(30 de diciembre de 2024) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 22-183535 VERSIÓN ÚNICA LA DIRECTORA DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante Resolución N°. 21200 del 29 de abril de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7 de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden DIEZ MIL NOVENTA Y DOS (10092) Unidades de Valor Básico – UVB, equivalentes a CIENTO DIEZ MILLONES QUINIENTOS DIECISIETE MIL CUATROCIENTOS NOVENTA Y DOS PESOS M/CTE ($110.517.492), por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
(…)
ARTÍCULO 2: ORDENAR a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, cumplir con las siguientes instrucciones: • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá implementar un mecanismo para dar respuesta dentro del término legal establecido en la Ley 1581 de 2012 a las solicitudes de revocatoria de la autorización de los Titulares de información. • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá eliminar cualquier información sobre quejosa y sobre aquellos Titulares de quienes no tenga autorización para la recolección, uso, almacenamiento y circulación de sus datos personales (…)”1 SEGUNDO: Que conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicación 22-183535-22 del 30 de abril de 2024, la Resolución N° 21200 del 29 de abril de 2024 se le notificó a la sociedad investigada de forma electrónica el mismo 29 de abril del 2024.
TERCERO: Que, por intermedio de su apoderado, la recurrente, dentro del término oportuno concedido para el efecto, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°. 21200 del 29 de abril de 1 Radicado 22-183535-17, págs. 21 y 22 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2024, a través de correo electrónico del 15 de mayo de 2024 bajo radicado 22183535-23, mediante el cual manifiesta lo siguiente: 3.1.
En primer lugar, recordó los hechos y antecedentes procesales de esta actuación administrativa. 3.2. Posteriormente, la recurrente expone su inconformidad con la sanción al expresar que la multa impuesta es excesiva, en tanto, a su juicio, esta Dirección tuvo en cuenta el régimen sancionatorio establecido en la Ley 1480 de 2011, mencionando que el monto de la sanción se basa en el criterio de daño a los consumidores según el numeral 1 del parágrafo 1 del artículo 61 del Estatuto del Consumidor.
Por ello, alega que se desconocieron atenuantes como la disposición de colaborar con las autoridades (numeral 6) y la diligencia del investigado respecto a la atención de los deberes (numeral 8)2. 3.3. Aunado a lo anterior, alega que en el acto administrativo recurrido se tuvo en cuenta únicamente el literal f) del artículo 24 de la Ley 1581 de 2012.
Al respecto, considera que existen otros atenuantes “concurrentes” que no fueron considerados, como el literal a) y b) del mismo artículo. Sobre dichos literales3, señala que: - Frente al literal a), lo considera un atenuante en tanto el incidente ocurrido únicamente involucró a un titular y que los datos en cuestión no eran sensibles, lo que, a su entender, es un elemento clave para reducir el daño a los intereses jurídicos tutelados en la norma. - Frente al literal b), señala que no se reportó beneficio económico alguno, situación que también debería ser considerada como atenuante. 3.4.
Por otro lado, indica, frente al procedimiento de inclusión de un dato en la llamada “Do Not Contact List”, que este se llevó a cabo para evitar contactos futuros con la Titular. Señala que dicho procedimiento constituye un paso previo a la eliminación de datos y que el hecho de tener los datos en esta lista no constituye tratamiento alguno en los términos de la Ley 1581 de 2012.
Así, alega que “la inclusión en la referida lista no tiene que constituir un hecho que se tenga como demostrativo de una falta de cumplimiento de parte de Mac Center de la obligación de hacer la supresión del dato de la titular”4 3.5. Frente a la garantía de los derechos de los Titulares, alega haber implementado procedimientos adecuados para garantizar el ejercicio de los derechos de estos, y resalta que el incidente se dio como resultado del error en el sistema de CRM, lo cual impidió la eliminación de los datos. 3.6.
