Resolución sancionatoria N° 52598 de 2020

(31 AGOSTO 2020) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 18-329620 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011,

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 58043 del 29 de octubre del 2019, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la empresa WINNER GROUP S.A., identificada con el Nit. 830.037.843-3, de OCHENTA Y SEIS MILLONES CIENTO VEINTICUATRO MIL SESENTA Y CUATRO PESOS M/CTE ($86.124.064), equivalente a CIENTO OCHO (108) salarios mínimos legales mensuales vigentes, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

SEGUNDO: Que, mediante escrito radicado el 20 de noviembre de 2019, a través de apoderada especial, la sociedad WINNER GROUP S.A. interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución N°. 58043 del 29 de octubre del 2019, con los siguientes argumentos: 2.1. Realiza un recuento de los antecedentes que llevaron a esta Dirección a expedir la Resolución en cuestión y expresa que sus argumentos se enmarcan dentro de las siguientes variables, así: (i) el consentimiento inequívoco del Titular;

(ii) carga probatoria en el proceso administrativo sancionatorio; (iii) régimen de protección de datos personales no exige al responsable incluir en la autorización del tratamiento, los derechos que le asisten en el tratamiento de sus datos; (iv) criterios de graduación y desproporcionalidad de la sanción; y (v) “órdenes” impartidas al representante legal de la sociedad. 2.2.

Frente a su primer argumento, relaciona los supuestos jurídicos2 desarrollados por el Decreto 1377 de 2013 sobre las formas de obtener la autorización para el tratamiento de los datos personales y por la jurisprudencia de la Corte Constitucional en cuanto a los requisitos de que la autorización debe ser previa, expresa e informada. A continuación, señala que el Titular diligenció boletas con sus datos personales, con el objetivo de inscribirse en sorteos realizados por Winner Group, y agrega que “(…) [e]sta situación, es una clara muestra del estado de consciencia presente en el Titular sobre el hecho de entregar sus datos personales en un casino (…)”3, reitera el texto del formulario de inscripción de la sociedad Winner Group y afirma que “(…) Winner Group no cuenta con copia de la autorización expresa, previa e informada otorgada a Winner Group por el Titular a través de las mencionadas boletas”4 por haber acatado la solicitud de supresión de los datos del Titular. 1 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, páginas 1 a 18 2 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 5 3 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 6 4 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 2, Insiste en que no resulta procedente sostener que la sociedad recolecta datos de sus clientes “(…) sin que la autorización sea expresa, puesto que los datos personales de los clientes si se recolectan de manera previa, expresa e informada y que procedió conforme al literal c) del artículo 18 de la Ley 1581 de 2012 a realizar la supresión de los datos personales del señor Delgado, así que no puede partir de la base que 3 meses después de haber acatado el procedimiento legal, la Superintendencia de Industria y Comercio solicite copia de la misma, porque hubiese una violación a las normas de protección de datos haberla conservado si ya mediaba solicitud de supresión sobre ella (…)”5.

Agrega que no es procedente que se imponga una sanción a la sociedad recurrente en la medida en que dio cumplimiento al literal a) del artículo 17 de la Ley 1581 de 2012. Reclama nuevamente que el Titular ejecutó distintas conductas inequívocas que tenían, según su dicho, como propósito participar en distintos sorteos desarrollados por la sociedad y que el Titular fue consciente del tratamiento al que sometía sus datos personales.

Así, considera que las actuaciones del Titular deben ser entendidas como conductas inequívocas que permiten establecer que el Titular consintió el tratamiento de sus datos personales 6. Recalca que el Titular entrego su autorización para el tratamiento de sus datos personales, mediante dichas conductas inequívocas al haber ingresado doce (12) veces a uno de los establecimientos de comercio de la recurrente.

