(19 de mayo de 2025) “Por la cual se resuelve un recurso” Radicado 21-478761 VERSIÓN ÚNICA LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante Resolución No. 61591 del 11 de octubre de 2024, esta Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
SEGUNDO: Que, la Resolución No. 61591 del 11 de octubre de 2024 se notificó electrónicamente a la sociedad COVINOC S.A. el 11 de octubre de 2024, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 21-478761-34 del 21 de octubre de 2024.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 21-478761-36 del 28 de octubre de 2024, la sociedad COVINOC S.A. interpuso recurso de reposición y en subsidio de apelación, junto con anexos, en contra de la Resolución No. 61591 del 11 de octubre de 2024, con fundamento en los siguientes motivos de inconformidad: En primer lugar, la sociedad investigada sostiene que ostenta la calidad de Encargado del tratamiento, lo que, a su juicio, deriva en una falsa motivación, que afecta la legalidad del acto administrativo recurrido.
A continuación, la sociedad recurrente advierte la ausencia de valoración probatoria de “las medidas apropiadas, efectivas, útiles, oportunas y demostrables puestas en marcha por COVINOC, para garantizar la seguridad y confidencialidad de la información”. Aunado a lo anterior, señala una inobservancia por parte del Despacho a la aplicación de: i) el principio de proporcionalidad en materia sancionatoria y ii) de los criterios de graduación de las sanciones contemplados en la Ley 1581 de 2012.
“Por la cual se resuelve un recurso” Finaliza su escrito con el acápite de pretensiones, así: “Pretensiones principales Que se revoque en su totalidad la Resolución 61591 del 11 de octubre de 2024 y, consecuentemente, se archive la presente actuación administrativa sancionatoria. Pretensiones subsidiarias Que, en atención al análisis de los criterios de graduación establecidos en el artículo 24 de la Ley Estatutaria 1581 de 2012 que sean aplicables en el presente caso, la SIC modifique la Resolución 61591 del 11 de octubre de 2024 y se abstenga de imponer una sanción administrativa e imparta una orden administrativa encaminada a asegurar la implementación de las medidas necesarias para garantizar la seguridad y confidencialidad de la información personal.
Que, en atención al análisis de los criterios de graduación establecidos en el artículo 24 de la Ley Estatutaria 1581 de 2012 que sean aplicables en el presente caso, la SIC modifique la Resolución 61591 del 11 de octubre de 2024 y reduzca el monto de la sanción pecuniaria impuesta a COVINOC.”
CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad COVINOC S.A., este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los motivos de inconformidad expuestos por la recurrente se enmarcan en los siguientes puntos: i. Frente a la calidad que ostenta la sociedad investigada, ii.
Frente a la ausencia de valoración probatoria de “las medidas apropiadas, efectivas, útiles, oportunas y demostrables puestas en marcha por COVINOC, para garantizar la seguridad y confidencialidad de la información”, iii. Frente al principio de proporcionalidad y los criterios de graduación de las sanciones; y iv. Frente a las pretensiones. 5.1.
Frente a la calidad que ostenta la sociedad investigada En su escrito de recurso, la sociedad investigada sostiene que ostenta la calidad de Encargado del tratamiento, lo que, a su juicio, deriva en una falsa motivación, que afecta la legalidad del acto administrativo recurrido. En línea con lo anterior, afirma que esta Dirección desconoció los soportes probatorios allegados a la investigación de la referencia. Puntualmente, el Contrato de Administración y el Contrato de Protección y Transmisión de Datos Personales y Seguridad de la Información suscritos entre REINTEGRA S.A.S. y COVINOC S.A. En referencia a lo expuesto por la sociedad recurrente, conviene precisar lo siguiente: En primer lugar, es menester destacar que la calidad de Responsable del Tratamiento que ostenta la sociedad investigada fue ampliamente analizada por esta Dirección en la parte considerativa del acto administrativo 61591 del 11 de “Por la cual se resuelve un recurso” octubre de 2024; donde, entre otras cosas, se realizaron unas referencias puntuales al Contrato de Administración y al Contrato de Protección y Transmisión de Datos Personales y Seguridad de la Información suscritos entre REINTEGRA S.A.S. y COVINOC S.A. No obstante lo anterior, y con el propósito de velar por la trazabilidad de la información, este Despacho se dispone a ampliar el análisis de dichos soportes probatorios, así: - El Contrato de Administración suscrito entre REINTEGRA S.A.S. (Propietario) y COVINOC S.A. (Administrador) tiene por objeto: “El presente Contrato de Administración tiene como objeto la prestación de servicios profesionales por parte del Administrador consistentes en la administración integral del establecimiento de comercio del Propietario, incluyendo la administración de los Portafolios de Créditos que el propietario adquiera de tiempo en tiempo, y poner a disposición toda su infraestructura física, tecnológica, operativa, administrativa, financiera, contable y jurídica que sea requerida para que el Recaudador realice una adecuada Gestión de Recaudo de los Portafolios de Créditos del Propietario.” La cláusula cuarta del contrato en cita señala las obligaciones del “Administrador”; dentro de las cuales se encuentran incluidas la gestión de cartera y recaudo.
