Decisión 72788 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Noviembre 11 de 2021) Radicación 18-283845 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 68369 de 28 de octubre de 2020, la Dirección de Investigación de Protección de Datos Personales, resolvió: ( ) RESOLUCIÓN NÚMERO 72788 DE 2021 ( ) ( )

SEGUNDO. Que en el término1 legal establecido, mediante escrito 18-283845-49 enviado el 24 de noviembre de 2020, ALMACENES EXITO S.A., interpuso recurso de reposición y en subsidio de apelación, contra la Resolución No. 68369 de 28 de octubre de 2020, con fundamento en los siguientes hechos y argumentos: La recurrente considera que se desconoció: i. El cumplimiento de la obligación de solicitar y conservar Autorización previa, expresa e informada para el Tratamiento de Datos personales de sus respectivos Titulares; ii.

Las conductas desplegadas por la sociedad para minimizar el riesgo de ocurrencia de situaciones como la que dio origen a la sanción es un episodio no recurrente ni sistemático; y, 1 De conformidad con la certificación de 18 de noviembre de 2020, expedida por la Secretaria General Ad.-Hoc (Coordinadora del Grupo de Notificaciones y Certificaciones) de la Superintendencia de Industria y Comercio, la Resolución No. 68369 de 28 de octubre de 2020 fue notificada a ALMACENES ÉXITO S.A. y ÉXITO INDUSTRIAS S.A.S., el 9 de noviembre de 2020.

Con lo cual, el término para presentar los recursos vencía el 24 de noviembre de 2020. Así las cosas, los recursos se presentaron en la oportunidad procesal correspondiente. RESOLUCIÓN NÚMERO 72788 DE 2021 iii. El despliegue de un programa integral de protección de Datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo.

“En resumen, en este recurso se pone de presente cómo la sanción impuesta, así como su cuantía, no obedecen a los criterios legales de proporcionalidad y razonabilidad, ni fue debidamente graduada”. En términos generales, el motivo de inconformidad con la decisión se manifiesta en la indebida graduación de la sanción, que es absolutamente desproporcionada para la conducta llevada a cabo por Almacenes Éxito.

Adicionalmente, la la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación: (i) No se valoró adecuada la conducta de cara a la dimensión del daño o peligro de la conducta. (ii) No tuvo en cuenta la colaboración de Almacenes Éxito dentro de la investigación. (iii) No se valoró de forma adecuada, con toda la información que reposa en los distintos expedientes de la compañía, la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos [sic] personales, 1.

Falta de proporcionalidad en la graduación de la sanción No podemos desconocer que la facultad sancionatoria de la Superintendencia [sic] tiene una función importante correspondiente a evitar que conductas gravemente lesivas del ordenamiento y del régimen legal de protección de datos [sic] personales sigan ocurriendo. Ese poder sancionatorio de la Superintendencia de Industria y Comercio, como autoridad de protección de datos [sic], tiene unos límites trazados, unos definidos por la norma, y otros trazados por la propia entidad administrativa.

Como se observa, resulta fundamental para una correcta aplicación de la norma, de manera tal que sirva para el propósito con que fue concebida, que la autoridad a cargo de vigilar su cumplimiento, sea ponderada y aplique siempre un criterio de proporcionalidad en el momento de valorar la conveniencia de aplicar una sanción o de tasarla. ( ) Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad.

Se desprende de lo anterior que la multa de cuatro mil noventa y cinco (4.096) Unidades de Valor Tributario (UVT) impuesta a Almacenes Éxito no ha sido proporcional a los hechos presentados para este caso y que en el evento de que este Despacho aún considerase que existió una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares [sic]. 2.

No valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta La Dirección incurre en una clara falta al valorar la conducta, pues en ninguna parte de la Resolución [sic] recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta. Su obligación consiste solo parcialmente en determinar si la conducta existió o no, pero la norma y los criterios de proporcionalidad arriba desarrollados y traídos a colación por la propia Superintendencia [sic], le imponen el deber de determinar la dimensión bien del daño, si este ocurrió, o del peligro que la conducta generó para los derechos de la titular.

RESOLUCIÓN NÚMERO 72788 DE 2021 Para la tasación del monto de la multa se debe exponer los argumentos que la llevan a establecer la dimensión del daño y luego sí, hecha esa evaluación, podrá tasar una posible multa. Si la Dirección hubiera llevado a cabo dicho procedimiento, debería haber hecho una valoración completa sobre los distintos elementos que subyacen al tratamiento [sic] de datos [sic], en los términos en que lo obliga la norma.

Dichos elementos incluyen haber hecho una valoración: (i) Sobre el tipo de tratamiento [sic] efectuado (el envío de correos publicitarios a una titular [sic] cliente de Almacenes Éxito, que anteriormente y de manera voluntaria había solicitado vincularse y ser cliente Éxito que le otorga beneficios en sus compras); (ii) Sobre la naturaleza de los datos [sic] tratados por Almacenes Éxito (el correo electrónico de la titular [sic], asociado a su nombre); y (iii) Sobre los riesgos que implica para la titular [sic] dicho tratamiento [sic] (ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados).

Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, no simplemente en la afirmación de la ocurrencia de la conducta. Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección en procesos adelantados a otras compañías y a Almacenes Éxito, teniendo en cuenta los criterios de graduación establecidos en la normativa sustancial y procesal aplicable en la materia. 3.

Hecho aislado y no sistemático Almacenes Éxito S.A. es una organización comprometida con la Protección de los Datos Personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.

En dicho sentido, la Compañía [sic] cuenta con un Programa Integral de Protección de Datos Personales acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares. Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales.

En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos [sic] personales, y en el evento de haberse configurado una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares [sic].

Almacenes Éxito ha demostrado la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial, incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos. 4. Despliegue de un programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo.

El principio de la responsabilidad demostrada, se ha consagrado dentro del ordenamiento jurídico, como un mecanismo que tiene la finalidad de promover el compromiso de las RESOLUCIÓN NÚMERO 72788 DE 2021 organizaciones frente a la protección de los datos [sic] personales, lo cual se desarrolla con la implementación de modelos y programas verificables que enriquezcan las garantías que se han desplegado dentro del ordenamiento Colombiano [sic], frente a la materia.