Finaliza su argumentación del cargo primero aduciendo que esta Dirección debe dar cumplimiento con lo dispuesto en el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015 en el sentido de validar las conductas inequívocas que consintieron el tratamiento de los datos personales del Titular. 2.3. En cuanto a la carga de la prueba, menciona que esta Superintendencia tenía el deber de desvirtuar la existencia de conductas inequívocas y que, en el caso concreto, “no logró desvirtuar esta situación”7.

Aduce que esta entidad mencionó que el Titular manifestó no haber entregado alguna autorización y que la recurrente enunció que las actuaciones tuvieron la naturaleza de tácitas “lo cual constituye un error de redacción”8, alegando que los argumentos desplegados por esta entidad no son suficientes para desvirtuar la existencia de dichas conductas.

A continuación, en torno a la carga dinámica de la prueba argumenta que la misma no es aplicable a este caso en la medida en que “(…) es un deber de la Dirección demostrar los supuestos fácticos en los que fundamenta su sanción (…)”9 y que no se logró demostrar los fundamentos de la sanción a lo largo del proceso. Posteriormente, hace un análisis jurisprudencial de la figura jurídica de la inversión de la carga de la prueba para afirmar que “(…) no se admite que la Dirección afirme que no se ha demostrado que Winner Group haya dado cumplimiento a una norma y que (…) la Dirección debe demostrar efectivamente el incumplimiento de esa norma”10. 2.4.

Frente al cargo segundo, afirma que esta Dirección no analizó en debida forma la comunicación de las finalidades y derechos de los Titulares. Sostiene que obtuvo la autorización por parte del Titular a través de formato físico diligenciado y mediante conductas inequívocas y que las finalidades del tratamiento y los derechos del Titular “deben ser analizadas a través de la naturaleza del consentimiento que subsiste en este momento”11.

Sostiene que esta Dirección debió analizar las políticas de tratamiento de datos personales de la recurrente dispuestas en la página web: www.winnergroup.com/ en donde la sociedad 5 Ibídem 6 Ibid. 5 7 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 9 8 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 10 9 Ibídem 10 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 11 11 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 12 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 3, en cuestión comunica los derechos y finalidades que recaen sobre el tratamiento de los datos personales y agrega que es “inadecuado que la Dirección trate de encontrar la comunicación de las finalidades en un consentimiento que ha sido obtenido a través de actuaciones inequívocas.12” Señala que no se le puede exigir que las finalidades del tratamiento de los datos personales de los Titulares se encuentren en las conductas inequívocas, por tanto, tal requerimiento no se encuentra plasmado en la ley, agregando que se debe verificar la comunicación de las finalidades a través de otro medio legal como es la Política de Tratamiento de Datos Personales.

Sostiene que esta Dirección está aplicando de forma inadecuada la norma en cuestión, ya que, según su dicho, no se le puede exigir al responsable informar en la autorización los derechos que le asisten a los Titulares. Finalmente, contrario a lo sostenido, asegura que la sociedad sí le informó al Titular sobre los derechos que le asistían en el tratamiento de sus datos personales y las finalidades que recaían en el tratamiento de sus datos personales. 2.5.

Sobre la procedencia de los criterios de graduación y la desproporcionalidad de la sanción, la recurrente afirma que no se realizó una evaluación de todos los criterios de graduación, pues sostiene que esta Dirección ignoró otras situaciones que daban mérito suficiente a la graduación de la multa13. Frente a la aplicación de los criterios consagrados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012, asegura que no le parece correcto ni coherente que esta Dirección no haya aplicado los criterios consagrados en el régimen general de protección de datos y que, por ende, haya decidido no disminuir la multa que impuso en contra de la sociedad recurrente.

Sostiene que esta Dirección no considero si era procedente disminuir el valor de la sanción y por ello aduce que lo procedente “(…) hubiese sido que, en consecuencia, hubiese impuesto una sanción menor en consideración de los reconocimientos que la misma Autoridad realizó pero que al final de cuentas no aplicó (…)” 14 (Negrilla y subrayado en el texto original) Sobre la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012, considera que la dimensión del daño resulta bastante reducida si se tiene en cuenta que las infracciones se predican de la relación con uno de estos Titulares, y que tal situación no fue tenida en cuenta por esta Dirección en la tasación de la multa15.

