(Marzo 29 de 2022) Radicación 18-272578 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante la Resolución No. 47226 de 28 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BIMBO DE COLOMBIA S.A., identificada con el Nit. 830.002.366-0, de CIENTO OCHO MILLONES NOVECIENTOS VEINTICUATRO MIL PESOS M/CTE ($108.924.000), correspondiente a TRES MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (3000 UVT), por la violación a lo dispuesto en literal j) del artículo 17 de la Ley 1581 de 2012.
( )"
SEGUNDO. Que mediante escrito radicado bajo el No. 18-272578-35 de 24 de agosto de 2021, la sociedad BIMBO DE COLOMBIA S.A. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 47226 de 28 de julio de 2021.
TERCERO. Que mediante la Resolución No. 74237 de 17 de noviembre de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 47226 de 28 de julio de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.
CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 47226 de 28 de julio de 2021, con base en los siguientes argumentos: “( ) De acuerdo con lo establecido en el artículo 49 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el acto administrativo que ponga fin al procedimiento administrativo sancionatorio, como es una Resolución sancionatoria, deberá contener la correspondiente fundamentación. De acuerdo con la Resolución de apertura, el cargo tercero formulado se relaciona con la presunta vulneración al deber que la investigada ostenta en su condición de responsable del tratamiento [sic] de datos [sic] de garantizar al titular [sic] en todo tiempo el pleno y efectivo derecho de hábeas [sic] data.
Sin perjuicio de lo anterior, la SIC, mediante Resolución 47226 impuso una orden administrativa en relación con los avisos de privacidad dispuestos en las instalaciones físicas de la Compañía, ordenando a Bimbo que implementara los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015. Al respecto, respetuosamente consideramos que dicha conclusión carece de fundamentación en la medida en que el hecho de que el aviso no cuente con los requisitos mínimos del artículo 2.2.2.25.3.3 del Decreto 1074 de 2015, no implica que Bimbo haya infringido su deber de garantizar el ejercicio del derecho de hábeas [sic] data.
HOJA Nº Adicionalmente, la SIC impuso una orden que no está relacionada con la garantía del derecho de hábeas [sic] data, sino con un elemento supletivo a la puesta a disposición de la política de protección de datos [sic] ( ) De acuerdo con el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015, el aviso de privacidad debe ser implementado “en los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información”.
En este sentido, el aviso es una medida supletiva y no obligatoria para Bimbo, y, en consecuencia, no se debe reprochar a quienes libremente -y conforme a la leydecidan optar por poner en conocimiento la política de tratamiento en vez de publicar un aviso de privacidad. Mediante respuesta al requerimiento de información radicada ante la SIC el 12 de abril de 2019 y que obra en el expediente, Bimbo indicó que la Política de Protección de Datos Personales ha sido debidamente informada a los titulares [sic] de los Datos a través de mecanismos idóneos implementados en el curso ordinario de interacción con los titulares [sic] como la solicitud de información a través de formularios durante los procesos de contratación de colaboradores y procesos de conocimiento de clientes y proveedores, así como los diferentes contratos suscritos por Bimbo, acceso a la página web, intercambio de correspondencia electrónica o por medio de avisos ubicados en nuestras Instalaciones.
Igualmente, como fue señalado en el escrito de descargos, Bimbo desplegó diferentes avisos y comunicaciones en sus instalaciones; emitió distintos comunicados informando la existencia de las políticas de tratamiento de la información en su página web www.bimbo.com.co; y dio a conocer los avisos y las políticas de privacidad del Grupo Bimbo a través de la página web www.bimbo.com.
En este sentido, Bimbo sí puso en conocimiento la política de tratamiento [sic] de datos [sic] personales, y como responsable del tratamiento [sic], que tiene las dos alternativas presentadas por la ley, acreditó ante esta Superintendencia que la política de tratamiento [sic] de datos [sic] había sido dada a conocer a los titulares a través de distintos mecanismos.
Medidas tomadas por Bimbo para dar cumplimiento a la orden administrativa de la SIC A pesar de la inconformidad de Bimbo con la orden administrativa, Bimbo seguirá tomando las medidas que sean necesarias para promover y seguir cumpliendo el régimen de protección de datos. En este sentido, a continuación, se muestra el aviso original, así como la transcripción del texto del nuevo aviso, que cumple con todos los elementos mínimos requeridos conforme al artículo 2.2.2.25.3.3 del Decreto 1074 de 2015.