De dicho principio deriva un reconocimiento de aquellas organizaciones comprometidas con la protección de los datos [sic], el cual puede verse materializado como un criterio diferenciador que adopta la Superintendencia de Industria y Comercio, como autoridad competente en la materia, frente a la imposición de sanciones de carácter administrativo por las violaciones al régimen de protección de datos [sic].

El programa de protección de datos [sic] de Almacenes Éxito se presenta como un vivo reflejo del compromiso que posee la compañía frente a la protección de la información personal. Vale la pena resaltar, que este programa ha tenido una implementación continua y obedece al principio de mejora continua, además se sustenta en la normativa vigente sobre la materia y en el modelo consagrado por la Superintendencia de Industria y Comercio en lo dictaminado en su Guía para la Implementación del Principio de Responsabilidad Demostrada.

( ) Como ya se ha puesto de presente a este Despacho, Almacenes Éxito, cuenta con un área especializada, el Área de Cumplimiento, que hace un seguimiento permanente al programa, para monitorear el estado de su implementación y adecuado desarrollo. En la resolución recurrida, la Superintendencia de Industria y Comercio descarta la reducción de la sanción impuesta por la implementación de buenas prácticas de protección de datos [sic], que se reflejan en el programa integral desarrollado por la compañía. Al justificar su decisión, la Superintendencia [sic] no tiene en cuenta que en el pasado ya había hecho el mismo reconocimiento frente a Almacenes Éxito, y había reconocido que en efecto dicha sociedad sí cuenta con un programa integral de protección de datos, que efectivamente refleja el compromiso de la organización con el tratamiento de la información de los titulares [sic] en sus bases [sic] de datos [sic].

Como se ha expuesto en este escrito, el programa integral de protección de datos [sic] no es una implementación única, que se despliegue una única vez, sino que se encuentra conformado por una serie de procedimientos, políticas, documentos, prácticas, procesos y decisiones de buen gobierno corporativo que, tomadas en su conjunto, le permiten a la compañía (como a cualquier otra compañía que implemente este tipo de prácticas), minimizar el riesgo de protección de datos [sic] personales.

Así entonces, Almacenes Éxito ha implementado un programa de protección de datos [sic] integral, que se encuentra en un proceso continuo de mejora y que es la evidencia de que ha sido un programa orientado en las buenas prácticas corporativas que propenden por proteger, cada vez de manera más efectiva, la información que recolecta y trata con ocasión a su objeto social.

Finalmente, traemos a colación de su Despacho que en el proceso que llevó a cabo esa Dirección, y que terminó con la imposición de una sanción a Almacenes Éxito se reconoció expresamente la implementación de prácticas de responsabilidad demostrada por parte de Almacenes Éxito. En efecto, en la Resolución No. 44026 de 25 de junio de 2018, se disminuyó la sanción en más del 56% (de 160 a 90 SMLMV), por la implementación de un programa integral de protección de datos [sic] en la compañía. Conclusiones Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Almacenes Éxito, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: RESOLUCIÓN NÚMERO 72788 DE 2021 (i) La Dirección no tuvo adecuadamente en cuenta la dimensión del daño y peligro de la conducta y en consecuencia no disminuyó la multa de manera sustancial.

(ii) La Dirección no tuvo en cuenta la colaboración de Almacenes Éxito durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial. (iii) En caso de haberse presentado una falla, la Dirección no tuvo en cuenta el carácter excepcional y no sistemático de la misma.

(iv) La Dirección no tuvo en cuenta la creación y despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y que se ha ajustado a las dinámicas del negocio en armonía con las disposiciones legales vigentes en la materia y a lo estipulado por la Dirección. Peticiones Revocar y/o modificar la orden impartida y la multa impuesta a Almacenes Éxito S.A.

TERCERO. Que en el término2 legal establecido, mediante escrito 18-283845-50 enviado el 24 de noviembre de 2020, EXITO INDUSTRIAS S.A.S., interpuso recurso de reposición y en subsidio de apelación, contra la Resolución No. 68369 de 28 de octubre de 2020, con fundamento en los siguientes hechos y argumentos: “( ) Pretensiones Mediante el presente recurso se solicita a la Dirección de Investigación de Protección de Datos, en sede de reposición, o al Superintendente Delegado de Protección de Datos, en sede de apelación, que revoque y/o modifique la orden impartida y la multa impuesta a Éxito Industrias por cuanto en su tasación no se acogieron los lineamientos dados por las normas vigentes en materia de protección de datos personales y, por el contrario, se procedió con la imposición de una multa desproporcionada y una orden que desconocen: (i) (ii) (iii) El allanamiento a los cargos y la colaboración de la investigada las conductas desplegadas por la sociedad para minimizar el riesgo de ocurrencia de situaciones como la que dio origen a la sanción en un episodio no recurrente ni sistémico, el despliegue de un programa integral de protección de datos personales y que nos encontramos ante un hecho superado.

En resumen, en este recurso se pone de presente cómo la sanción impuesta, así como su cuantía, no obedecen a los criterios legales de proporcionalidad y razonabilidad, ni fue debidamente graduada. Motivos de inconformidad 2 De conformidad con la certificación de 18 de noviembre de 2020, expedida por la Secretaria General Ad.-Hoc (Coordinadora del Grupo de Notificaciones y Certificaciones) de la Superintendencia de Industria y Comercio, la Resolución No. 68369 de 28 de octubre de 2020 fue notificada a ALMACENES ÉXITO S.A. y ÉXITO INDUSTRIAS S.A.S., el 9 de noviembre de 2020.

Con lo cual, el término para presentar los recursos vencía el 24 de noviembre de 2020. Así las cosas, los recursos se presentaron en la oportunidad procesal correspondiente. RESOLUCIÓN NÚMERO 72788 DE 2021 ( ) la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación: (i) (ii) (iii) Valoró el reconocimiento de la infracción por parte de Éxito Industrias, como uno de los atenuantes previstos por la ley de protección de datos personales, de forma insuficiente.

