo con factores mencionados en el numeral anterior, como lo son el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera.
Además, el objeto principal del Régimen de Protección de Hábeas Data es salvaguardar el derecho de los Titulares de la información respecto de sus datos personales, por lo cual el allanamiento a los cargos, si bien implica una disminución del monto de la sanción, no conlleva per se a una reducción sustancial de la sanción porque se debe valorar la incidencia e impacto de la vulneración del derecho de hábeas data frente a sus Titulares, así como los criterios señalados en el párrafo anterior.
Adicionalmente, quienes vulneran el Régimen de Protección de Datos Personales no pueden escudarse en el allanamiento a los cargos para obtener una reducción Escrito con número de radicado 19-131597- -00026 del 1 de septiembre de 2020. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 9, significativa de la sanción, que sí podría resultar desproporcionada frente a los daños y peligros causados a los Titulares por la vulneración de su derecho de hábeas data.
Por otra parte, frente a lo manifestado por la recurrente sobre su colaboración a esta entidad en la etapa de averiguaciones preliminares como de investigación, se aclara que el literal o) del artículo 17 de la Ley 1581 de 2012 establece que es deber de los Responsables de la información “[c]umplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.
En ese entendido, el requerimiento realizado a la recurrente por el Grupo de Trabajo de Hábeas Data de esta Dirección, mediante el radicado 18-183704-00005 del 24 de octubre de 2018, era de obligatoria respuesta por parte de la sociedad ALMACENES ÉXITO S.A. so pena de incurrir en incumplimiento del señalado deber. Del mismo modo, dentro de esta actuación administrativa en garantía de los derechos al debido proceso, defensa y contradicción, y acorde con el procedimiento administrativo sancionatorio previsto en el Capítulo III del Título III de la Ley 1437 de 2011 y en lo no previsto en él, con el procedimiento administrativo general del Capítulo II del Título III de la misma ley, este Despacho mediante la Resolución 9205 del 15 de abril de 2019, con la cual se inició una actuación administrativa y se formularon cargos, concedió el término de 15 días para presentar descargos a la recurrente, y a través de la Resolución 8681 de 2020, con la cual se incorporaron pruebas y se trasladó para alegar, otorgó el término de 10 días para la presentación de alegatos de conclusión. Así las cosas, los descargos presentados por la recurrente con el oficio con radicado 18-18370400009 del 8 de enero de 2020 le permitió ejercer sus derechos de defensa y de contradicción dentro de la actuación administrativa.
Nótese, que en una y otra etapa ante este Despacho, la información aportada por la sociedad ALMACENES ÉXITO S.A. no era de carácter facultativo sino que, correspondía, de una parte a una obligación frente a la autoridad administrativa, y de otra a los derechos que le asisten de debido proceso, defensa y contradicción. También, es necesario destacar que el criterio que señala la sociedad investigada de colaboración tanto en la etapa de averiguaciones preliminares como en la etapa de investigación, no es un criterio previsto en el artículo 24 de la Ley 1581 de 2012 para atenuar la sanción impuesta, ya que bajo esta norma la única causal de atenuación es “el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.
Sobre esto, la Corte Constitucional en sentencia C-748/11 de control de constitucionalidad de la Ley 1581 de 2012, preceptuó: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” De acuerdo con todo lo anterior, la reducción impuesta de DOSCIENTAS DIEZ (210) UNIDADES DE VALOR TRIBUTARIO – UVT por la vulneración del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, así como de DOSCIENTAS DIEZ (210) UNIDADES DE VALOR TRIBUTARIO – UVT por la infracción al literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem, por allanarse a los cargos, se valoró adecuadamente de acuerdo con lo indicado, por lo cual no procede disminuir la sanción en un monto inferior al impuesto. 13.1.3 Ocurrencia de hecho aislado y no sistemático La recurrente afirma que la supresión extemporánea de los datos de la denunciante es una situación aislada y excepcional, producto de una falla humana, ya que la sociedad ALMACENES ÉXITO S.A. maneja al año un gran volumen de solicitudes de los titulares y, a su vez, altos estándares para la gestión de quejas y reclamos.