Al respecto, sostiene que, de mantenerse esta postura, se estaría afirmando que, ante cualquier infracción cometida por un Responsable a la hora de atender los requerimientos de cada Titular, se estaría exponiendo a una sanción de ese calibre, lo que califica de desproporcionado e indiferente frente al número total de Titulares de los cuales administra información. En dicho sentido, señala que se “(…) pide que (…) [se] imponga una sanción inferior (…) atendiendo a la dimensión reducida de la conducta y al bajo impacto que pudo haber generado frente a los Titulares”16.

En cuanto a la proporcionalidad de la sanción17, expone que el principio de proporcionalidad rige en todas las actuaciones de la administración pública y que, según el Consejo de Estado, el mismo sirve como sustento y justificación de las actuaciones de la administración y como herramienta trascendental para efectos del control judicial del respectivo acto. 12 Ibídem 13 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 13 14 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 14 15 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 15 16 Ibídem 17 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 16 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 4, Así, sostiene que se han debido observar los artículos 42 y 44 del Código Contencioso Administrativo (sic) motivando la resolución que imponga la sanción incluyendo razones objetivas y claras por las cuales se considera que el monto de la multa es proporcional a la conducta.

Al respecto, trae a colación una sentencia del Consejo de Estado, así como un pronunciamiento del Tribunal Supremo Español y finaliza aduciendo que en la Resolución ahora recurrida no se evidenció la valoración de los fines de la Ley, ni la proporcionalidad de la sanción a los hechos que sirvieron de fundamento. Por ello, considera que se genera una causal de nulidad del acto administrativo. 2.6.

Finalmente, considera que, a través del exhorto realizado al representante legal de la sociedad, se le impartieron órdenes a la sociedad y solicita que se le aclare la forma de dar cumplimiento a las mismas18. 2.7. Por último, solicita el archivo de la presente actuación administrativa y subsidiariamente, se conceda el recurso de apelación.

TERCERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

CUARTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por la recurrente se encuentra que los mismos se concretan en los siguientes aspectos, a saber: (i) el consentimiento inequívoco del Titular;

(ii) carga probatoria en el proceso administrativo sancionatorio; (iii) régimen de protección de datos personales no exige al responsable incluir en la autorización del tratamiento, los derechos que le asisten en el tratamiento de sus datos; (iv) criterios de graduación y desproporcionalidad de la sanción; (v) órdenes impartidas al representante legal de la sociedad y (vi) sobre las pretensiones. 4.1.

Frente al consentimiento inequívoco del Titular La recurrente relaciona los supuestos jurídicos 19 desarrollados por el Decreto 1377 de 2013 sobre las formas de obtener la autorización para el tratamiento de los datos personales y la jurisprudencia de la Corte Constitucional en cuanto a los requisitos de que la autorización debe ser previa, expresa e informada, y se apoya en dos conceptos emitidos por esta entidad respecto de tales aspectos.

A continuación, señala que el Titular diligenció boletas con sus datos personales, con el objetivo de inscribirse a sorteos por Winner Group, y agrega que “(…) [e]sta situación, es una clara muestra del estado de consciencia presente en el Titular sobre el hecho de entregar sus datos personales en un casino (…)”20, reitera el texto de su formulario de inscripción y afirma que “(…) Winner Group no cuenta con copia de la autorización expresa, previa e informada otorgada a Winner Group por el Titular a través de las mencionadas boletas (…)”21 por haber acatado la solicitud de supresión de los datos del Titular.

Insiste en que no resulta procedente sostener que la sociedad recolecta datos de sus clientes “(…) sin que la autorización sea expresa, puesto que los datos personales de los clientes si se recolectan de manera previa, expresa e informada y que procedió conforme al literal c) del artículo 18 de la Ley 1581 de 2012 a realizar la supresión de los datos personales del señor Delgado, así que no puede partir de la base que 3 meses después de haber acatado el procedimiento legal, la 18 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, páginas 17 19 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 5 20 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 6 21 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 HOJA N 5, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” a las normas de protección de datos haberla conservado si ya mediaba solicitud de supresión sobre ella (…)”22.