De otra parte, la cláusula octava señala las obligaciones del Propietario: “Octava-Obligaciones del Propietario: Serán obligaciones a cargo del Propietario las siguientes: (i) P agar al Administrador todos los gastos, honorarios, comisiones, incentivos y demás compensaciones estipuladas en el presente Contrato de Administración. (ii) Suministrar al Administrador la información que razonablemente le solicite con el din de ejecutar sus obligaciones acá previstas.
(iii) No retener ni negar la aprobación de los informes que componen la rendición de cuentas del Administrador de forma injustificada.” Nótese entonces que, contrario a lo afirmado por la sociedad recurrente, el clausulado del Contrato de Administración suscrito entre REINTEGRA S.A.S. y COVINOC S.A. no desvirtúa de manera alguna la calidad de Responsable del Tratamiento de la sociedad investigada.
De hecho, el grueso de su contenido obedece a cuestiones propias del manejo de información del ámbito financiero, crediticio, comercial y de servicios. En relación al Contrato de Protección y Transmisión de Datos Personales y Seguridad de la Información suscrito entre REINTEGRA S.A.S. y COVINOC S.A., encuentra este Despacho lo siguiente: En primer lugar, el objeto del mencionado contrato es el siguiente: “El objeto del presente contrato es regular las condiciones en las que EL ENCARGADO tratará los datos personales contenidos en la base de datos de propiedad de REINTEGRA SAS quien actúa como RESPONSABLE, con las siguientes finalidades: I) II) III) IV) Administrar la cartera para lograr efectivamente el recaudo de las obligaciones insolutas.
Realizar el cobro pre-jurídico y jurídico de las obligaciones, así como cualquier acción tendiente a recuperar las obligaciones insolutas asignadas. Contestar y atender todo tipo de requerimientos judiciales y/o administrativos. Atender peticiones, quejas, reclamos, sugerencias y cualquier tipo de solicitud que realicen los titulares de las carteras administradas “Por la cual se resuelve un recurso” por EL ENCARGADO, RESPONSABLE. previamente delegadas por EL La información contenida en la base de datos podrá utilizarse para la consecución de las labores previamente descritas y las que en el desarrollo del mandato se estimen necesarias para la operación del RESPONSABLE.
El uso de los datos de las bases de datos se realizará por un tiempo determinado y mientras se mantenga vigente el contrato de prestación de servicios suscrito entre las partes, salvo acuerdo particular en contrario entre las partes y de manera no cesible e intransferible, teniendo EL ENCARGADO derecho a utilizar la base de datos únicamente para las finalidades anteriormente descritas.
En ningún caso el uso de los datos comprenderá la cesión de la propiedad sobre los derechos de propiedad intelectual de la base de datos.” Los numerales quinto y sexto del contrato en cita estipulan las obligaciones del Encargado y el Responsable, así: “V. OBLIGACIONES DEL ENCARGADO PRIMERO: EL ENCARGADO declara y garantiza a EL RESPONSABLE que tratará los Datos Personales teniendo en cuenta los niveles más altos de protección y confidencialidad y en cumplimiento con la Política de Tratamiento, la Ley Aplicable de Protección de Datos, este Contrato y al acuerdo de confidencialidad, así como cualquier instrucción adicional que EL RESPONSABLE le haya dado.
SEGUNDO: EL ENCARGADO deberá notificar oportunamente y por escrito a EL RESPONSABLE de cualquier requerimiento que reciba de las autoridades competentes, que impliquen la divulgación de Datos Personales conforme a las leyes aplicables; el aviso deberá darse con una anticipación razonable de forma que permitan a EL RESPONSABLE adoptar las medidas legales que considere oportunas o necesarias.
EL ENCARGADO no estará obligado a dar aviso a EL RESPONSABLE sobre estos requerimientos cuando las Leyes Aplicables le impidan hacerlo.
