(18 de septiembre 2023) “Por la cual se resuelve un recurso de apelación” VERSIÓN ÚNICA Radicación 20-327123 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, mediante Resolución No. 64633 del 20 de septiembre de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra de BLUE SUPPLIERS S.A.S. resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BLUE SUPPLIERS S.A.S., identificada con el NIT 900.741.712-1, de CINCO MILLONES TRESCIENTOS VEINTE MIL QUINIENTOS SESENTA PESOS M/CTE ($ 5.320.560), equivalente a CIENTOCUARENTA (140) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el i) literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención y; ii) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.”
SEGUNDO. Lo anterior, en la medida en que la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que BLUE SUPPLIERS S.A.S. incumplió negligentemente las normas contenidas en la Ley 1581 de 2012, pues no atendió la instrucción impartida por la Dirección mediante oficio 19-97742-0, del 29 de abril de 2019, en la cual se le solicitaba de manera inmediata la eliminación del documento cargado erróneamente como “política de tratamiento” en el Registro Nacional de Bases de Datos – RNBD, el cual no cumplía con lo establecido en el Decreto Único 1074 de 2015 en la Sección 3, artículo 2.2.2.25.3.1. y contenía información personal expuesta en el Registro público.
Así mismo, la sociedad no acreditó tener implementada y puesta a disposición de los titulares una política de tratamiento de datos personales de conformidad con el contenido mínimo establecido en la Ley.
TERCERO. Que BLUE SUPPLIERS S.A.S., a través de su representante legal (en adelante el RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 26 del radicado 20-327123 remitido el 10 de octubre de 2022.
CUARTO. Que, mediante Resolución No. 85031 del 30 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 64633 del 20 de septiembre de 2022. La Resolución No. 64633 del 20 de septiembre de 2022 fue notificada personalmente el 26 de septiembre de 2022.
RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación”
QUINTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y las conclusiones respecto al cumplimiento oportuno, presentación y satisfacción de los requisitos del recurso objeto de estudio, así como en lo que concierne a la competencia de esta Superintendencia.
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este despacho confirmará el acto administrativo recurrido conforme a los argumentos que pasan a exponerse: 1. Respecto del deber de los Responsables de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Comienza el RECURRENTE señalando: “Con ocasión de la existencia de la emergencia Sanitaria, fue bastante difícil, acceder rápidamente a los comunicados mediante correo electrónico, ya que la funcionaria encargada del manejo de este asunto se retiró de la compañía en su momento y tomo un tiempo lograr entender cuál fue el procedimiento realizado.
Sin embargo, siguiendo las instrucciones recibidas en comunicados pasados, procedí a hacer la investigación suficiente al respecto, y por comunicación de la SUPERINTENDENCIA en correo de marzo 3 de 2020, de la oficina del DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES, se me envió comunicación informando que la base de datos que ustedes solicitan retirar fue retirada desde marzo 3 de 2020.
Respecto al numeral 5 capítulo décimo quinto de conclusiones, la compañía entendió que al no cumplir con un total de activos de 100.000 UVT en el año 2019, no debe haber cargado la Política de Tratamiento de la Información en el RNBD. A pesar que con el ánimo de cumplir en esos momentos de pandemia se intentó subir una base de datos que luego fue retirada por la misma administración.” Para analizar el caso bajo estudio se debe recordar el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012 que señala lo siguiente: “[c]umplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.
Así mismo, se debe resaltar que una de las funciones establecidas a la Superintendencia es la de emitir las órdenes necesarias para la adecuada administración del Registro Nacional de Bases de Datos – RNBD, de acuerdo a lo señalado en el literal h) del artículo 21 de la Ley 1581 de 2012: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) h) Administrar el Registro Nacional de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento.” Adicionalmente, es menester traer a colación el artículo 25 de la Ley 1581 de 2012, el cual dispone: “ARTÍCULO 25.
DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.