No tuvo en cuenta la colaboración de Éxito Industrias dentro de la investigación. No se valoró de forma adecuada la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos personales, 1. No aplicación de los criterios de reconocimiento de la infracción y colaboración de la investigada ( ) ese poder sancionatorio de la Superintendencia de Industria y Comercio, como autoridad de protección de datos, tiene no obstante límites trazados.

Algunos de estos límites están definidos por la propia norma, y otros de esos límites, por el contrario, han sido trazados por la propia entidad administrativa, por vía del ejercicio de sus facultades a través del tiempo, y por su producción de guías e instructivos que orientan a los administrados sobre la forma enque se espera de ellos una apropiada aplicación de la ley.

Como se observa, resulta fundamental para una correcta aplicación de la norma, de manera tal que sirva para el propósito con que fue concebida, que la autoridad a cargo de vigilar su cumplimiento, sea ponderada y aplica un criterio de proporcionalidad. Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad.

Adicionalmente, esta sustentación debe tener una carga de argumentación jurídica de la cual se pueda extraer el fundamento del por qué se impone un valor y no otro. Se desprende de lo anterior que la multa de dos mil cuarenta y ocho (2.048) UVT impuesta a Éxito Industrias, no ha sido proporcional a la conducta en que incurrió la compañía y que fue reconocida por esta: el envío de una serie de correos electrónicos de naturaleza publicitaria con posterioridad a la solicitud de la titular de que fuera retirado su correo electrónico de la base de datos a la que anteriormente se había vinculado voluntariamente con esa específica finalidad.

La Dirección de Investigación de Protección de Datos, cuando procede a evaluar la imposición y graduación de la sanción, empieza por reconocer que en dicho ejercicio debe tener en cuenta el principio de proporcionalidad que orienta el derecho administrativo sancionador para que ella, como autoridad administrativa y en “forma razonable y proporcionada ( ) logre el equilibrio entre la sanción y la finalidad de la norma que establezca (sic) así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada”.

Así las cosas, resulta clarísimo del expediente, de la contestación del pliego de cargos, y de los alegatos de conclusión presentados por Éxito Industrias, que la sociedad investigada notenía dentro de su historial la petición de supresión de la señora, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, sin embargo, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, se procedió de conformidad, atendiendo a los deseos de la señora.

Frente a lo anterior, se debió tener en cuenta en la valoración del daño lo siguiente: RESOLUCIÓN NÚMERO 72788 DE 2021 (i) Sobre el tipo de tratamiento [sic] efectuado (el envío de correos publicitarios a una titular [sic] que anteriormente y de manera voluntaria había solicitado vincularse a la compañía) (ii) Sobre la naturaleza de los datos [sic] tratados por Éxito Industrias (el correo electrónico de la titular [sic], asociado a su nombre); y (iii) Sobre los riesgos que implica para la titular dicho tratamiento [sic] (ninguno diferente a las posibles molestias de recibir correo electrónico no deseado y tener que proceder a su borrado).

Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, frente a la ocurrencia de la conducta, que, como se reitera, fue reconocida por la investigada a lo largo de todo el proceso. En atención a los principios de economía procesal, celeridad, eficiencia, eficacia, buena fe y lealtad procesal dispuestos por el legislador y que deben observar las partes en un proceso, y en aras de garantizar el uso eficiente de los recursos humanos y físicos dispuestos por el Estado para impartir justicia, la compañía procedió a allanarse de manera expresa yvoluntaria a los cargos formulados dentro del presente proceso.

En concordancia con lo anterior, consideramos pertinente traer nuevamente a colación los criterios de graduación de la sanción dispuestos en el artículo 24 de la Ley 1581 de 2012, elcual se encuentra en concordancia con el artículo 50 de la Ley 1437 de 2011 ( ) Teniendo en cuenta lo mencionado, uno de los criterios a tener en cuenta para graduar las sanciones interpuestas por las entidades administrativas y en estos casos, por la de la infracción cometida.

En este caso resulta evidente que Éxito Industrias ante la insuficiencia del material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar, reconoció la infracción cometida, en aras del cumplimiento de los principios de economía y lealtad procesal, evitando así un desgaste innecesario de la administración. La Dirección [sic] debe, en consecuencia, disminuir la sanción impuesta a Éxito Industrias por cuanto (i) esta reconoció la infracción y (ii) colaboró con la Superintendencia [sic] tanto durante el trámite del expediente en el Grupo de Habeas Data, como en la etapa investigativa explicando los motivos por los cuales se presentó una falla humana, no sistemática, que le impidió haber actuado de forma más rápida ante la petición legítima de la titular [sic].

Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección [sic] en procesos adelantados a otras compañías, teniendo en cuenta este criterio de graduación establecido en la normativa sustancial y procesal aplicable en la materia. 2.

Hecho aislado y no sistemático Éxito Industrias es una organización comprometida con la Protección de los Datos Personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.

En dicho sentido, de reitera que, a pesar de que Éxito industrias [sic] no tiene como objeto principal el envío de publicidad o cualquier otra actividad que implique el tratamiento [sic] de datos [sic] personales de clientes, es una sociedad comprometida con la protección de los RESOLUCIÓN NÚMERO 72788 DE 2021 datos personales, como se detalló en el memorial de descargos y en los alegatos de conclusión del presente caso.

En donde se deja de presente que la compañía cuenta con un Programa integral de Protección de datos que se ajusta a las necesidades de la organización en el tratamiento [sic] de información. Dicho programa, también se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares.

Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales. En este caso en particular, la supresión extemporánea de los datos de la titular se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares. 3.

Cumplimiento de la voluntad de la titular – Hecho superado Como se ha reiterado en varias etapas del proceso, una vez se le informó al área encargada de la queja presentada por la señora ante su Despacho, fue en este momento en que se tuvo conocimiento de la solicitud que estaba presentado la titular [sic] de los datos [sic] y se procedió con la eliminación de su cuenta de correo electrónico de los repositorios de la compañía, y se acreditó su supresión tal y como consta, en las pruebas aportadas en el memorial de descargos.

Como ya es conocido por este despacho, Cdiscount no tenía dentro de su historial la petición de supresión de la señora, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, sin embargo, en cuanto tuvo conocimiento de la reclamación de la titular [sic] y se pudo verificar la voluntad específica de la misma, se procedió de conformidad, atendiendo a los deseos de la señora, encontrándonos así ante un hecho superado.