Finalmente, alega tener razones que ameritan la reducción del monto sancionatorio. Para ello, alega contar con buenas prácticas y medidas correctivas frente a la protección de datos personales, así como el hecho de que hubo una dimensión limitada del daño y ausencia de beneficio económico. Alega también que la sanción debe ser proporcional a la naturaleza e impacto del incumplimiento y que ha tomado medidas para reparar el daño. 3.7.
Finalmente, solicita que se revoque la Resolución N°. 21200 del 29 de abril de 2024 o que se reduzca la sanción impuesta a Mac Center Colombia S.A.S. 2 Radicado 22-183535-23, pág. 5, folio 3 3 Radicado 22-183535-23, pág. 5, folio 4 4 Radicado 22-183535-23, pág. 5, folio 5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo CPACA) de la siguiente manera: “Artículo 74. Recursos contra los actos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1.
El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…) Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…) Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)”5 QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso de reposición y en subsidio de apelación recibido para el caso en concreto, por cuanto: 5.1 El recurso fue interpuesto por MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA dentro del término legal previsto en el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a que la Resolución N°. 21200 del 29 de abril de 2024 se le notificó de forma electrónica el 29 de abril de 2024, conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicación 22-183535-22 del 30 de abril de 2024, y posteriormente, su apoderado interpuso recurso de reposición a Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” través de correo electrónico del 15 de mayo de 2024 con radicación 22183535-23. 5.2 En dicho escrito, se señalan con precisión las razones de inconformidad en contra de la Resolución N°. 21200 del 29 de abril de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas”, las cuales se resumieron en el NUMERAL TERCERO de este escrito. 5.3 Si bien la investigada tenía la facultad de aportar o solicitar pruebas con la impugnación, esta no lo hizo.
No obstante, este requisito previsto por la Ley es facultativo, y no aportarlo, no impide que dicho recurso no sea estudiado de fondo. 5.4 Finalmente, en el recurso se señalan con claridad los datos de identificación de la recurrente, así como las de su apoderado y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión. Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos.
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por el recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los siguientes aspectos, a saber: i) Frente al régimen aplicable; (ii) Frente a los criterios de graduación de las sanciones;
(iii) Frente a las llamadas listas negras; (iv) Frente a la garantía de los derechos de los Titulares y (v) Frente a las pretensiones. 7.1. Frente al régimen aplicable La recurrente alega que la multa impuesta es excesiva, en tanto, a su juicio, esta Dirección tuvo en cuenta el régimen sancionatorio establecido en la Ley 1480 de 2011, mencionando que el monto de la sanción se basa en el criterio de daño a los consumidores según el numeral 1 del parágrafo 1 del artículo 61 del Estatuto del Consumidor.
Por ello, alega que se desconocieron atenuantes como la disposición de colaborar con las autoridades (numeral 6) y la diligencia del investigado respecto a la atención de los deberes (numeral 8)6. En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. Inicialmente, este Despacho debe recordarle a la recurrente que sus facultades de actuación se circunscriben a lo dispuesto en el artículo 19 de la Ley 1581 de 2012 y en el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022.
Así las cosas, según el artículo 7 del Decreto 092 del 2022, las facultades de ley otorgadas a este Despacho son las de garantizar que los Responsables y Encargados del Tratamiento de Datos Personales den cumplimiento a “los principios y las obligaciones establecidas, en la Ley Estatutaria 1581 de 2012, 6 Radicado 22-183535-23, pág. 5, folio 3 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” sus decretos reglamentarios y demás normas que los complementen, modifiquen, adicionen o sustituyan7”.
Por ello, no entiende este Despacho porque la recurrente pretende que se aplique una ley diferente de la Ley 1581 del 2012, cuando esta última no puede ser empleada para imponer una sanción, máxime cuando es de conocimiento de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, desde los inicios de la actuación administrativa, que la competencia de este Despacho ciñe a la vigilancia y control de la actuaciones de los Responsables del Tratamiento bajo el marco normativo de la Ley 1581 del 2012.