(resaltado fuera del texto) Ahora bien, en el caso en concreto se encuentra que la sociedad recurrente procedió a registrarse en el Registro Nacional de Bases de Datos – RNBD y cargó para algunas de sus bases de datos, como política de tratamiento, un documento que contiene datos personales de titular y que no RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” corresponde a la política ni tiene el contenido mínimo establecido en el artículo 2.2.2.25.3.1. del Decreto Único 1074 de 20152.
Al ser el RNBD el directorio público de las bases de datos sujetas a tratamiento que operan en el país, es de libre consulta para los ciudadanos y, por lo tanto, el documento cargado en varias ocasiones y que contiene datos personales de titulares, quedó expuesto para ser accedido por terceros no autorizados y, en consecuencia, con el fin de proteger los derechos de los titulares, la Dirección procedió a impartir una orden a la sociedad recurrente, mediante oficio No. 19-97742 teniente a que se realizara lo siguiente: “(…) le informamos que de manera inmediata usted debe eliminar el (los) archivo (s) con la (s) base (s) de datos de sus titulares de la información que ha (n) sido cargado (s) de forma errónea en el Registro Nacional de Bases de Datos.
(…)”. El oficio mencionado fue remitido el 29 de abril de 2019 a la dirección electrónica bluesuppliers@hotmail.com, la cual corresponde a la dirección de notificación judicial de la sociedad recurrente y, por lo tanto, de acuerdo con lo ordenado en dicha comunicación la sociedad de manera inmediata debió eliminar del RNBD los archivos erróneos.
Sin embargo, se encuentra que la sociedad no realizó la eliminación. Se debe resaltar que la comunicación enviada a la sociedad no solo ordenaba la eliminación de los archivos, sino que, adicionalmente, señalaba lo siguiente: “De acuerdo con el decreto 090 de 2018, el nuevo ámbito de aplicación para el Registro de Bases de Datos en el RNBD es para aquellos sujetos obligados que tienen activos mayores a 100.000 UVT.
(…) Recuerde que la no obligatoriedad en el RNBD no implica la inobservancia en el cumplimiento de la Ley 1581 de 2012”. (Se subraya fuera de texto) Por lo tanto, es claro que independientemente de si la sociedad tenía o no la obligación de registrar sus bases de datos en el RNBD, en todo caso debía cumplir con los demás deberes y exigencias establecidos en la Ley 1581 de 2012 y, en consecuencia, tenía que cumplir con la instrucción impartida por la Dirección y proceder a efectuar la eliminación de los archivos erróneos, hecho que no ocurrió por lo cual se confirma la negligencia en el cumplimiento del deber sancionado por el Cargo Primero. De otro lado se encuentra que la sociedad recurrente señala que, al investigar sobre la orden impartida, procedió a requerir a la Superintendencia y obtuvo una respuesta en la que se le informaba que la base de datos había sido retirada desde el 3 de marzo de 2020, por lo que indica, no pudo cumplir lo ordenado.
Para sustentar lo expuesto aporta el siguiente documento: 2 “ARTÍCULO 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.
Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cuál serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten cómo Titular. 4.
Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cuál el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.
Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” (Decreto 1377 de 2013, art. 13) RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” En relación con este asunto, es importante aclarar que el documento que se ha presentado corresponde al Acta Administrativa No. 03 emitida por la Dirección de Investigación el 3 de marzo de 2020.
En dicha acta se señala que, debido a que varias sociedades cargaron documentos que contenían información personal en lugar de las políticas de tratamiento de datos, y dado que no cumplieron con la instrucción de eliminar los documentos de manera inmediata el 29 de abril de 2019, le fue necesario a la Dirección proceder directamente a la eliminación de estos archivos con el propósito de prevenir que la información personal fuera accesible por terceros no autorizados.
Por lo anterior, se verifica no solo el incumplimiento de la sociedad respecto a la instrucción emitida por la Dirección, sino que además, la prueba con la que pretende demostrar que no pudo cumplir con la instrucción porque la información fue retirada, confirma la negligencia en la atención de la instrucción impartida, puesto que la negligencia de la sociedad recurrente, al tardar más de diez (10) meses en atender la solicitud que era de carácter inmediato, generó que la Dirección se viera en la necesidad de proceder a retirar la información para proteger los derechos de los titulares.