TERCERO: EL ENCARGADO deberá atender de forma oportuna y apropiada las solicitudes que le haga EL RESPONSABLE en relación con el Tratamiento de los Datos Personales sujetos a la Transmisión y cumplir con las recomendaciones, instrucciones y ordenes de la Autoridad de Protección de Datos en Cumplimiento con la Ley Aplicable de Protección de Datos, en relación al Tratamiento de Datos Personales.
CUARTO: EL ENCARGADO deberá cooperar y enviar a EL RESPONSABLE dentro de los términos y condiciones razonablemente establecidas por EL RESPONSABLE, toda la información pertinente que sea requerida a través de éste por la Autoridad de Protección de Datos.
QUINTO: EL ENCARGADO dará tratamiento, a nombre de EL RESPONSABLE, a los Datos Personales conforme a los principios que los tutelan.
SEXTO: EL ENCARGADO salvaguardara la seguridad de las bases de datos en los que se contengan Datos Personales. VI. OBLIGACIONES DEL RESPONSABLE PRIMERO: EL RESPONSABLE declara y garantiza que durante el término de este Contrato, deberá tratar los Datos Personales aplicando los más altos estándares de confidencialidad y en cumplimiento de su Política de Tratamiento de Datos y este Contrato.
SEGUNDO: EL RESPONSABLE deberá notificar oportunamente a EL ENCARGADO acerca de cualquier cambio en la legislación que EL RESPONSABLE considere que puede afectar el Tratamiento de los Datos Personales o este Contrato. “Por la cual se resuelve un recurso”
TERCERO: EL RESPONSABLE deberá resolver oportuna y apropiadamente todas las solicitudes realizadas por EL ENCARGADO en relación con el Tratamiento de los Datos Personales sujetos a la Transmisión y acatar las recomendaciones, instrucciones y órdenes de la Autoridad de Protección de Datos en cumplimiento con la Ley Aplicable de Protección de Datos.
CUARTO: Solicitar y conservar prueba de la Autorización de los Titulares e informar la finalidad del Tratamiento a los Titulares.
QUINTO: Garantizar que la información que se le suministre a EL ENCARGADO de los Datos Personales sea conforme con la información que suministren los Titulares.” Nótese entonces que los extractos en cita no solo no desvirtúan el análisis realizado por este Despacho en la parte considerativa del acto administrativo recurrido, sino que además refuerzan el hecho de que la sociedad COVINOC S.A. es quien realmente decide sobre la base de datos y/o el Tratamiento de los datos.
Lo anterior, debido a que la sociedad investigada recolectó el dato correspondiente al lugar de trabajo del titular y las direcciones de correo electrónico a donde se envió información relacionada con sus obligaciones crediticias, pues estos fueron recolectados directamente de la plataforma LinkedIn y la página web del Hotel Dann Avenida 19, y no fueron datos suministrados por la sociedad Reintegra S.A.S., en el marco de los negocios celebrados para la administración de cartera.
Aunado a lo expuesto, la sociedad COVINOC S.A. fue la que decidió el tratamiento que iba a impartir sobre este dato en específico y la finalidad, pues es la sociedad investigada quien decide contactar al empleador del Titular con el propósito de establecer puentes de comunicación; lo que a todas luces demuestra que la sociedad investigada actuó en calidad de Responsable del tratamiento y le asisten los deberes contemplados en el artículo 17 de la Ley 1581 de 2012.
Así las cosas, encuentra esta Dirección que los motivos de inconformidad propuestos por la sociedad recurrente no están llamados a prosperar y, en consecuencia, mantendrá incólumes los fundamentos de la decisión adoptada por mandato del acto administrativo número 61591 del 11 de octubre de 2024. 5.2. Frente a la ausencia de valoración probatoria de “las medidas apropiadas, efectivas, útiles, oportunas y demostrables puestas en marcha por COVINOC, para garantizar la seguridad y confidencialidad de la información En referencia a lo expuesto por la sociedad recurrente frente a este motivo de inconformidad, es menester señalar que, aún cuando este Despacho no se aparta del cúmulo de medidas que hayan sido adoptadas e implementadas por la sociedad investigada; lo cierto es que estas no evitaron la ocurrencia de los hechos que dieron origen a la investigación administrativa de la referencia. En línea con lo expuesto, no resulta menor que la sociedad recurrente, en sede de recurso de reposición y en subsidio de apelación, continúe sosteniendo que conservó la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, cuando las evidencias probatorias dan cuenta de lo contrario.