También señala que está en desacuerdo con lo indicado en el acto recurrido respecto de que la recurrente “incurre en una ‘transgresión flagrante a los derechos humanos de un ciudadano’”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, En primer lugar, dentro del acervo probatorio obrante en esta actuación administrativa, la recurrente no aporta prueba alguna, con la cual acredite que la respuesta extemporánea a la Titular es una conducta no repetitiva y aislada.
Al respecto, no demuestra a través, a manera de ejemplo, de una certificación, emitida y suscrita por el área correspondiente en la sociedad, sobre el número de peticiones en materia de datos personales que recibe al año, el cumplimiento a los términos para dar respuesta y el número de respuestas dadas de forma extemporánea. Por su lado, sobre la falta de supresión oportuna de los datos de la denunciante, para este Despacho es claro que no se está ante una conducta aislada y no sistemática, ya que la sociedad ALMACENES ÉXITO S.A. ya había sido sancionada por el incumplimiento del deber previsto en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, a través de la Resolución No. 44026 del 25 de junio de 2018, dentro del expediente 17-189730.
Y precisamente, esto configura una reincidencia que fue valorada en el acto administrativo recurrido, teniendo en cuenta la información financiera de la sociedad, el tamaño de la empresa y el daño o peligro que pudo causar a la denunciante, así como potencialmente a otros Titulares. De acuerdo con lo anterior, el monto de la sanción impuesta en el acto recurrido es proporcional al tamaño de la empresa ALMACENES ÉXITO S.A. y además, al hecho que ya había sido sancionada por la misma conducta negligente en el cumplimiento del deber previsto en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
Adicionalmente, la recurrente realiza el tratamiento de los datos personales de un gran número de titulares, más de catorce millones (14’000.000), poniendo en riesgo con su negligencia la garantía del derecho de hábeas data de todos ellos. Por último, respecto al desacuerdo de la sociedad investigada sobre la expresión “transgresión flagrante a los derechos humanos de un ciudadano”, es menester contextualizar y señalar que esta frase está contenida en el numeral 11.1 Facultad sancionatoria del artículo décimo primero de la Resolución 44019 del 31 de julio de 2020, en donde se indica que el derecho fundamental de hábeas data es a su vez, un derecho humano y toda conducta que lo vulnere no debe tratarse de forma insignificante, diferente a lo indicado por la recurrente en el sentido “que Almacenes Éxito incurre en una ‘transgresión flagrante a los derechos humanos de un ciudadano’” sin especificar a cuáles derechos humanos se refiere y dentro de cuál contexto.
Se extrae lo correspondiente de la resolución recurrida: “La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.” 13.1.4 Programa Integral de Protección de Datos Personales. En virtud del principio de responsabilidad demostrada, la recurrente manifiesta que cuenta con un Programa Integral de Protección de Datos Personales, el cual está en mejora continua y se adecúa a la Guía para el Principio de Responsabilidad Demostrada de la Superintendencia de Industria y Comercio.
Agrega que, contrario a lo señalado en el acto recurrido respecto a que “la mayoría de las medidas, políticas y procedimientos adoptados por la investigada, son posteriores a la fecha de los hechos objeto de investigación”, en la Resolución 44026 del 25 de junio de 2018 3 la Dirección de Investigaciones de Protección de Datos Personales se pronunció a favor de la recurrente al disminuir la sanción por la implementación del mentado programa.
Esta resolución fue emitida dentro de la actuación administrativa del expediente No. 17-189730. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Además, indica que el Programa Integral de Protección de Datos Personales fue aportado a esta Superintendencia en otras investigaciones, por lo cual expresa la recurrente que se deben tener como elementos probatorios los documentos aportados en otras investigaciones aunque no se hayan allegado a esta.
A propósito de este último argumento de la recurrente, se hace necesario aclarar que cada una de las investigaciones que adelanta este Despacho se valora de manera independiente acorde con los supuestos fácticos y jurídicos de cada caso, así como de los deberes presuntamente vulnerados, por lo cual en cada actuación administrativa la(s) investigada(s) “(…) podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer”, acorde con el artículo 47 de la Ley 1337 de 2011.