Agrega que no es procedente que se imponga una sanción a la sociedad recurrente en la medida en que dio cumplimiento al literal a del artículo 17 de la Ley 1581 de 2012. Reclama nuevamente que el Titular ejecutó distintas conductas inequívocas que tenían, según su dicho, como propósito participar en distintos sorteos desarrollados por la sociedad y que el Titular fue consciente del tratamiento al que sometía sus datos personales.

Así, considera que las actuaciones del Titular deben ser entendidas como conductas inequívocas que permiten establecer que el Titular consintió el tratamiento de sus datos personales23. Recalca en que el Titular entrego su autorización para el tratamiento de sus datos personales, mediante dichas conductas inequívocas al haber entrado doce (12) veces a una de las sedes comerciales de la recurrente.

Finaliza su argumentación del cargo primero aduciendo que esta Dirección debe dar cumplimiento con lo dispuesto en el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015 en el sentido de validar las conductas inequívocas que consintieron el tratamiento de los datos personales del Titular. En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente.

En este punto, resulta pertinente traer a colación la definición de Responsable del Tratamiento acorde con la Ley 1581 de 2012 y el pronunciamiento de la Corte Constitucional al respecto a efectos de poner de presente la conducta que deben desempeñar estos actores en cuanto al tratamiento de datos se refiere. El literal e) del artículo 3 de la Ley 1581 de 2012 define al Responsable del Tratamiento de la siguiente manera: “Artículo 3°.

Definiciones. Para los efectos de la presente ley, se entiende por: (…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; (…)” Esta norma fue declarada exequible mediante Resolución C 748 del 2011 en el siguiente entendido: “(…) el concepto de ‘decidir sobre el tratamiento’ empleado por el literal e) parece coincidir con la posibilidad de definir-jurídica y materialmente- los fines y medios del tratamiento”24.

Esto significa, entonces, que es Responsable del Tratamiento la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, determine – de hecho, o de derecho – los fines del tratamiento y los medios para alcanzarlos Adicionalmente, la Corte Constitucional en la sentencia reseñada realizó la siguiente consideración entorno a los fines y medios del tratamiento, así: “El responsable del tratamiento es aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario y los deberes que se le adscriben responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

El responsable del tratamiento es quien debe 22 Ibídem 23 Ibid. 221 24 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 6, solicitar y conservar la autorización en la que conste el consentimiento expreso del titular para el tratamiento de sus datos, así como informar con claridad la finalidad del mismo” 25.

De igual manera, indicó que los Responsables del Tratamiento tienen mayores compromisos y deberes frente al Titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, y afirma que “(…) Estos deberes en cabeza del responsable y del encargado del tratamiento, permiten garantizar, prima facie, el ámbito de protección del derecho de habeas data”26.

De acuerdo con lo expuesto, los Responsables, como lo señaló la Corte Constitucional, ostentan un mayor grado de compromiso y por lo tanto mayores deberes para efectos de garantizar el cumplimiento efectivo del derecho fundamental de habeas data de los titulares de información. Esta característica de tener un mayor grado de compromiso en el cumplimiento de los deberes de los que trata el régimen general de protección de datos implica necesariamente que a los Responsables del Tratamiento se les exija una mayor rigurosidad y responsabilidad en la garantía de este derecho fundamental reglado por la Ley 1581 de 2012.