En síntesis, de nada vale que la sociedad COVINOC S.A. cuente con documentos robustos en materia de protección de datos personales, cuando estos no tienen una aplicación real en el ejercicio práctico. 5.3 Frente al principio de proporcionalidad y los criterios de graduación de las sanciones “Por la cual se resuelve un recurso” La sociedad recurrente considera que la sanción impuesta por medio de la Resolución No. 61591 del 11 de octubre de 2024 no es proporcional y desconoce los criterios de graduación de las sanciones previstos en la Ley 1581 de 2012.
Frente a los motivos de inconformidad presentados por la sociedad investigada, y en lo relacionado al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “(…) 7.1.1. Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado lo siguiente: “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”1. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción y la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria; así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el presente caso quedó demostrado que la sociedad COVINOC S.A.S. actuó negligentemente al no conservar la información del titular (…) bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en tanto compartió información relacionada con sus obligaciones crediticias con terceros no autorizados.
Corte Constitucional. Sentencia C-125 de 2003. Dieciocho (08) de febrero de dos mil tres (2003). Expediente D-4059. M.P. Marco Gerardo Monroy Cabra. “Por la cual se resuelve un recurso” 7.1.2. Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no hubo aceptación en la comisión de la infracción. Se aclara que el literal f) del artículo 24 de la Ley 1581 de 2012 no será tenido en cuenta, en la medida que la sociedad investigada no reconoció la comisión de la infracción. En el caso sub-examine, quedó demostrado que: La sociedad COVINOC S.A. no conservó la información del Titular (…) bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, y compartió su información con terceros no autorizados.
Por ello se impondrá una multa de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.” Así pues, tal como fue transcrito, a lo largo de la presente investigación se acreditó de manera inequívoca la comisión de la infracción a lo dispuesto en: El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma; en la medida en que la sociedad COVINOC S.A. compartió con terceros no autorizados la información del Titular, omitiendo así el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo 24 de la Ley 1581 de 2012 se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales a), b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011 precisó, que: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta, debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no hubo reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la “Por la cual se resuelve un recurso” Superintendencia; y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Por otro lado, el criterio de atenuación de la sanción señalado en el literal f) del artículo citado no se aplicó toda vez que la investigada no reconoció o aceptó la comisión de la infracción. Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios impuso la suma de CUATROCIENTOS CUARENTA Y OCHO (448) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCUENTA Y UN MIL NOVECIENTOS SESENTA Y OCHO (51.968) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a QUINIENTOS SESENTA Y NUEVE MILLONES CIENTO UN MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($569.101.568), por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.”2 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de conformidad con los soportes documentales allegados mediante consecutivo 21478761-22 del 27 de junio de 2023; como también su rol dentro del cumplimiento la ley de protección de datos personales, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.3 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
Consejo de Estado, Sala Contenciosa Administrativa – Sección Primera, Sentencia Nº. 25000-23-24-0002005-01325-01 del 26 de noviembre de 2015, Magistrado Ponente Roberto Augusto Serrato Valdés. “Por la cual se resuelve un recurso” Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso donde la sociedad investigada compartió con terceros no autorizados la información del Titular, omitiendo así el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, como quedó establecido en la investigación administrativa de la referencia. Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
Por lo expuesto, encuentra esta Dirección que los motivos de inconformidad propuestos por la sociedad recurrente no están llamados a prosperar y, en consecuencia, confirmará la sanción pecuniaria impuesta. 5.4 Frente a las pretensiones En su escrito de recurso, la sociedad COVINOC S.A. incluye un acápite de pretensiones, el cual se muestra a continuación: “Pretensiones principales Que se revoque en su totalidad la Resolución 61591 del 11 de octubre de 2024 y, consecuentemente, se archive la presente actuación administrativa sancionatoria.
Pretensiones subsidiarias Que, en atención al análisis de los criterios de graduación establecidos en el artículo 24 de la Ley Estatutaria 1581 de 2012 que sean aplicables en el presente caso, la SIC modifique la Resolución 61591 del 11 de octubre de 2024 y se abstenga de imponer una sanción administrativa e imparta una orden administrativa encaminada a asegurar la implementación de las medidas necesarias para garantizar la seguridad y confidencialidad de la información personal.