VI. Conclusiones Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Éxito Industrias, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: (i) La Dirección no tuvo adecuadamente en cuenta el reconocimiento que la propia investigada hizo frente a la comisión de la infracción y en consecuencia no disminuyó la multa de manera sustancial.

(ii) La Dirección no tuvo en cuenta la colaboración de Éxito Industrias durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial como en efecto lo ha hecho en otras investigaciones. (iii) La Dirección no tuvo en cuenta el carácter excepcional y no sistemático de esta falla y que nos encontramos ante un hecho superado.

(iv) La Dirección no tuvo en cuenta el despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y acorde a la dinámica del negocio. RESOLUCIÓN NÚMERO 72788 DE 2021 CUARTO. Que mediante la Resolución No. 8345 de 25 de febrero de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, confirmando en todas sus partes la Resolución No. 68369 de 28 de octubre de 2020, y concedió la apelación.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por las recurrentes en los escritos de reposición y en subsidio apelación contra la Resolución No. 68369 de 28 de octubre de 2020, se procede a resolver los recursos interpuestos, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20113 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”

2. NORMAS INFRINGIDAS DE CONFORMIDAD CON LA RESOLUCIÓN NO. 68369 DE 28 DE OCTUBRE DE 2020 Mediante el acto administrativo referido se impartieron órdenes e impusieron las siguientes sanciones a las recurrentes: ▪ Sanción a ALMACENES ÉXITO S.A. por valor de ciento cuarenta y cinco millones ochocientos cuarenta y seis mil doscientos setenta y dos ($145’846.272) por violación a lo dispuesto en el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.

“ARTÍCULO 17o. ( ) h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley” “ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización 3 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 72788 DE 2021 previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior". ▪ Sanción a INDUSTRIAS ÉXITO S.A.S. por valor de setenta y dos millones novecientos veintitrés mil ciento treinta y seis pesos ($72’923.136) por violación a lo dispuesto en el literal a) del artículo 18 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la Ley 1581 de 2012, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, el cual era de ciento cuarenta y cinco millones ochocientos cuarenta y seis mil doscientos setenta y dos ($145’846.272) “ARTÍCULO 18o. DEBERES DE LOS ENCARGADOS DEL TRATAMIENTO.

Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;”

3. DERECHO DE LOS TITULARES A SOLICITAR LA SUPRESIÓN DE SUS DATOS. DEBER DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DE TRAMITAR LOS RECLAMOS Y CONSULTAS. Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.

Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.

Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”4 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.

El Responsable y/o el Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley. La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales.

Por 4 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. RESOLUCIÓN NÚMERO 72788 DE 2021 eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada.

En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.

Este control, no sólo se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)5.

(Énfasis añadido) Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”6. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “ (…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud 5 Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 6 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012.

RESOLUCIÓN NÚMERO 72788 DE 2021 libre y voluntaria del Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización [sic] y/o supresión del dato [sic]”.

“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].

El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 20127 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.

Sobre este punto es importante recordar que la quejosa presentó cuatro (4) solicitudes de supresión de su correo electrónico de las bases de datos de Éxito, y, debido a la falta de respuesta frente a la petición de eliminación del Dato la Titular de la información, ella decidió acudir ante esta instancia administrativa con el fin de que le amparan su derecho de habeas data.

Al respecto, la recurrente ÉXITO INDUSTRIAS S.A.S. afirmó que, “En este caso en particular, la supresión extemporánea de los datos del titular se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares” Así las cosas, la recurrente ÉXITO INDUSTRIAS S.A.S. no solo desatendió las disposiciones legales que imponen la obligación de resolver la solicitud en el término legal establecido, sino que también, vulneró indiscriminadamente los derechos de la Titular a que le suprimieran sus Datos y a que le resolvieran en el término legal establecido su solicitud. 7 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” RESOLUCIÓN NÚMERO 72788 DE 2021 Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado.

Esto, se reitera, es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos de los Titulares de los Datos personales. Por lo anterior, y al quedar demostrado que no basta afirmar que se trata de una conducta aislada y no sistemática por parte de ÉXITO INDUSTRIAS S.A.S., se evidenció una vulneración del bien jurídico de la Titular del Dato, de acuerdo con el literal a) del artículo 18 de la ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

No son de recibo los argumentos presentados por la investigada, pues ese solo hecho es suficiente para imponer la sanción contemplada en el artículo 23 de la Ley 1581 de 2012.

4. CONSERVACIÓN OBLIGATORIA DE LA AUTORIZACIÓN OTORGADA POR EL TITULAR DE LOS DATOS Al respecto, es importante señalar que, el artículo 15 de la Constitución Política Nacional, establece que “Todas las personas tienen derecho a (…) conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Remata la precitada norma con la siguiente orden constitucional “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. En desarrollo del citado mandato constitucional, el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012 ordena lo siguiente: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En línea con lo anterior, el artículo 8 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) dispone lo siguiente: Prueba de la autorización [sic]. Los Responsables deberán conservar prueba de la autorización [sic] otorgada por los Titulares de datos personales para el Tratamiento de los mismos. No debe olvidarse que al “Responsable del Tratamiento” le corresponde probar que ha cumplido la ley tal y como lo dispone el capítulo VI del citado Decreto 1377 titulado “Responsabilidad demostrada frente al tratamiento [sic] de datos [sic] personales”.

El artículo 26 establece lo que sigue a continuación: Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). RESOLUCIÓN NÚMERO 72788 DE 2021 En suma, el Responsable del Tratamiento tiene la carga probatoria de, entre otras, acreditar la prueba obtenida para tratar los Datos del Titular de la información. El Decreto Único Reglamentario 1074 de 2015 estableció en relación con la Autorización del Titular para el Tratamiento de sus Datos: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

( ) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(Decreto 1377 de 2013, art. 7). Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (Decreto 1377 de 2013, art. 8)” (Énfasis añadido). Por su parte, la Corte Constitucional en la Sentencia C-748 de 2011, se refirió a la Autorización otorgada por el Titular de los Datos así: “De todo lo anterior, puede entonces deducirse: (i) los datos [sic] personales sólo [sic] pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo [sic] podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo [sic] implica el consentimiento previo a la recolección del dato [sic], sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez”.