Así las cosas, partiendo del hecho de que la sociedad recurrente actúa en calidad de Responsable del Tratamiento, puesto que la misma define los fines y medios para realizar el tratamiento de los datos personales de los titulares, le son exigibles el cumplimiento estricto de los deberes que señala el artículo 17 de la Ley 1581 de 2012; deberes dentro de los cuales se encuentra el consagrado en el literal b) del mencionado artículo, así: “b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular” al igual que el deber, según el literal c) del mencionado artículo, de “Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

Teniendo claro lo anterior, se tiene que la recurrente asegura que el Titular diligenció boletas con sus datos personales, con el objetivo de inscribirse a sorteos por Winner Group, y agrega que “(…) [e]sta situación, es una clara muestra del estado de consciencia presente en el Titular sobre el hecho de entregar sus datos personales en un casino (…)”27.

A continuación, reitera el texto de su formulario de inscripción y afirma que “(…) Winner Group no cuenta con copia de la autorización expresa, previa e informada otorgada a Winner Group por el Titular a través de las mencionadas boletas (…)”28 por haber acatado la solicitud de supresión de los datos del Titular En primer lugar y respecto de tales afirmaciones, este Despacho se sirve recordarle a la recurrente que, atendiendo al principio de la responsabilidad demostrada, un asunto es que se busque evitar el tratamiento de la información por parte de la sociedad, mientras que otro asunto distinto es que el Responsable se escude en una eliminación de información y con ello alegue que no hubo incumplimiento del deber legal que ostenta; deberes que, se reitera, consisten en “b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular” y en “Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

Así las cosas, no es de recibo el argumento de la recurrente, máxime si se considera que, si la sociedad recurrente efectuó algún tipo un tratamiento de datos personales de cualquier Titular, la misma siempre deberá conservar copia de dicha autorización y exhibir la prueba de esta cuando la misma es solicitada, ya que dicha conducta se entendería como un cumplimiento al deber que ostenta como Responsable del Tratamiento.

Pues tal y como se ha mencionado, el deber no solo se trata de solicitar el consentimiento, pues la misma ley le ordena conservar la autorización, es decir que, si la sociedad eliminó los datos del titular, debió percatarse en no suprimir la autorización, pues no le bastaría la eliminación para probar que contó con el consentimiento, porque para eso se le exige conservar y custodiar la prueba del mismo.

Lo anterior, en la medida en que siempre que le sea requerido la sociedad recurrente tendrá que probar que, cuando uso los datos de algún titular, la sociedad los trato en cumplimiento estricto de los deberes legales que le sean aplicables. 25 Ibidem 26 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

Considerando 2.17.3. Constitucionalidad de los artículos 17 y 18 27 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 6 28 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 7, Por otro lado, se le recuerda a la recurrente que quedó demostrado que la sociedad WINNER GROUP no contaba con la autorización para realizar el tratamiento de los datos personales del Titular, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX; hecho que quedó probado de acuerdo con las pruebas obrantes en el expediente.

De esta manera, esta Dirección encuentra pertinente recordarle a la recurrente que la autorización para el tratamiento de datos personales, de acuerdo con la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015, se perfecciona con la debida y adecuada recolección de la autorización de los titulares en estricto cumplimiento de los requisitos impuestos por la legislación y la jurisprudencia. Ahora, sobre la insistencia de la recurrente de que no resulta procedente sostener que la sociedad recolecta datos de sus clientes “sin que la autorización sea expresa, puesto que los datos personales de los clientes si se recolectan de manera previa, expresa e informada y que procedió conforme al literal c) del artículo 18 de la Ley 1581 de 2012 a realizar la supresión de los datos personales del señor Delgado, así que no puede partir de la base que 3 meses después de haber acatado el procedimiento legal, la Superintendencia de Industria y Comercio solicite copia de la misma, porque hubiese una violación a las normas de protección de datos haberla conservado si ya mediaba solicitud de supresión sobre ella”29, este Despacho se sirve reiterarle lo señalado en la Resolución ahora recurrida en el siguiente sentido: “(…) Sobre esta afirmación, este Despacho le recuerda a la investigada que el procedimiento alegado por ella no es predicable del Responsable del Tratamiento de los Datos Personales, ya que el artículo 18 consagra los deberes de los Encargados del Tratamiento; calidad que para el presente caso no se configura, ya que la gestión que realiza la sociedad no obedece a una delegación por parte de otra sociedad.