( ) PERMANENTE COMPROMISO DE BIMBO PARA EL CUMPLIMIENTO DEL RÉGIMEN DE PROTECCIÓN DE DATOS Queremos reiterar a la SIC que Bimbo tiene un compromiso permanente, tanto directa como a través de sus subsidiarias, matrices y partes relacionadas, de cumplir completamente con las leyes y regulaciones de las autoridades colombianas. En concordancia con dicho compromiso, y específicamente en relación con el proceso administrativo sancionatorio de la referencia, Bimbo ha cooperado totalmente con la SIC al proporcionar toda la información disponible y responder a todas las consultas.
De conformidad con lo anterior, Bimbo reitera su compromiso e informa a esta Superintendencia que ha tomado medidas internas adicionales para continuar cumpliendo con el régimen de protección de datos. La Compañía ha realizado varias capacitaciones en materia de protección de datos y seguridad de la información al personal de Bimbo (nivel administrativo a directivo), en las cuales se incluye información general sobre el régimen de protección de datos, así como las medidas internas que ha tomado Bimbo para dar pleno cumplimiento a sus obligaciones de acuerdo a este régimen.
Adicionalmente, la Compañía ha reforzado y tomado las medidas correctivas necesarias para que todo el personal de Bimbo esté en la capacidad de redireccionar las quejas, peticiones y reclamos, independientemente del canal a través del cual se reciban para que así sean debidamente atendidas por las personas designadas por la compañía. Bimbo continúa cumpliendo y reforzando el proceso interno de dichos trámites, para que se garantice a los titulares de los datos que pueden solicitar información sobre el tratamiento de los datos, quién es el responsable, sobre las autorizaciones que han dado, así como la modificación, corrección o supresión de sus datos ( )”.
HOJA Nº QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).
2. DEL DEBER LEGAL INCUMPLIDO Y POTESTAD SANCIONATORIA Mediante la mediante la Resolución No. 47226 de 28 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales impuso multa a BIMBO DE COLOMBIA S.A., por incumplir el siguiente artículo de la Ley Estatutaria 1581 de 2012: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)” En dicha resolución se puso de presente lo siguiente: (…) 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
HOJA Nº (…) (…)” Finalmente, en dicho acto administrativo se concluyó lo siguiente: Como es sabido, el artículo 22 de la Ley Estatutaria 1581 de 2012 señala que “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 23. Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.
Sentencia C-748 de 2011. 2 Artículo HOJA Nº En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.
Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.
Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley Estatutaria 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.
La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.
Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo.
Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente infringió la disposición legal citada en el acto recurrido porque, como se señaló en la Resolución No. 47226 de 28 de julio de 2021: Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad, equivale al 5,99% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.
Con base en lo anterior no se acogerán los argumentos presentados por la recurrente.
3. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”9. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.
En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.
Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados.
Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”. Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.
De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cual parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.
Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.
Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;
Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.
Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas En segundo lugar, es claro que la Resolución No. 47226 de 28 de julio de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).
Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.
HOJA Nº Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental10 a la protección de Datos11. En cuarto lugar, es relevante tener presente que BIMBO DE COLOMBIA S.A. trata Datos de aproximadamente ochocientos veinte mil doscientos veintinueve (820229) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.
Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental12 a la Protección de Datos13. De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”14. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia15.
Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.
4. LAS ÓRDENES SON MEDIDAS NECESARIAS PARA, ENTRE OTRAS, HACER EFECTIVO EL DERECHO DE HÁBEAS DATA O PARA QUE LOS RESPONSABLES DEL TRATAMIENTO CUMPLAN CORRECTAMENTE LO PREVISTO EN REGULACIÓN La recurrente también manifiesta que, “la SIC impuso una orden que no está relacionada con la garantía del derecho de hábeas [sic] data, sino con un elemento supletivo a la puesta a disposición de la política de protección de datos [sic] ( )”.
Como es sabido, el artículo 19 de la Ley Estatutaria 1581 de 2012, le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la 10 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 11 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 12 El Derecho Fundamental a la Protección de Datos Personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 13 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 14 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº vigilancia necesaria para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, el artículo 21 determina las funciones que debe cumplir la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: “ARTÍCULO 21.
FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.
(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones con miras a proteger el derecho al debido tratamiento de los datos personales. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.
Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales.