A su vez, del artículo 167 del Código General del Proceso4, en virtud de la carga dinámica de la prueba, quien se encuentre en una situación más favorable para probar los hechos, es el llamado a allegar las pruebas correspondientes, es decir que la investigada, quien por lo general está en mejor posición para probar determinado hecho o hechos, es a quien le corresponde aportar las pruebas a que haya lugar.
En todo caso, y acorde con las conclusiones de los párrafos siguientes de este acápite, aunque en esta actuación administrativa se hubieren traído los documentos sobre el Programa Integral de Protección de Hábeas Data contenidos en el expediente 17-189730, esto no habría incidido en la disminución del monto de la sanción impuesta en la resolución recurrida, ya que no se acreditó que la sociedad ALMACENES ÉXITO S.A., previamente a la fecha de los hechos denunciados, hubiera implementado el principio de responsabilidad demostrada respecto del deber de garantizar el efectivo ejercicio de hábeas data a los titulares.
Ahora bien, revisado el expediente 17-189730, dentro del cual se profirió la Resolución 44026 del 25 de junio de 2018 a la que se refiere la recurrente, se encuentra que la sociedad ALMACENES ÉXITO S.A. aportó el 10 de enero de 2018 con el escrito de descargos con radicado 17-18973000009 los documentos que soportan Programa Integral de Protección de Datos Personales y en dicha oportunidad mediante la citada resolución se indicó que: “Así las cosas, si bien, la sociedad investigada acredito que cuenta con procesos para demostrar su compromiso con incrementar sus estándares de protección de los datos de los ciudadanos, con la implementación de un programa de gestión de datos personales, en el caso concreto se observa que dicho sistema no fue efectivo para evitar la vulneración del derecho de habeas data de la señora par cuanto, se insiste, no atendió en debida forma y de acuerdo con sus propios procedimientos la solicitud de supresión del data de esta.
Así mismo, en la Resolución 44026 del 25 de junio de 2018 se disminuyó el monto de la sanción impuesta en aplicación del principio de responsabilidad demostrada; no obstante, es claro para este Despacho que el hecho que la sociedad haya incurrido, nuevamente en la vulneración del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, representa que el citado programa de la recurrente es un compendio de documentos y procedimientos que no están teniendo una eficacia real para la salvaguarda del derecho de hábeas data de los titulares, resaltando este Despacho que el principio de responsabilidad demostrada busca que se realicen acciones concretas que efectivamente garanticen este derecho.
Al respecto, cabe traer a colación la postura adoptada por esta Superintendencia sobre el principio de responsabilidad demostrada. “Artículo 167. Carga de la prueba. Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jur ídico que ellas persiguen. No obstante, según las particularidades del caso, el juez podrá, de oficio o a petición de parte, distribuir, la carga al decretar las pruebas, durante su práctica o en cualquier momento del proceso antes de fallar, exigiendo probar determinado hecho a la parte que se encuentr e en una situación más favorable para aportar las evidencias o esclarecer los hechos controvertidos.
La parte se considerará en mejor posición para probar en virtud de su cercanía con el material probatorio, por tener en su poder el objeto de prueba, por circunstancias técnicas especiales, por haber intervenido directamente en los hechos que dieron lugar al litigio, o por estado de indefensión o de incapacidad en la cual se encuentre la contraparte, entre otras circunstancias similares.
Cuando el juez adopte esta decisión, que será susceptible de recurso, otorgará a la parte correspondiente el término necesario para aportar o solicitar la respectiva prueba, la cual se someterá a las reglas de contradicción previstas en este código. Los hechos notori os y las afirmaciones o negaciones indefinidas no requieren prueba. (…)” HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.
Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”5. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 –titulado Demostraciónestablece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012” y dicho decreto.
Nótese como le corresponde al Responsable o Encargado probar que ha puesto en marcha medidas adecuadas, útiles y eficaces para cumplir la regulación. Lo anterior significa que un administrador no puede utilizar cualquier tipo de política o herramienta para dicho efecto sino solo aquellas que sirvan para que los postulados legales no sean meras elucubraciones teóricas sino realidades verificables.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada6 (accountability)7”. El término “accountability”8, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza9 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. 5 Corte Constitucional, sentencia T-227 de 2003. 6 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 7 “El término “accountability” puede ser traducido por rendición de cuentas.
Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el tér mino accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 8 Cfr. Grupo de trabajo de protección de datos del artículo 29.
Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.
El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”.10 (Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: (i) los derechos de los titulares de los datos personales y (ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía11, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos” 12.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 13. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”14. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cerca na relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y de finan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ Ibídem. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”15 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”16.
Conforme con lo anterior, los documentos y procedimientos aportados en esta investigación como en otras por la recurrente, son insuficientes para demostrar el principio de responsabilidad demostrada de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, tendientes a disminuir el monto de la sanción impuesta, ya que no se evidencia que sean eficaces y efectivos para la garantía del derecho de hábeas data de los titulares, específicamente respecto del deber de “garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data” previsto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 13.1.5 Respecto de las pretensiones El recurrente solicitó que se “revoque y/o modifique la orden impartida y la multa impuesta a Almacenes Éxito S.A. por cuanto en su tasación no se acogieron los lineamientos dados por las normas vigentes en materia de protección de datos personales”17.
Al respecto, al haberse probado la conducta negligente de la recurrente por del incumplimiento de los deberes consagrados (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem, se vulneró el derecho fundamental de hábeas data del Titular.
A su vez, este Despacho tasó la sanción de acuerdo con los parámetros legales pertinentes y en vista del bien jurídico tutelado. Por su parte, la recurrente solicita la revocatoria o modificación de la orden impartida en la Resolución 44019 del 31 de julio de 2020; no obstante, los argumentos expuestos en el recurso de reposición y en subsidio de apelación18 solo están relacionados con la solicitud de revocatoria y/o modificación de la sanción impuesta.
En todo caso, dentro de las funciones previstas por el artículo 21 de la Ley 1581 de 2012 se encuentra que la Delegatura de Protección de Datos Personales como autoridad de protección de datos personales tiene dentro de sus funciones, la siguiente: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…).” De acuerdo con la anterior norma, este Despacho tiene la potestad de impartir órdenes, incluso de oficio, para garantizar la salvaguarda del derecho fundamental de hábeas data y su efectivo ejercicio.
Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs. 16-18. 16 Ibídem. 17 Folio 145 Anexo al radicado 19-131597- -00026 del 1 de septiembre de 2020. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, En síntesis, no es procedente revocar ninguna de las partes de la Resolución 44019 del 31 de julio de 2020, por lo cual se mantendrá la sanción impuesta y la orden impartida en dicha resolución.
DÉCIMO CUARTO: Conclusiones 14.1 Se configuró un peligro a los interés de la Titular contemplados en la Ley 1581 de 2012, al continuarse con el tratamiento de sus datos personales por aproximadamente 8 meses después de su voluntad manifiesta a la recurrente de supresión de sus datos. Además, ante la respuesta a su petición, 7 meses y 7 días después al vencimiento del término para obtener respuesta, la Titular no tuvo la oportunidad de desplegar otra acción, diferente a la presentación inicial de una petición, ante la falta de respuesta a su solicitud. 14.2 Acorde con el principio de proporcionalidad, la autoridad administrativa en la imposición de la sanción debe lograr el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Estos criterios fueron tenidos en cuenta al dosificar la sanción impuesta en el acto administrativo recurrido, ya que la recurrente puso en peligro y vulneró el derecho fundamental de hábeas data de la Titular al demostrarse que incumplió con los deberes previstos (i) en el literal a) del artículo 17 de la Ley 1581 de 2012; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012. 14.3 Para determinar la sanción no solo se tuvo en cuenta el criterio para agravar la sanción del literal a) del artículo 24 de la Ley 1581 de 2012, sino también la aplicación del atenuante del literal f) de la misma noma, así como el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria. 14.4 No debe compararse la disminución de la sanción impuesta en otras investigaciones adelantadas por este Despacho, por aplicación del reconocimiento a los cargos previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, toda vez que la dosificación de la sanción es valorada de forma concreta y particular en cada investigación administrativa de acuerdo con diferentes factores, como lo son el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, así como la incidencia e impacto de la vulneración del derecho de hábeas data frente a los titulares. 14.5 No se puede pretender escudarse en el allanamiento a los cargos para obtener una reducción significativa de la sanción, que sí podría resultar desproporcionada frente a los daños y peligros causados a los titulares por la vulneración de su derecho de hábeas data. 14.6 La información suministrada por la recurrente a esta Superintendencia, tanto en la etapa de averiguaciones preliminares como de investigaciones, no debe catologarse como colaboración de su parte, toda vez que en virtud del literal o) del artículo 17 de la Ley 1581 de 2012 es deber de los Responsables atender los requerimientos de la Superintendencia de Industria y Comercio y la omisión de este deber, conlleva, consecuentemente, a su incumplimiento.