Por el contrario, la actuación de la sociedad WINNER GROUP S.A. es en calidad de Responsable del Tratamiento, ya que ésta decide directamente sobre la base de datos y/o el Tratamiento de los datos de los Titulares (…)”30. En este sentido, no puede la recurrente alegar que procedió conforme a lo señalado en el literal c) del artículo 18 de la Ley 1581 de 2012, por cuanto la misma no es Encargada del Tratamiento, como quiere hacer creer al Despacho, sino que precisamente esta actúa en calidad de Responsable del Tratamiento de la información. Así las cosas, se le hace la claridad de que el artículo 18 de la ley contempla los deberes de los Encargados del Tratamiento.

Por lo tanto, este Despacho se sirve hacer la claridad una vez mas de que se trata de dos deberes diferentes y con alcances independientes y que en este caso particular, se debe insistir en que la recurrente siempre debe conservar la copia de la autorización previa, expresa e informada de todos los titulares de información. De igual manera, la recurrente también insiste en que el Titular ejecutó distintas conductas inequívocas que tenían, según su dicho, como propósito participar en distintos sorteos desarrollados por la sociedad y que éste fue consciente del Tratamiento al que sometía sus datos personales.

Así, considera que las actuaciones del Titular deben ser entendidas como conductas inequívocas que permiten establecer que hubo consentimiento para el tratamiento de sus datos personales31. Así, la recurrente recalca que el Titular entregó su autorización para el tratamiento de sus datos personales, mediante dichas conductas inequívocas al haber entrado en doce (12) veces a uno de sus establecimientos comerciales.

En tercer lugar, sobre este punto, este Despacho considera pertinente volver a enfatizar sobre los argumentos desarrollados respecto a las conductas inequívocas en la Resolución recurrida en el siguiente sentido: 29 Ibídem 30 Resolución recurrida, página 9 31 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 8, “(…) En este punto, vale la pena mencionar que existen tres modos de obtener el consentimiento de los Titulares, el cual, de acuerdo al artículo 2.2.2.25.2.4 del Decreto Único Reglamentario, puede ser obtenido (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. Dichos modos deben cumplir con el presupuesto de legitimidad constitucional mencionado; es decir, el consentimiento debe ser previo, expreso e informado.

Al respecto, este Alto Tribunal en sentencia C 748 del 2011 especifico que: “El consentimiento del Titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con los expuesto frente al “principio de libertad”, en el manejo de los datos no podrá existir una autorización tácita.” (Subrayado fuera del texto original) Así las cosas y contrario a lo sostenido por la investigada, el Titular haya participado en 12 sorteos, entre el periodo de enero del 2018 a febrero del 2019, no puede considerarse como una conducta inequívoca, ya que dicha conducta, en manera alguna, refleja que el Titular haya dado su autorización previa, expresa e informada para el tratamiento de sus datos personales, ya que: (i) El Titular niega haber entregado alguna autorización a la sociedad WINNER GROUP S.A, (ii) El hecho de la investigada tuviera alojada información de contacto del Titular en su base de datos sin que mediara su consentimiento legítimo, implica necesariamente una vulneración al derecho fundamental al habeas data del Titular y (iii) La Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015 no prevé que haya autorizaciones tácitas, sino precisamente estas deben ser expresas para que el consentimiento otorgado sea legítimo.

Lo anterior, ya que según lo manifestado por la Corte Constitucional en sentencia ut supra, la autorización que se pretende obtener no cumple con el elemento de ser previa, esto es, que la autorización del Titular debe ser suministrada en una etapa anterior a la incorporación del dato en la base de datos de la sociedad. En virtud de ello, el análisis de los demás requisitos no puede ser realizado toda vez que incumple la investigada con una característica principal y elemental de la autorización. (…)”32 Adicional a lo anterior, este Despacho considera pertinente hacer claridad sobre las alegadas conductas concluyentes en este caso, así: En primer lugar, es preciso indicar que el hecho de que cualquier titular que haya participado en un sorteo en las instalaciones de uno de los casinos de la sociedad recurrente no implica que haya dado una autorización para el tratamiento de sus datos personales y, ciertamente, dicha participación tampoco puede ser asumida como una conducta concluyente para que se le envíen mensajes de texto, o para que le llegue publicidad de otra actividad diferente, como sucedió en el caso concreto.