Por eso, emitir una orden es un acto respetuoso del marco legal. Finalmente, y no menos importante, de la lectura del artículo 23 de la Ley Estatutaria 1581 de 2012 se puede constatar que las órdenes no son sanciones: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” HOJA Nº 10 Dado lo anterior, para la emisión de una orden no es necesario observar las pautas del procedimiento administrativo sancionatorio a que se refiere el artículo 47 y siguientes de la ley 1437 de 2011.
En suma, las órdenes no son sanciones sino son medidas necesarias para, entre otras, hacer efectivo el derecho de hábeas data o para que los Responsables del Tratamiento y Encargados del Tratamiento cumplan correctamente los previsto en regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares de los datos.
Cuando el recurrente se refiere a que “el aviso es una medida supletiva y no obligatoria para Bimbo, y, en consecuencia, no se debe reprochar a quienes libremente -y conforme a [sic] la ley- decidan optar por poner en conocimiento la política de tratamiento en vez de publicar un aviso de privacidad”, tiene razón en la primera parte de su razonamiento, pues de acuerdo con el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015, el aviso de privacidad debe ser implementado en los casos en los que no sea posible poner a disposición del Titular las políticas de Tratamiento de la información. Sin embargo, en los documentos allegados al expediente no se evidenció la prueba que demostrara que la investigada informara a los Titulares de los Datos dónde podían tener acceso a esa política.
Sobre este punto, este Despacho reitera lo establecido en la página 5 de la Resolución No. 74237 de 2021: Dado lo anterior, se ajustan a derecho las órdenes emitidas mediante el acto administrativo recurrido, razón por la cual no se revocarán. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.
Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 de la Constitución Política Nacional.
2. BIMBO DE COLOMBIA S.A. incumplió el literal j) del artículo 17 de la Ley Estatutaria porque no respondió oportunamente (dentro de los 15 días hábiles siguientes a la fecha de su recibo) la petición de dos titulares de datos ya que respondió la misma luego de casi doce (12) meses. 3. La multa impuesta representa aproximadamente el 5,99% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 4.
Las órdenes no son sanciones sino medidas necesarias para, entre otras, hacer efectivo el derecho de hábeas data o para que los Responsables del Tratamiento y Encargados del Tratamiento cumplan correctamente los previsto en regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares de los datos.
5. BIMBO DE COLOMBIA S.A. trata Datos de aproximadamente ochocientos veinte mil doscientos veintinueve (820.229) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos. HOJA Nº 11 De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 47226 de 28 de julio de 2021.
En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 47226 de 28 de julio de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BIMBO DE COLOMBIA S.A., identificada con Nit. 830.002.366-0, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxx Xxxxxxx Xxxxxxx Xxxxxxx identificado con la Cédula de Ciudadanía No. x.xxx.xxx.xxx, y al señor Xxxxxx Xxxxxxx Xxxxxxxx identificado con la Cédula de Ciudadanía No. xx.xxx.xxx o a sus apoderados, entregándoles copia de la misma e informándoles que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 29 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.29 ANGARITA Fecha: 17:51:10 -05'00' NELSON REMOLINA ANGARITA CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Apoderado: Identificación: Tarjeta Profesional: Correo electrónico: Dirección: Ciudad: País: BIMBO DE COLOMBIA S.A. Nit. 830.002.366-0 Francisco Javier Fuentes Castañeda C.E. No. 1205153 Xxxx Xxxxxxx Xxxxxxx Xxxxxx C.C. xx.xxx.xxx xxx.xxx del Consejo Superior de la Judicatura notificacionesjudicialescolombia@grupobimbo.com xxxxxxxxxxxxxxxxxx Calle 22 A No. 68-97 Xxxxx xx Xxx No. x-xx Bogotá D.C., Colombia Comunicación Señor: Xxxx Xxxxxxx Xxxxxxx Xxxxxxx Identificación: C.C. x.xxx.xxx.xxx Dirección: Xxxxxxx x X No. xX-xx Xxxxxx Xxx Xxxxxx Municipio: Xxxxxxxxxx (Xxxxxxxxxxxx) Correo electrónico: xxxxxxxxxxxxxxxxxxxxxx Señor: Xxxxxx Xxxxxxx Xxxxxxxx Identificación: C.C. xx.xxx.xxx Dirección: Xxxxx xx No. xX-xxX Municipio: Xxxxxxxx (Xxxxxxxxxxxx) Correo electrónico: xxxxxxxxxxxxxxxxxxx HOJA Nº 12