Así, no son de aceptados los argumentos de la recurrente y no se modificara el contenido de la Resolución N°. 21200 del 29 de abril de 2024. 7.2 Frente a los criterios de graduación de las sanciones En este acápite, y como consecuencia del numeral anterior, la recurrente menciona que en el acto administrativo recurrido se tuvo en cuenta únicamente el literal f) del artículo 24 de la Ley 1581 de 2012.
Al respecto, considera que existen otros atenuantes “concurrentes” que no fueron considerados, como el literal a) y b) del mismo artículo. Sobre dichos literales8, señala que: - Frente al literal a), considera que este es un atenuante en tanto el incidente ocurrido únicamente involucró a un titular y que los datos en cuestión no eran sensibles, lo que, a su entender, es un elemento clave para reducir el daño a los intereses jurídicos tutelados en la norma. - Frente al literal b), señala que no se reportó beneficio económico alguno, situación que también debería ser considerada como atenuante.
En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. Sobre la aplicación de los criterios de graduación consagrados en la Ley 1581 de 2012, este Despacho se sirve recordarle a la recurrente que, de conformidad con la Corte Constitucional en sentencia C 748 del 2011, se determinó que los criterios contenidos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 son criterios agravantes de la sanción y que el literal f) se entiende como causal de disminución de la sanción, en otras palabras, como un atenuante; tal y como se desprende del siguiente apartado jurisprudencial: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución. (…)” 9 (Negrillas fuera del texto original) Así las cosas, se ha entendido que únicamente ante la concurrencia de tales criterios agravantes junto con el análisis del daño o peligro a los intereses 7 Artículo 7 del Decreto 092 del 2022 8 Radicado 22-183535-23, pág. 5, folio 4 Cfr. Corte Constitucional, sentencia C 748 del 2011, M.P.: Jorge Ignacio Pretelt Chaljub.
Considerando 2.23.3 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” jurídicos tutelados en la norma, se hará más gravosa la sanción a imponer; mas no, como pretende hacer ver la recurrente, ante la ausencia de estos, se proceda a reducir el valor de la sanción. Por lo tanto, no es de recibo el argumento de que los criterios de agravación no fueron tenidos en cuenta al momento de la graduación de la sanción, ya que la adopción de la decisión se realizó con base en los criterios aplicables a la investigación, y que en todo caso el criterio único de atenuación fue aplicado debido al reconocimiento expreso de la infracción, como fue explicado en la resolución recurrida.
Ahora, sobre la dimensión del daño, es decir el literal a) del artículo 24 de la Ley 1581 del 2012, este Despacho entra a pronunciarse en el siguiente sentido: En primer lugar, el monto de la multa impuesta a la investigada/recurrente, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de esta actuación administrativa.
De tal suerte que, MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA al haber tratado datos de contacto de la Titular, quien ante el envío constante de publicidad ejerció su derecho de habeas data, no ejecutó las acciones pertinentes, adecuadas y suficientes para eliminar los datos de esta dentro del plazo de ley y que, una vez migrado su sistema de “CRM EMBLUE” a “CRM INFOBIP”, no se cercioró que los datos de la Titular no fuesen “activados” y por ello puestos en circulación, lo único que consiguió fue que la Titular presentara queja ante esta Superintendencia. Así las cosas, con base en las facultades legales mencionadas en el numeral anterior, se adelantó la investigación administrativa del caso para que se le protegiera a la Titular su derecho fundamental al habeas data y, por consiguiente, luego de una exhaustiva valoración probatoria, se profiriera la sanción que ahora es objeto de estudio.
De lo anotado se colige que las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador y de los supuestos fácticos y jurídicos planteados en la queja o denuncia del Titular, así como de las posibles causales de agravación o atenuación encontradas, por lo que las afirmaciones de la recurrente no son de recibo por este Despacho.