De esta manera, advierte este Despacho que la conducta inequívoca prevista en la norma para efecto del otorgamiento de la autorización, no solo debe traer consigo la voluntad de la persona, pues la norma indica que dicha conducta debe concluir de forma razonable que el titular otorgó la autorización, es decir, que dicha autorización debe en todo caso cumplir con los requisitos impuestos por la Ley 1581 de 2012, que al tenor de su artículo 9 establece que “(…) en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”, Por ende, aunque el consentimiento puede ser obtenido a partir de una conducta inequívoca, debe en todo caso cumplirse con dichos requisitos, esto es, que la persona tenga la plena certeza del para qué está 32 Resolución recurrida, página 9 HOJA N 9, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” suministrando su información, del cómo va ser usada, y que el cumplimiento de dichos requisitos puedan ser demostrados en una eventual consulta posterior.

Ahora bien, en el caso que nos ocupa, considera esta Dirección que en ningún momento puede deducirse que los titulares, aunque de forma voluntaria entreguen sus datos personales, y que, al entregarlos para el desarrollo de una actividad, la investigada crea que tiene la potestad de tratar los datos para infinidad de propósitos distintos. Además, estos requisitos deben ser probados y demostrados por la recurrente mediante pruebas conducentes, ya que independientemente de que la autorización haya sido por dicha conducta concluyente, se deben tener los medios habilitados para efectuar una consulta posterior (ejemplo un archivo muerto, una base de datos con todos los titulares que alguna vez dieron su autorización, etc.), puesto que la prueba de dicha autorización no puede ser solo la mera afirmación de la investigada, sino que debe haber algún material probatorio que sustente dicho cumplimiento.

Así las cosas, dado que los argumentos de la recurrente no son suficientes para demostrar el cumplimiento del literal b) del artículo 17 de la Ley 1581 de 2012, este Despacho confirma la sanción impuesta por el cargo primero de la Resolución ahora recurrida. 4.2 Frente a la carga probatoria en el proceso administrativo sancionatorio En cuanto a la carga de la prueba, menciona que esta Superintendencia tenía el deber de desvirtuar la existencia de conductas inequívocas y que, en el caso concreto, no logró desvirtuar esta situación. Aduce que esta entidad mencionó que el Titular manifestó no haber entregado alguna autorización y que la recurrente enunció que las actuaciones tuvieron la naturaleza de tácitas “lo cual constituye un error de redacción”33, alegando que los argumentos desplegados por esta entidad no son suficientes para desvirtuar la existencia de dichas conductas.

A continuación, hace una explicación de la figura jurídica de la inversión de la carga de la prueba para afirmar que “(…) no se admite que la Dirección afirme que no se ha demostrado que Winner Group haya dado cumplimiento a una norma y que (…) la Dirección debe demostrar efectivamente el incumplimiento de esa norma”34. Finalmente, en torno a la carga dinámica de la prueba argumenta que la misma no es aplicable a este caso en la medida en que “(…) es un deber de la Dirección demostrar los supuestos fácticos en los que fundamenta su sanción (…)”35 y que no se logró demostrar los fundamentos de la sanción a lo largo del proceso.

En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. De manera inicial, este Despacho se sirve recordarle a la recurrente que en los procesos administrativos sancionatorios se está ante una investigación amparada en la facultad sancionatoria del Estado36, consagrada en el artículo 209 de la Constitución Política de 1991, en el cual busca garantizar el orden público, más específicamente, garantizar el adecuado cumplimiento del Régimen General de Protección de Datos Personales dispuesto en la Ley 1581 de 2012.