En consecuencia, se debe resaltar que la obligación de los Responsables del tratamiento de los datos personales es acatar las instrucciones y requerimientos cuando se les solicita, en los tiempos y momentos en que se requiere, pues de ello depende la efectividad y certeza en la protección del derecho fundamental de habeas data, por lo tanto, no tendría sentido alguno que la autoridad requiriera información o impartiera instrucciones, sin que las mismas tuviesen unos tiempos límites para realizar su cumplimiento, esto resultaría en la puesta en peligro y muy probable vulneración del derecho fundamental que se pretenden resguardar.
En consecuencia, es evidente que la demora en el cumplimiento de las instrucciones dadas por la Dirección obstaculiza las funciones y competencias de la Superintendencia como autoridad de protección de datos personales, y pone en peligro los derechos de los titulares, y no existe justificación alguna que le impidiera a la sociedad cumplir con la orden impartida en el término establecido, por lo tanto, no son de recibo los argumentos expuestos por el RECURRENTE. 2.
Respecto del daño o perjuicio a los titulares 3 Imagen tomada del radicado 20-327123-8, página 12, folio
1. RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” De otro lado, la sociedad recurrente señala: “Como la SUPERINTENDENCIA puede observar, BLUE SUPPLIERS S.A.S identificada con NIT. 900.741.712-1, presento la inscripción al RNBD, con el ánimo de cumplir la ley, teniendo desconocimiento del valor de ACTIVOS obligatorios para proceder con esta, hizo un registro demasiado amplio, y originó la solicitud en referencia. Por lo tanto, estando ya eliminados los archivos de la base de datos solicitada, solicito tomar en consideración de nuevo: BLUE SUPPLIERS S.A.S identificada con NIT. 900.741.712-1 no generó daño o perjuicio a los clientes, proveedores, empleados, ni tuvo el ánimo de perjudicar a la institución controladora del sistema de RNBD, en cuanto al uso y sus características del contenido de la información, por ellos me acojo a lo manifestado por la CORTE CONSTITUCIONAL, que dice: “La protección de los derechos de los consumidores, no requiere entonces la existencia de un daño, tampoco la de un perjuicio…” Vistas, así las cosas, solicitamos tener en cuenta la no obligación de BLUE SUPPLIERS S.A.S identificada con NIT. 900.741.712-1 de cargar la política de tratamiento de información en el RNBD para el año 2019, y por tanto solicito el retiro de las 140 UVT que nos imponen como sanción en la resolución del asunto”.
Frente a lo expuesto se encuentra que la RECURRENTE solicita revocar la sanción en la medida en que (i) ya se eliminaron los archivos y, (ii) no se generó daño o perjuicio “a los clientes, proveedores, empleados, ni tuvo el ánimo de perjudicar a la institución controladora del sistema de RNBD”. Se debe resaltar que la eliminación de los archivos se efectuó no por un obrar de la sociedad recurrente, sino por parte de la Dirección, con el objeto de garantizar que no se continuara exponiendo datos personales de los Titulares a través de un medio que está abierto al público, como lo es el Registro Nacional de Bases de Datos – RNBD.
Así mismo, se reitera que la sociedad tardó más de diez (10) meses en atender una instrucción que era de cumplimiento inmediato y, por lo tanto, es claro que la sociedad no tuvo la debida diligencia al atender la instrucción dada y puso en peligro el derecho fundamental de todos los titulares cuyos datos personales obraban en el archivo expuesto.