Finalmente, la vulneración del derecho de habeas data no solo afecta a la Titular, también pone en riesgo los derechos de toda la sociedad por la vulneración normativa. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales, por lo cual, el argumento de que “el incidente ocurrido únicamente involucró a un titular y que los datos en cuestión no eran sensibles, lo que, a su entender, es un elemento clave para reducir el daño a los intereses jurídicos tutelados en la norma”, no resulta de recibo para este Despacho.
Por otro lado, recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” originado actos de barbarie ultrajantes para la conciencia de la humanidad”10. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia11. Así las cosas, recalcamos, la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. En cuanto a la proporcionalidad de la sanción12, la recurrente expone que la sanción debe ser proporcional a la naturaleza e impacto del incumplimiento y que ha tomado medidas para reparar el daño. En primer lugar, es claro que la Resolución N°. 21200 del 29 de abril de 2024 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 313 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA.
De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En segundo lugar, la ley ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012; sanciones que derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refiere a la responsabilidad civil del Responsable del Tratamiento de Datos.
Así, en las actuaciones que adelanta esta entidad se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental14 a la protección de datos15.
Finalmente, la sanción se ajusta a la realidad, toda vez que la Ley 1581 del 2012 determinó que el rango para imponer la multa de carácter pecuniario es de un mínimo de 1 salario mínimo legal mensual vigente y un máximo de dos mil (2.000) salarios mínimos mensuales legales vigentes. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios 10 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. 11 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 12 Recurso de reposición y en subsidio de apelación, consecutivo 22-183535-23, pág. 5, folio 5 13 ARTÍCULO 3o. PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.
Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. (…) 14 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 15 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda. Así las cosas, la multa impuesta a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA fue de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES, lo cual porcentualmente corresponde al 4.35% del rango previsto por la Ley 1581 de 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada.
Finalmente, este Despacho le recuerda a la recurrente que la normatividad aplicable, como ley especial, es la Ley 1581 del 2012 y como norma de procedimiento, en lo no reglado en la norma especial, el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Así, no son de aceptados los argumentos de la recurrente y no se modificará el contenido de la Resolución N°. 21200 del 29 de abril de 2024. 7.3.
Frente al almacenamiento en bases de datos para no contacto. La recurrente indica que, frente al procedimiento de inclusión de un dato en la llamada “Do Not Contact List”, este se llevó a cabo para evitar contactos futuros con la Titular. Señala que dicho procedimiento constituye un paso previo a la eliminación de datos y que el hecho de tener los datos en esta lista no constituye tratamiento alguno en los términos de la Ley 1581 de 2012.
Así, alega que “la inclusión en la referida lista no tiene que constituir un hecho que se tenga como demostrativo de una falta de cumplimiento de parte de Mac Center de la obligación de hacer la supresión del dato de la titular”16 En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. En primer lugar, resulta relevante retomar lo señalado en la Resolución N°. 21200 del 29 de abril de 2024, en el sentido de reiterar lo señalado en el punto de las listas negras, así: “(…) la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA incorporó el día 10 de mayo de 2021 en su “Do Not Contact List” el número de celular personal XXXXXXXXX y el correo electrónico xxxxxxxxxxxxxxx@gmail.com, en una especie de “lista negra” –para no volver a contactar a la Titular” Por todo lo anterior, riñe lo alegado por la investigada con la necesidad del cumplimiento legal en la medida en que se pretenda dar por 16 Radicado 22-183535-23, pág. 5, folio 5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” cumplido el cargo endilgado cuando es evidente que sigue haciendo tratamiento de los datos de la quejosa, cuando incorporó los mismos a su base de datos de no contactar a Titulares.
Sobre esta cuestión, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA no aportó prueba a partir de la cual se pueda determinar que contaba con la autorización o mandato legal para conservar los datos de Titulares que han solicitado la revocatoria de su autorización ” Al respecto, se le recuerda y aclara a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA que la Ley 1581 de 2012 trae una definición muy clara de tratamiento de datos personales, la cual consiste en tratarse de “[c]ualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.