(Énfasis añadido). Analizados nuevamente todos los documentos se evidenció que la investigada ALMACENES ÉXITO S.A. no contaba con la Autorización legal exigida por parte de la Titular, para tratar sus Datos personales. Y frente a esta solicitud, Almacenes Éxito S.A. contestó mediante escrito 16-033261-11 de 10 de enero de 2017, lo siguiente: RESOLUCIÓN NÚMERO 72788 DE 2021 Así pues, se evidencia que no existe ninguna Autorización por parte de la Titular para el Tratamiento de sus Datos.

RESOLUCIÓN NÚMERO 72788 DE 2021 Frente a lo anterior, para este despacho no son admisibles los argumentos presentados por ALMACENES ÉXITO S.A., pues todos conducen a excusar el incumplimiento de la Ley 1581 de 2012, en la presunta conducta omisiva de conservar la Autorización suscrita por la Titular de los Datos. Sobre este punto en particular, ALMACENES ÉXITO S.A. señaló, “En este caso en particular y como se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares” Esta afirmación no es aceptada por este Despacho, pues, en la resolución objeto de este recurso de apelación se demostró como ALMACENES ÉXITO S.A. suministró a ÉXITO INDUSTRIAS S.A.S. en calidad de Encargada del Tratamiento de los Datos, información de naturaleza NO PÚBLICA de la quejosa, como por ejemplo su correo electrónico, lo anterior sin contar con la Autorización para el Tratamiento de u información, de conformidad con lo establecido en el artículo 9 de la Ley 1581 de 2012.

Lo anterior se deriva de las exigencias y de las cargas probatorias de la Ley 1581 de 2012. Por eso, quien adquiere Datos personales de parte de terceros debe ser muy diligente con miras a establecer si quien le suministra la información cumplió correctamente sus deberes respecto de la regulación de Tratamiento de Datos personales. En otras palabras, se debe realizar un proceso de investigación (debida diligencia - due diligence) con miras a establecer la situación legal y real de lo que desea adquirir con el objetivo de determinar, evaluar y cuantificar las posibles contingencias de una eventual negociación o transacción para el uso de datos personales.

En materia de Datos personales, por ejemplo, una debida diligencia debe establecer, entre otras, lo siguiente: a) La veracidad de la información teniendo en cuenta que ésta debe ser comprobable b) La legitimación sobre el Tratamiento de Datos para determinar si quien los tiene los adquirió lícitamente y qué puede hacer con los mismos o a quiénes puede circularlos o suministrarlos.

Como se observa, la debida diligencia (due diligence) demanda una labor profesional, diligente y exhaustiva que comprende la revisión de todos los documentos y las pruebas de manera que se evidencie un estudio profundo y detallado respecto de la regulación de tratamiento de datos personales para evitar eventuales tratamientos indebidos o ilícitos de datos personales.

5. DIMENSIÓN DEL DAÑO O PELIGRO A LOS INTERESES JURÍDICOS TUTELADOS Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a la compañía Almacenes Exito S.A. y Exito Industrias S.A.S. Las cuales, con lo que aducen en el recurso bajo examen, tratan de restarle RESOLUCIÓN NÚMERO 72788 DE 2021 importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.

Adicionalmente, contrario a lo aludido por las recurrentes, esta superintendencia sí valoró totalmente y en conjunto todos los elementos probatorios, incluidos los allegados por su parte. Los cuales, dicho sea de paso, sirvieron como fundamento para imponer la sanción. Vale la pena recordar lo establecido en la Resolución No. 8345 de 2021 (hojas 12 y 13): En el escrito bajo estudio la recurrente adujo, “Sobre los riesgos que implica para la titular [sic] dicho tratamiento [sic] (ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados).

Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, no simplemente en la afirmación de la ocurrencia de la conducta. RESOLUCIÓN NÚMERO 72788 DE 2021 Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección en procesos adelantados a otras compañías y a Almacenes Éxito, teniendo en cuenta los criterios de graduación establecidos en la normativa sustancial y procesal aplicable en la materia”.

Este Despacho no comparte la postura de la recurrente, ALMACENES ÉXITO S.A. la misma trata de restarle importancia no solo a los Derechos Humanos sino también a las situaciones particulares de personas que se sienten agobiadas o fastidiadas de ser receptoras de comunicaciones comerciales. No se puede tratar de un hecho aislado y omitir el incumplimiento del Régimen General de Protección de Datos Personales.

En todo caso, las investigadas deben tener claro que no pueden desconocer la grave vulneración a los derechos fundamentales de los Titulares de la información. No importa si es solo una persona la que se ve afectada con estas situaciones, los derechos de todos son igual de importantes ante la ley y ante esta autoridad. Como en el pasado se lo ha reiterado este Despacho a la recurrente, es probable que a algunas personas no les moleste ser destinatarios de llamadas publicitarias, pero ello no quiere decir que sea un tema menor o irrelevante para los que están cansados o molestos de recibir ese tipo de comunicaciones.

Por eso, es necesario que los Responsables y Encargados del Tratamiento: a) solo contacten a personas respecto de las cuales posean prueba de la Autorización previa, expresa e informada que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus Datos personales –privados, semiprivados o sensiblespara fines publicitarios o de marketing; b) respeten y garanticen el derecho de supresión de los Datos personales de contacto cuando son utilizados para fines de marketing o prospección comercial, y c) suspendan el uso los Datos para fines publicitarios y comerciales, cuando así lo requiera o solicite el Titular de dichos Datos personales.

Al respecto, la Corte Constitucional se ha referido al “derecho a la tranquilidad” en los siguientes términos: “Ahora bien, uno de los derechos que deben ser garantizados por el Estado, y que ha ido cobrando importancia dentro de la doctrina constitucional, es el derecho a la tranquilidad, inherente a la persona humana, que le permite al individuo desarrollar una vida digna y sosegada.