Que, en atención al análisis de los criterios de graduación establecidos en el artículo 24 de la Ley Estatutaria 1581 de 2012 que sean aplicables en el presente caso, la SIC modifique la Resolución 61591 del 11 de octubre de 2024 y reduzca el monto de la sanción pecuniaria impuesta a COVINOC.” (Subrayado fuera del texto original) Teniendo en cuenta lo expuesto en el presente acto administrativo, esta Dirección no encuentra procedente conceder lo pretendido por la sociedad recurrente y mantendrá el sentido material de la decisión adoptada mediante la Resolución No. 61591 del 11 de octubre de 2024.
No obstante lo anterior, es menester realizar un pronunciamiento especial frente a la parte final de la primera pretensión subsidiaria, así: Resulta, por lo menos, inconsistente que la sociedad recurrente afirme en un de los acápites de su escrito de recurso que cuenta con “las medidas apropiadas, efectivas, útiles, oportunas y demostrables puestas en marcha por COVINOC, para garantizar la seguridad y confidencialidad de la información”, pero paralelamente le solicite al Despacho “impartir una ordene administrativa encaminada a asegurar la implementación de las medidas necesarias para garantizar la seguridad y confidencialidad de la información personal”.
“Por la cual se resuelve un recurso” Lo anterior, debido a que es precisamente la sociedad COVINOC S.A. quien tiene el conocimiento detallado de: i) Su estructura organizacional y el compromiso de la alta gerencia frente al cumplimiento del Régimen de Protección de Datos Personales y la garantía efectiva del derecho al habeas data de los Titulares de la información; ii) El tipo de datos personal sobre los cuales realiza tratamiento; iii) La metodología de evaluación de riesgos asociados a datos personales y seguridad de la información; iv) La identificación de activos de información; así como de las posibles amenazas y vulnerabilidades; v) El cálculo del riesgo; vi) El tratamiento del riesgo, vii) La selección de controles; y viii) la gestión de esos riesgos.
Y quien, en consecuencia, debe asegurar la implementación de las medidas necesarias para garantizar la seguridad y confidencialidad de la información personal. Mal haría esta Dirección en entrar a determinar cuestiones propias y exclusivas del resorte de la sociedad COVINOC S.A. En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
SEXTO: Esta Dirección se abstendrá de pronunciarse frente a los radicados citados por la sociedad recurrente en los numerales 2.1.1. y 2.2.2. de su escrito de recurso, toda vez que estos no guardan relación alguna con: i) los hechos que dieron origen a la investigación administrativa de la referencia, ii) la conducta objeto de reproche; y iii) la decisión adoptada por este Despacho mediante Resolución No. 61591 del 11 de octubre de 2024.
De ninguna manera puede perderse de vista que el hecho de traer a colación dichos radicados no encarna en sí una razón o fundamento que conlleve a un cambio en la decisión adoptada por esta Instancia. Aunado a lo anterior, conviene recordarle a la apoderada de la sociedad COVINOC S.A. que esta Superintendencia, como Autoridad Única Nacional de Protección de Datos Personales, ciñe su actuar a lo dispuesto en la Carta Política, en concordancia con el espíritu de la legislación estatutaria y en armonía con la jurisprudencia de la Corte Constitucional, en materia de datos personales; razón por la cual, cualquier argumento, que si quiera intente desvirtuar las funciones e importancia de esta autoridad, debe ser descartado de plano ya que el mismo carece de cualquier sustento legal.
SÉPTIMO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmará la decisión material adoptada mediante la Resolución No. 61591 del 11 de octubre de 2024.
OCTAVO: CONCLUSIONES “Por la cual se resuelve un recurso” Con fundamento en lo expuesto, se encuentra suficientemente acreditado que la sociedad COVINOC S.A. compartió con terceros no autorizados la información del Titular, omitiendo así el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, con el correo electrónico de notificación judicial notificacion@covinoc.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “consultar mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-478761. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 61591 del 11 de octubre de 2024, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2. CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3. NOTIFICAR a la sociedad COVINOC S.A., identificada con NIT. 860.028.462-1, a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 13 No. 27 – 00 Piso 3, edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 19 de mayo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.05.19 11:00:10 -05'00' CAROLINA GARCÍA MOLINA CAROLINA GARCIA MOLINA Proyectó: MF Revisó: CG Aprobó: CG “Por la cual se resuelve un recurso” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COVINOC S.A. NIT. 860.028.462-1 LENHYZ ELIZETT TARAZONA SILVA C.C. 37.512.592 Calle 19 No. 7-48, piso 2 Bogotá notificacion@covinoc.com