Por ello la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA al mantener los datos de la quejosa en una lista negra de no contactos sigue haciendo tratamiento de ellos, al conservarlos en un fichero propio; situación que se enmarca en el verbo rector “almacenar”. De esta manera, quedo evidenciado que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA al poseer una base de datos con información de los Titulares que no pueden ser contactados, sigue haciendo tratamiento de los datos personales y por tal motivo sigue sometido a los deberes y principios de la Ley 1581 de 2012 y por tal motivo desconoció el derecho del titular al solicitar el cese del tratamiento y la supresión del mismo.
Así las cosas, es evidente que, el hecho de mantener los datos de los Titulares en una lista para no contactarles en el futuro implica una violación de sus derecho de habeas data por no acatar la solicitud de eliminación de sus datos de los ficheros de la sociedad y un incumplimiento del deber legal por parte de la sociedad recurrente. Así, no son de aceptados los argumentos de la recurrente y no se modificará el contenido de la Resolución N°. 21200 del 29 de abril de 2024. 7.4.
Frente a la garantía de los derechos de los Titulares En este punto, la recurrente alega haber implementado procedimientos adecuados para garantizar el ejercicio de los derechos de los Titulares, y resalta que el incidente se dio como resultado del error en el sistema, lo cual impidió la eliminación de los datos. En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente.
Como quedo demostrado en la resolución recurrida, “la Titular tuvo que solicitar un total de doce (12) veces la revocatoria de su autorización para el tratamiento de sus datos personales por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, situación que se presentó entre el 18 de octubre del 2019 hasta el 10 de mayo del 2021, por lo que cerca de un año y seis meses los datos de la señora XXXXXXX XXXXXXX XXX XXX XXXXXX seguían siendo tratados por la investigada.
Además, considerando que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA aún mantiene los datos “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de la quejosa en una lista negra para evitar contactos con ella, implica que aun realiza tratamiento de dichos datos”17 Por esta razón, resulta de difícil comprensión y aceptación el argumento según el cual la sociedad recurrente pretenda acreditar en esta etapa de la actuación administrativa que ha implementado procedimientos para garantizar los derechos de los Titulares, máxime cuando este Despacho determinó que la sociedad debía implementar las siguientes medidas: “NOVENO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir las siguiente instrucciones: • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá implementar un mecanismo para dar respuesta dentro del término legal establecido en la Ley 1581 de 2012 a las solicitudes de revocatoria de la autorización de los Titulares de información. • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá eliminar cualquier información sobre la quejosa y sobre aquellos Titulares de quienes no tenga autorización para la recolección, uso, almacenamiento y circulación de sus datos personales” En este punto, este Despacho se permite citar lo conceptuado en la Resolución N°. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, el cual prevé lo siguiente: “Responsabilidad de los administradores en materia de tratamiento de datos personales.
El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.
La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. 17 Resolución N°. 21200 del 29 de abril de 2024, folio 16 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora bien, según el artículo 22 de la ley 222 de 1995 18 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.
Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” 19 (subrayamos) (…) Nótese que el artículo 2420 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”21.
En este sentido es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales. 18 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 19 Crf.
Numeral 2 del artículo 23 de la ley 222 de 1995 20 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:
ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.
De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.
Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos. 21 Crf.
Parte inicial del artículo 24 de la ley 222 de 1995 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En este sentido, las órdenes dictadas obedecen a lo evidenciado en el acervo probatorio, las consecuencias para la Titular en el sentido de que la misma tuvo que ejercer su derecho un total de doce (12) veces y esperar entre el 18 de octubre del 2019 hasta el 10 de mayo del 2021 a que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA procediera a eliminar sus datos personales.
Sin embargo, esta supuesta eliminación por parte de la recurrente tampoco fue efectiva, pues como fue reiterado en esta resolución, así como en la resolución recurrida, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, al CONSERVAR los datos de la Titular en una lista negra, sigue realizando tratamiento sobre los mismos.