El derecho a la tranquilidad, lo ha dicho esta Sala, asume el carácter de fundamental por su estrecha relación con la dignidad humana que, necesariamente, conlleva a la paz individual la cual es necesaria para vivir adecuadamente. Sobre el derecho a la tranquilidad, la Corte se ha referido en estos términos: “Es evidente que el ser humano tiende a la tranquilidad en su vida.

Se trata de una tendencia inherente al ser personal, y por ello constituye un bien jurídicamente protegido como fundamental, ya que la dignidad humana conlleva la natural inviolabilidad del sosiego necesario para vivir adecuadamente, y es así cómo la tranquilidad es uno de los derechos inherentes a la persona humana a que se refiere el artículo 94 superior” (Cfr. Corte Constitucional.

Sala Novena de revisión. SentenciaT-028 del 31 de enero de 1994. M.P.: doctor Vladimiro Naranjo Mesa). Como derecho inherente a la persona, el derecho a la tranquilidad debe ser protegido por el Estado de tal forma que permita un ambiente propicio para la convivencia humana, de manera que los individuos puedan realizar sus RESOLUCIÓN NÚMERO 72788 DE 2021 actividades en un ambiente sano y exento de cualquier molestia que tienda a vulnerar la paz y el sosiego.”8 En suma, este Despacho no comparte que la recurrente demerite el derecho que tiene la Titular a su tranquilidad9, y a exigir que sus Datos personales no sigan siendo usados para contactarla con fines comerciales o publicitarios por parte de Almacenes Éxito S.A. ni Éxito Industrias S.A.S.

6. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA DE LOS ELEMENTOS QUE CONFORMAN EL TRATAMIENTO DE DATOS. CARGA DE LA PRUEBA. Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la trasgresión de lo dispuesto en: (i) el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma norma y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Frente a este punto, es importante decir que no es aceptable el argumento de la recurrente en el que deduce que la primera instancia cometió una falta y pasó por alto la valoración concreta y el análisis razonado de la dimensión del daño o peligro que la conducta de las investigadas generó para los derechos de la Titular. De hecho, si se hubiera omitido realizar el análisis anterior, probablemente la decisión de la resolución recurrida no habría sido la imposición de una multa ni de unas órdenes.

La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”10 En correspondencia con lo anterior, este Despacho considera importante resaltar que la recurrente en ningún momento, aportó las pruebas esperadas y suficientes en este tipo de actuaciones.

Lo anterior, a pesar de haber contado con las oportunidades legales para tal fin. 8 Corte Constitucional, Sentencia T-459 de 1998. 9 Sentencia T-343 de 2015 “(…) en la Sentencia T-028 de 1994, la Sala Novena de Revisión reconoció “la tranquilidad como bien jurídico protegido”, afirmando que una vida tranquila hace parte del ámbito de protección del derecho a la vida digna contemplado en el artículo 94 de la Constitución: “Si bien es cierto que la tranquilidad tiene una dimensión subjetiva, indeterminable, y por lo tanto imposible de ser objeto jurídico, también es cierto que existen elementos objetivos para garantizar ese bienestar íntimo de la persona, dada la influencia del entorno sobre el nivel emocional propio.

A nadie se le puede perturbar la estabilidad de su vivencia sin justo título fundado en el bien común. Y esto obedece a una razón jurisprudencial evidente: el orden social justo parte del goce efectivo de la tranquilidad vital de cada uno de los asociados, de suerte que, al no perturbar el derecho ajeno, se logra la común unidad en el bienestar, es decir, la armonía perfeccionante de los individuos que integran la sociedad organizada, bajo el imperio de la ley, en forma de Estado”. 10 Corte Constitucional, Sentencia T-733 de 2013.

RESOLUCIÓN NÚMERO 72788 DE 2021 En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes.” 11; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”12 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”13. 11 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulopruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 12 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 13 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-199800467-01.M.P. Edgardo Villamil Portilla. RESOLUCIÓN NÚMERO 72788 DE 2021 Finalmente, y no menos importante, la regulación colombiana sobre tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medias efectivas para cumplir la ley (Deber de Responsabilidad demostrada). Esto se deriva de lo expresamente señalado en el Decreto 1377 de 201314que ordena lo siguiente: “Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)” (Destacamos y subrayamos). Sobre este punto, en la sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional reiteró lo anterior en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013. El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

(…) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” (…) “el principio de responsabilidad demostrada no se opone a la Constitución sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data.

(…)”. (Destacamos). Así las cosas, es inocultable el actuar de las recurrentes, ALMACENES ÉXITO S.A. y ÉXITO INDUSTRIAS S.A.S., en el sentido de no haber aportado las pruebas que permitieran acreditar el cumplimiento de lo ordenado por la Ley 1581 de 2012 a los Responsables del Tratamiento de Datos, y en general no haber asumido el rol activo que se supone debería tener en esta actuación procesal.

Razones más que suficientes para confirmar las multas y órdenes impuestas.

7. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un 14 Incorporado en el Decreto 1074 de 2015 RESOLUCIÓN NÚMERO 72788 DE 2021 poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”15. Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 2316, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”17 Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 16 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 17 Corte Constitucional.

Sentencia C-748 de 2011. RESOLUCIÓN NÚMERO 72788 DE 2021 En el mismo sentido, y en relación con los principios18 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina19 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta20), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”21. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”22. 18 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 19 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 20 Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 21 Corte Constitucional. Sentencia C-406 de 2004. 22 Corte Constitucional. Sentencia C-1161 de 2000. RESOLUCIÓN NÚMERO 72788 DE 2021 Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por ALMACENES EXITO S.A. y ÉXITO INDUSTRIAS S.A.S. vulneraron el derecho de la Titular a solicitar la supresión de sus Datos; el deber especial como Responsable del Tratamiento, de garantizar al Ttitular en todo tiempo, el pleno y efectivo ejercicio de su Derecho Constitucional de Habeas Data; y el deber de conservar la copia de la Autorización para el Tratamiento de los Datos personales de la Titular.

Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de las recurrentes, que la multa de $145'846.272 (impuesta a ALMACENES ÉXITO S.A.) representa aproximadamente 8,31% y la de $72'923.136 (impuesta a ÉXITO INDUSTRIA S.A.S.) representa a su vez el 4,15% del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

8. APLICACIÓN DE LOS CRITERIOS DE ATENUACIÓN PARA LA GRADUACIÓN DE LA SANCIÓN IMPUESTA. Además de lo referido por la Dirección de Investigación de Protección de Datos Personales, revisado el expediente y el contenido de la resolución recurrida se encuentra que no se aplicaron los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, pues dentro de la actuación no se encontró prueba de lo siguiente: (i) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

RESOLUCIÓN NÚMERO 72788 DE 2021 (ii) (iii) (iv) Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, tal como quedó establecido en la primera instancia se tuvo en cuenta el criterio atenuante consagrado en el literal f) del artículo citado para la compañía ÉXITO INDUSTRIAS S.A.S.: Hoja 17 Resolución No. 8435 de 2021 De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas. En cuanto al hecho superado a que se refiere la recurrente, es importante recordar que, aun cuando la información de la Titular haya sido corregida, actualizada o suprimida, el artículo 21 de la Ley 1581 de 2012, otorga a la Superintendencia de Industria y Comercio funciones especiales en el ejercicio de su actividad de vigilancia. Por lo que, como ya se dijo, al ser un proceso administrativo, las distintas actuaciones que comprende, el orden de continuidad, los tiempos y etapas que en él se establecen, al ser imperativas o disposiciones de orden público, hacen obligatorio su cumplimiento.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos [sic] personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se RESOLUCIÓN NÚMERO 72788 DE 2021 establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, las investigadas y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. No debe perderse de vista que la Ley 1581 de 2012 es de naturaleza estatutaria, cuyo rango legal exclusivo pone de presente la protección especial que tiene el habeas data, la protección de Datos personales o el debido Tratamiento de esa información. Por eso, los Responsables o Encargados del Tratamiento de Datos personales no pueden prescindir de su observancia, o escapar de su cumplimiento.

9. DECISIONES DE LA ADMINISTRACIÓN. PRINCIPIO DE PROPORCIONALIDAD. PROPORCIONALIDAD DE LA SANCIÓN. Sobre este particular, es necesario resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a las investigadas y la impartición de unas órdenes, son el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. Frente a esto, la recurrente considera que la Dirección de Investigación de Protección de Datos no dio aplicación a criterios de graduación que sí tuvo en cuenta en el pasado, y que resultó en una multa menor para un caso similar.

Sobre este particular, es necesario señalar que el monto de las multas impuestas como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley. De tal suerte que, Almacenes Éxito y Éxito Industrias S.A.S. desatendieron/omitieron la solicitud presentada por la Titular, a fin de obtener la eliminación de sus Datos de contacto del banco de Datos de las investigadas.

Y en cambio, además de mantener y tratar los Datos personales de la Titular en contra de su voluntad, siguió recibiendo esas comunicaciones comerciales. RESOLUCIÓN NÚMERO 72788 DE 2021 De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados.

El caso al que se refiere la recurrente no es idéntico, pues la situación particular de los sujetos, hechos y derechos vulnerados, difieren. Y estas circunstancias especiales y particulares son las que dan lugar a determinar el monto de la sanción que se pretende imponer, cuando sea el caso. En estos términos no se acogerán las consideraciones de la recurrente.

Así las cosas, aun cuando la información de la Titular haya sido corregida, actualizada o suprimida, el artículo 21 de la Ley 1581 de 2012, otorga a la Superintendencia de Industria y Comercio funciones especiales en el ejercicio de su actividad de vigilancia. Por lo que, como proceso administrativo que es, las distintas actuaciones que comprende, el orden de continuidad, los tiempos y etapas que en él se establecen, son disposiciones de orden público y de obligatorio cumplimiento.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, las investigadas y en general ninguna persona sin importar su naturaleza, tiene la posibilidad RESOLUCIÓN NÚMERO 72788 DE 2021 de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Se reitera que la implementación de medidas con posterioridad a la vulneración del derecho de habeas data no exoneran de la responsabilidad de cumplir todos y cada uno de los deberes establecidos en la Ley 1581 de 2012, y la multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz.

En segundo lugar, es claro que la resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

En cuarto lugar, es relevante tener presente que ALMACENES ÉXITO S.A., de acuerdo con la información que reportó en el Registro Nacional de Bases de Datos, trata información 29’957.549 de ciudadanos. Y, por su parte ÉXITO INDUSTRIAS S.A.S. de 941 ciudadanos. Lo cual las obliga a ser extremadamente diligentes y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

Adicionalmente, una vez revisada la información relacionada con la compañía Almacenes Éxito S.A. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data: Resolución 44019 de 31 de julio de 2020 Valor de la sanción $ 145’810.665 Motivo Incumplimiento del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma ley y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma norma RESOLUCIÓN NÚMERO 72788 DE 2021 44026 de 25 de junio de 2018 $70’311.780 36863 de 30 de mayo de 2014 $36’960.000 Incumplimiento del literal a) del artículo 17 en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 Incumplimiento de los literales a) y j) del artículo 17 de la Ley 1581 de 2012 Razón adicional y suficiente para no acoger la petición de la recurrente, consistente en revocar la Resolución No. 68369 de 28 de octubre de 2020.

Con base en lo anterior, tampoco tiene asidero el argumento de las recurrentes en el que afirman que se trata de un hecho aislado y no sistemático. Con la imposición de varias multas en el pasado por violaciones al Régimen General de Protección de Datos Personales es importante que evalúen la efectividad del Programa Integral de Protección de Datos Personales que reiteradamente mencionan, pues, es evidente que presenta fallas que lo hacen ineficiente frente a la protección necesaria y especial del Derecho Fundamental de habeas data.

Asimismo, se recuerda que el literal o) del artículo 17 de la Ley 1581 de 2012 y el literal l) del artículo 18 de la misma ley establecen como un deber a cargo del Responsable y Encargado del Tratamiento de la información, cumplir las instrucciones que imparta esta autoridad administrativa. Por lo que, no es válido que las recurrentes aduzcan en el recurso que no se tuvo en cuenta su colaboración durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial como en efecto lo ha hecho en otras investigaciones.