A su turno, dentro de la investigación adelantada por este Despacho, la recurrente dentro de la oportunidad procesal correspondiente presentó escrito de descargos, en ejercicio de los derechos de defensa y contradicción que le asisten dentro de la investigación. 14.7 De los criterios para graduar la sanción del artículo 24 de la Ley 1581 de 2012, y como lo ha señalado la Corte Constitucional en sentencia C-748/11, el único atenuante es el previsto en el literal f) que corresponde al “reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar“, no existiendo el atenuante de colaboración con la autoridad administrativa. 14.8 Se encontró demostrado que la vulneración del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem, no corresponde a un hecho aislado y no sistemático, en razón a que dentro del acervo probatorio no obra prueba alguna que evidencie lo anterior.
Adicionalmente el hecho de que se haya vulnerado el “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, derecho de un (1) titular, pone en riesgo el derecho de los más de catorce millones (14‘000.000) de personas a los cuales la recurrente realiza el tratamiento de datos. 14.9 Respecto a la vulneración del deber contemplado en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, no se está ante una conducta aislada y no sistemática porque la recurrente ya había sido sancionada por la no supresión oportuna de los datos personales de un Titular, a través de la Resolución No. 44026 del 25 de junio de 2018, dentro del expediente 17-189730, constituyendo una reincidencia que fue valorada en el acto administrativo recurrido. 14.10 Sobre el señalamiento de la recurrente de que en investigaciones anteriores fue aportado el Programa Integral de Protección de Datos Personales y que en la Resolución 44026 del 25 de junio de 201819 la Dirección de Investigaciones de Protección de Datos Personales atenuó la sanción por reconocimiento del principio de responsabilidad demostrada con la implementación de dicho programa, es claro para este Despacho que al incurrirse en la misma conducta violatoria del deber del literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, el programa señalado es un compendio de documentos y procedimientos que no tienen una eficacia real para la salvaguarda del derecho fundamental de hábeas data de los titulares respecto del citado deber, por lo cual el principio de responsabilidad demostrada en esta actuación administrativa no puede tomarse como criterio para atenuar la sanción impuesta.
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 44019 del 31 de julio de 2020 por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente a la sociedad ALMACENES ÉXITO S.A., identificada el NIT 890.900.608-9, a través de su apoderado especial, entregándole copia de la misma.
ARTÍCULO CUARTO: NOTIFICAR al señor XXXXXX XXXXX XXXXXXX XXXXXX, identificado con cédula de ciudadanía XX.XXX.XXX, en su calidad de representante legal de la sociedad ALMACENES ÉXITO S.A., identificada el NIT 890.900.608-9, el contenido de la presente resolución.
ARTÍCULO QUINTO: COMUNICAR a la señora XXXXXXX XXXXXX XXXXXXXX, identificada con cédula de ciudadanía XX.XXX.XXX, el contenido de la presente resolución.
COMUNÍQUESE,
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 07 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.10.07 16:41:44 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM Esta resolución fue emitida dentro de la actuación administrativa del expediente No. 17-189730.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: INVESTIGACIONES Sociedad: ALMACENES ÉXITO S.A. Identificación: Nit. 890.900.608-9 Representante Legal: XXXXXX XXXXX XXXXXXX Identificación: C.C. XX.XXX.XX Apoderado especial: XXXXXX XXXXX X Identificación: C.C. XX.XXX.XXX Dirección: Carrera 48 No. 32B SUR - 139 Ciudad: Envigado, Antioquia.
Correo electrónico: njudiciales@grupo-exito.com COMUNICACIÓN: Señora: XXXXXXX XXXXXX XXXXXXXX Identificación: C.C. XX.XXXXX Correo electrónico: XXXXXXXXXXXXXXXX HOJA N,