Así, no son de aceptados los argumentos de la recurrente y no se modificará el contenido de la Resolución N°. 21200 del 29 de abril de 2024. 7.5. Frente a las pretensiones Frente a las pretensiones o solicitudes alegadas por la recurrente, este Despacho encuentra lo siguiente: De acuerdo con todo lo mencionado y explicado en el presente acto administrativo, esta Dirección NO revocará o modificará la Resolución N°. 21200 del 29 de abril de 2024 y, en consecuencia, NO ordenará el archivo de la actuación. En su lugar, confirmará la decisión adoptada mediante el presente acto administrativo.
Finalmente, frente a la última pretensión de la recurrente, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la recurrente y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales de esta Superintendencia.
OCTAVO: CONCLUSIONES 8.1. En primer lugar, quedó evidenciado que este Despacho actúa conforme a las facultades legales de actuación, las cuales se circunscriben a lo dispuesto en el artículo 19 de la Ley 1581 de 2012 y en el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, por lo cual no puede emplear norma especial distinta de la Ley Estatutaria 1581 de 2012 para realizar sus funciones de vigilancia y control. 8.2.
En segundo lugar, quedó claro que la sanción se impuso de acuerdo con los criterios aplicables a la investigación, por lo que el monto de la multa impuesta a la recurrente es el resultado del análisis del daño a la Titular, así como la puesta en peligro de los intereses jurídicos tutelados dispuestos en la Ley 1581 del 2012 en el trámite de esta actuación administrativa.
Además, la multa no resulta desproporcionada en la medida en que la actuación administrativa se desarrolló siguiendo la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA, y en todo caso, la multa corresponde a un total del 4.35% del rango previsto por la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 8.3. En tercera instancia, quedó claro que en la medida en que la recurrente posee una base de datos de no contacto con datos de los Titulares de información que han ejercido sus derechos supone una violación de la Ley 1581 de 2012 al continuar realizando tratamiento de datos pese a la voluntad de los titulares. 8.4.
En cuarto lugar, quedó claro que la recurrente no ha implementado procedimientos adecuados para garantizar el ejercicio de los derechos de los Titulares, puesto que las circunstancias de hecho y de derecho que rodearon este caso pusieron en evidencia que la Titular tuvo que ejercer su derecho de habeas data un total de doce (12) veces y esperar entre el 18 de octubre del 2019 hasta el 10 de mayo del 2021 antes de que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA procediera a eliminar sus datos personales; situación que, a la postre, no se ha materializado puesto que los datos de la Titular están en una lista negra de propiedad de la recurrente.
NOVENO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución N°. 21200 del 29 de abril de 2024.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, con el correo electrónico de notificación judicial contabilidad1@mac-center.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-183535.
La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: CONFIRMAR en todas sus partes la Resolución N°. 21200 del 29 de abril de 2024, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, a través de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” su apoderado y representante legal, entregándoles copia de esta, advirtiéndole que contra la presente decisión no procede recurso alguno.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede alterna: Carrera 7 N° 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 de diciembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.12.30 15:00:16 -05'00' CAROLINA GARCÍA MOLINA Proyectó: SR Revisó: AC Aprobó: CG NOTIFICACIÓN: Sociedad: MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA Identificación: Nit. 900.311.581-7 Representante Legal: María Juliana Rengifo Murillo Identificación: C.C. N.º 40.990.455 Dirección: Avenida Carrera 19 # 146-81 Ciudad: Bogotá D.C. Correo electrónico: contabilidad1@mac-center.com Apoderado: JUAN CARLOS TORRES IBARRA Identificación: 73.167.160 T.P.: 99.849 del C.S. de la J Dirección: Calle 69 N.º 4 - 48 Oficina 401 Correo electrónico: jctorres@buriticaabogados.com Ciudad: Bogotá D.C.