Así, se trata es de una obligación legal no de un acto facultativo ni de buena voluntad a cargo de los sujetos mencionados que debe se retribuido por parte de esta superintendencia. La multa de $145'846.272 representa aproximadamente 8,31% y la de $72'923.136 representa a su vez el 4,15% del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental23 a la protección de Datos24. Finalmente, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie 23 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 24 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. RESOLUCIÓN NÚMERO 72788 DE 2021 ultrajantes para la conciencia de la humanidad”25. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia26.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.

Aunque las razones anteriores son suficientes para confirmar la Resolución No. 68369 de 28 de octubre de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii. Responsabilidad Personal de los Administradores.

10. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos [sic] que contengan información personal o socialmente relevante”27. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2628 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia 25 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 27 Cfr. Corte Constitucional, Sentencia T-227 de 2003. 28 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

RESOLUCIÓN NÚMERO 72788 DE 2021 de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic] ”29.

Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto, deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos30. El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”31.

Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del Dato personal cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada32(accountability)33”. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 29 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 30 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” 31 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”. 32 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 33 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

RESOLUCIÓN NÚMERO 72788 DE 2021 El término “accountability”34, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de Datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza35 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Tatos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 36.

(Énfasis añadido) 34 Cfr. Grupo de trabajo de protección de datos [sic] del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 35 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. 36 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 72788 DE 2021 El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 37, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”38.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 39. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”40. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”41 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos [sic] personales”42.

11. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 38 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 39 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hablecorrectamente-de-compliance-iii/ 40 Idem. 41 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 42 Ibidem.

RESOLUCIÓN NÚMERO 72788 DE 2021 del conjunto de disposiciones mencionadas. En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico.

Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.

Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común”, se refiere a cuestiones relevantes para una sociedad como por ejemplo, la protección de los Derechos Humanos, los cuales, son imprescindibles para que cualquier individuo sea tratado como una persona y no como un objeto.

En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en ese mundo no tiene cabida jurídica la afirmación según la cual el fin justifica los medios.

En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.

Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Ahora, según el artículo 22 de la Ley 222 de 199543 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación 43 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 72788 DE 2021 de la ley.

Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2444 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”. Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto.

Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”45. Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales.

En virtud de lo expuesto, se exhorta a los Representantes Legales de ALMACENES EXITO S.A. Y EXITO INDUSTRIAS S.A.S. para que adopten medidas pertinentes, útiles, efectivas y verificables con el fin de: 1. Respetar y garantizar los derechos de los Titulares de los Datos; 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación; 3.

Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre Tratamiento de Datos personales; 4. Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”46.

Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos personales; 5. Hacer efectivo el pleno respeto del Derecho Fundamental a la Protección de Datos de las personas. 44 Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 45 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 72788 DE 2021 CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de las recurrentes por, entre otras, las siguientes razones: i) Almacenes Éxito S.A. infringió las normas sobre protección de Datos personales consagradas en en literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Y, por su parte Éxito Industrias S.A.S. transgredió lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. ii) Las investigadas no atendieron la solicitud presentada por la Titular de la información en el término legal establecido; tampoco suprimieron oportunamente los Datos del quejoso, e hicieron un Tratamiento de los mismos sin tener la Autorización expresa de la Titular para ese fin; iii) Almacenes Éxito S.A. trata Datos de más de 29’957.549 de ciudadanos, Y, por su parte ÉXITO INDUSTRIAS S.A.S. de 941 ciudadanos. Lo cual las obliga a ser extremadamente diligentes y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos; iv) Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna.

Responder un reclamo extemporáneamente es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos de los Titulares de los Datos personales. v) Al momento de imponer la sanción se realizó el análisis de proporcionalidad y dosificación de la misma.

Así, los criterios señalados en el artículo 24 de la Ley 1581 de 2012, ya fueron tenidos en cuenta al momento del estudio probatorio. vi) Almacenes Éxito S.A. ya había sido sancionada en tres (3) oportunidades, como consecuencia de infracciones cometidas contra el Régimen Colombiano de Protección de Datos personales. vii) La multa de $145'846.272 impuesta a Almacenes Éxito S.A. representa aproximadamente 8,31% y la de $72'923.136 impuesta a Éxito Industrias S.A.S., representa a su vez el 4,15% del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, se concluye que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 68369 de 28 de octubre de 2020.

En mérito de lo expuesto, este Despacho, RESOLUCIÓN NÚMERO 72788 DE 2021

RESUELVE

PRIMERO. Confirmar en todas sus partes la Resolución No. 68369 de 28 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

SEGUNDO. Notificar personalmente el contenido de la presente resolución a ALMACENES EXITO S.A., identificada con el Nit. 890.900.608-9 y a ÉXITO INDUSTRIAS S.A.S., identificada con el Nit. 900.744.408-9 a través de sus representantes legales o sus apoderados o quien haga sus veces, entregándoles copia de la misma e informándoles que contra el presente acto administrativo no procede recurso alguno.

TERCERO. Comunicar el contenido de la presente decisión a la señora identificado con la Cédula de Ciudadanía No. o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

CUARTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., noviembre 11 de 2021 El Superintendente Delegado para la Protección de Datos Personales NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.11.11 15:54:50 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 72788 DE 2021 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Notificación Sociedad: Identificación: Representante legal: Identificación: Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: Comunicación Reclamante Señora: Identificación: Dirección: Ciudad: Correo electrónico: ALMACENES EXITO S.A. Nit. 890.900.608-9 Carlos Mario Giraldo Moreno C.C. 71.590.612 Carrera 48 No. 32B Sur 139 Envigado (Antioquia) njudiciales@grupo-exito.com EXITO INDUSTRIAS S.A.S. Nit. 900.744.408-9 Victor Eric Vivoni Aristizábal C.C. 71.738.621 Cesar Hernando Bernal León 79.710.746 Cra 48 No. 32 sur - 29 Envigado (Antioquia) didetexco@didetexco.com.co Xxx Xxxxxxx Xxxxxx Xxxxxxxxx C.C. xx.xxx.xxx Xxxxxxx XXX Xx.

XXX Xxx - xx Xxxxxxxx (Xxxxxxxxx) xxxxxxxxxxx@xxxxxxx.xxx

Resolución sancionatoria N° 72788 de 2021

CONSIDERANDO

RESUELVE