Ahora bien, respecto al daño o puesta en peligro del interés jurídico tutelado, se debe traer a colación el artículo 22 de la Ley 1581 de 2012, que establece lo siguiente: “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.” (resaltado fuera del texto) Sobre este punto en particular, en la sentencia C-748 del 6 de octubre de 2011, la Honorable Corte Constitucional puntualizó: “El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Conforme a lo anterior, es evidente que es suficiente con desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetas los Responsables del Tratamiento. Por lo anterior es claro que, para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 y, en el caso bajo estudio, se encontró demostrado que la sociedad no atendió una instrucción tendiente a eliminar de manera inmediata el archivo cargado varias veces en el RNBD, que contenía datos personales; así mismo, se evidenció que la sociedad RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” realizaba tratamiento de datos personales en calidad de Responsable y no acreditó tener implementada y puesta a disposición de los titulares una política de tratamiento.
En este sentido, se confirma que era procedente la imposición de la sanción por la puesta en peligro del interés jurídico tutelado y, en consecuencia, el monto de la sanción es proporcional a la vulneración y al incumplimiento de deber en cita, por lo tanto, la sanción impuesta es justificada, dada la negligencia y falta de diligencia por parte del RECURRENTE en el cumplimiento de sus deberes y responsabilidades.
De igual manera, se aclara que la finalidad de la sanción pecuniaria va encaminada a que las empresas y organizaciones reconozcan la importancia de dar cumplimiento a las órdenes que se les imparten y los requerimientos que se realizan, ya que es a través de estas que se puede garantizar la efectiva protección y cumplimiento de las disposiciones que protegen del derecho fundamental del habeas data.
Por lo expuesto, no se encuentra procedente acceder a lo solicitado por el RECURRENTE. 3. Respecto del artículo 640 del Estatuto Tributario Finalmente, la sociedad recurrente solicita: “Retirar el artículo 1 del resuelve de la resolución en cuanto a la sanción, y en caso de no aprobación solicito se me aplique una reducción a la sanción de las contenidas en el Art. 640 del ET.” Frente a lo señalado, este Despacho resalta que de acuerdo con lo expuesto en el presente acto administrativo y en la medida en que se confirmó la negligencia en el cumplimiento de los deberes sancionados, no se encuentra procedente revocar la sanción impuesta.
De otro lado, respecto a la solicitud de reducción de la sanción de acuerdo a lo establecido en el artículo 640 del ET, se debe aclarar que el Estatuto Tributario es el conjunto de normas que se ajustan a todo tipo de aspectos formales para el recaudo de tributos e impuestos en Colombia y, en el caso bajo estudio, nos encontramos en una actuación administrativa sancionatoria que, de modo alguno, tiene que ver con los impuestos que administra la Dirección General de Impuestos Nacionales.
En este sentido, se aclara que, en lo que respecta al ejercicio facultad sancionatoria, esta se lleva a cabo conforme al principio de legalidad, lo que significa que las normas aplicables para tal efecto son aquellas que la ley determina para la materia en concreto. Por lo anterior, en lo que atañe al caso, los criterios para calcular o dosificar el monto de la sanción, cuando quiera que se trasgreden las obligaciones establecidas en el catálogo de la ley 1581 de 2012, son los del artículo 24 de la norma en cita, donde se establecen los criterios del daño o puesta en peligro a los intereses jurídicos tutelados, el beneficio económico, la reincidencia, la resistencia, negativa u obstrucción a la acción investigadora, la renuencia o desacato y, por último, el reconocimiento y aceptación expresos.
Tales criterios, son los únicos aplicables cuando quiera que se presenten las infracciones a la norma en mención, de modo que, contrario a lo que manifiesta la sociedad recurrente, los criterios del artículo 640 del ET, no son aplicables. No obstante lo anterior, y con el fin de aclarar la adecuada aplicación de los criterios de graduación de las sanciones es importante resaltar lo señalado en el artículo 24 de la Ley 1581 de 2012: “Artículo 24.
Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” Frente a estos criterios la Corte Constitucional, en la Sentencia C-748 de 2011, precisó que los primeros cinco criterios señalados en la norma en cita, constituyen agravantes, en tanto que el sexto es el único criterio de atenuación de la responsabilidad, así: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (resaltado fuera del texto) Ahora bien, de los criterios previamente señalados la Dirección solo encontró demostrada la aplicación del criterio establecido en el literal a), es decir, la ocurrencia del daño o puesta en peligro de los intereses jurídicos tutelados y, respecto de los otros criterios, al no encontrarlos aplicables, no se tomaron en cuenta para calcular el monto de la sanción. Finalmente, es preciso destacar que, para determinar el monto de la sanción, la Dirección consideró diversos factores, como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, la duración de la misma en el tiempo, los deberes incumplidos y la negligencia de la investigada.
Por lo tanto, se evidencia que todo esto se ha evaluado en congruencia con los principios de proporcionalidad y razonabilidad, asegurando que la sanción resulte disuasoria pero no confiscatoria. Por último, resulta pertinente resaltar lo siguiente: I. La multa impuesta a BLUE SUPPLIERS S.A.S. ($5.320.560), corresponde al 0,27 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
II. El monto de dicha sanción es el resultado del análisis y del daño y/o puesta en peligro de los intereses jurídicos tutelados por la violación a las disposiciones de la Ley 1581 de 2012 a los Responsables del Tratamiento. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data y en particular de los mandatos legales señalados. IV. Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales.
V. Según la Declaración Universal de los Derechos Humanos4, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto a éstos es un elemento esencial de la democracia5. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
Por último se aclara que las sanciones no pueden ni deben tratarse como una cuestión insignificante, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio la puesta en peligro de los derechos humanos, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas. 4.
Conclusiones Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” • El RECURRENTE no atendió la instrucción de eliminación efectuada por la autoridad el 29 de abril de 2019 y, a pesar de realizar tratamiento en calidad de Responsable, no acreditó contar con una politica de tratamiento. • Independientemente de si la sociedad tenía la obligación de registrar sus bases de datos en el RNBD o no, debía en todo caso, cumplir con los demás deberes y exigencias establecidos en la Ley 1581 de 2012, en consecuencia, debía cumplir con la instrucción impartida por la Dirección. • El Acta Administrativa No. 03 emitida por la Dirección de Investigación el 3 de marzo de 2020 se profirió debido a que varias sociedades cargaron documentos que contenían información personal en lugar de las políticas de tratamiento de datos, y dado que no cumplieron con la instrucción de eliminar los documentos de manera inmediata, el 29 de abril de 2019, le fue necesario a la Dirección proceder directamente a la eliminación de estos archivos con el propósito de prevenir que la información personal fuera accesible por terceros no autorizados. • La instrucción emitida por la Dirección mediante radicado 19-97742 del 29 de abril de 2019, era de cumplimiento inmediato y transcurridos más de diez (10) meses, al no evidenciarse la eliminación de los archivos solicitados, la Dirección procedió el 3 de marzo de 2020 a retirar la información del RNBD. • Los criterios de dosificación de sanciones establecidos en el artículo 640 del Estatuto Tributario no son aplicables a una investigación administrativa de carácter sancionatorio iniciada por la autoridad de Protección de Datos Personales, por lo tanto, conforme al principio de legalidad, los criterios de graduación de la sanción aplicables son los establecidos en La Ley 1581 de 2012 en su artículo 24 de la Ley 1581. • La multa impuesta a BLUE SUPPLIERS S.A.S. ($5.320.560), corresponde al 0,27 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 64633 del 20 de septiembre de 2022, de conformidad con lo establecido en el presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a sociedad BLUE SUPPLIERS S.A.S., identificada con NIT. 900.741.712-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,18 de septiembre 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.09.18 16:18:42 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ RESOLUCIÓN NÚMERO 55242 DE 2023 “Por la cual se resuelve un recurso de apelación” AVJ NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: BLUE SUPPLIERS S.A.S. NIT. 900.741.712-1 Hernan Enrique Vanoy Vasco C.C. No. 80.036.109 Km 1 Siberia – Cota Centro Empresarial Robles 4 Costado Oriente Bodega 7 Cota, Cundinamarca blue-suppliers@hotmail.com