La facultad sancionatoria de vigilancia y control que ejerce esta entidad fue explicada por la Corte Constitucional en sentencia C 703 del 201037, en la cual determinó que: “(…) 33 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 10 34 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 11 35 Ibídem 36 Artículo 209.

La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones. Las autoridades administrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado.

La administración pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley. 37 Cfr. Sentencia C 703 del 2010, M.P.: Gabriel Eduardo Mendoza Martelo “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, En cuanto hace a la administración, la filiación de su potestad sancionadora se suele situar en la función de policía que pretende asegurar el orden público y en el poder de policía que, con la finalidad de garantizar el orden público, permite regular el ejercicio de las libertades individuales e imponer sanciones orientadas al cumplimiento de las medidas de policía38.

En cualquier caso, el fundamento de la potestad sancionadora de la administración actualmente se encuentra en una pluralidad de disposiciones constitucionales que van desde el señalamiento de los fines del Estado, contemplados en el artículo 2º, hasta el establecimiento, en el artículo 209, de los principios que guían la función administrativa y, señaladamente, el de eficacia, pasando por el artículo 29 superior que, al estatuir la aplicación del debido proceso “a toda clase de actuaciones judiciales y administrativas”, reconoce, de modo implícito, que la administración está facultada para imponer sanciones.

(…)” A partir de la facultad sancionatoria que otorga el artículo 1939 de la Ley 1581 de 2012 y según el anterior apartado jurisprudencial de dicho Tribunal, este Despacho se encarga de verificar si la conducta desplegada por la recurrente fue o no violatoria de la Ley 1581 de 2012 a efectos de garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

Frente a los argumentos de la recurrente sobre la carga probatoria, este Despacho se sirve hacer claridad sobre la actuación de la recurrente como Responsable del Tratamiento: La Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Así las cosas, la Ley 1581 de 2012 y sus decretos reglamentarios están dispuestos para proteger el derecho fundamental de habeas data con el que cuenta todo Titular y garantizar que los Responsables del Tratamiento cumplan a cabalidad los deberes que recaen sobre ellos sin tener que recurrir a razonamientos complejos, ya que debería ser de fácil entendimiento que los deberes de ley son de obligatoria observancia para garantizar la protección de este derecho fundamental.

En esta medida, este Despacho se sirve recordarle a la recurrente que existen varios tipos normativos en el ordenamiento jurídico colombiano, las cuales se clasifican en: (i) las normas de orden público; (ii) las normas imperativas, (iii) las normas prohibitivas y (iv) las normas facultativas. 38 Cfr. Sentencia C-506 de 2002, M.P.: Marco Gerardo Monroy Cabra 39 Artículo 19.

Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. Parágrafo 1°. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la Superintendencia de Industria y Comercio un despacho de Superintendente Delegado para ejercer las funciones de Autoridad de Protección de Datos.

Parágrafo 2°. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, En línea con esta clasificación, la jurisprudencia y la doctrina han definido estas normas, así: (i) Para la Corte Suprema de Justicia, amparada en la doctrina, ha definido las normas de orden público así “las leyes imperativas en el derecho privado, las cuales no pueden ser desconocidas o derogadas por convenciones entre particulares (…) Estas leyes imperativas o de orden público tienen validez permanente y se oponen a las meramente supletivas o interpretativas de la voluntad de las partes que sólo rigen a falta de estipulaciones de los contratantes que modifican sus previsiones40”;

(ii) Por su parte, para la Corte Constitucional las normas imperativas son aquellas que se imponen sin posibilidad de pacto o decisión en contra pues sus efectos deben producirse con independencia del querer de las personas41; (iii) Por otro lado, la Sala de Consulta y Servicio Civil del Consejo de Estado 42 reitero y compilo reiterada jurisprudencia constitucional, contencioso-administrativa y de la Corte Suprema de Justicia en relación con los mandatos legales de contenido prohibitivo, así: “No está de más recordar que las prohibiciones, en tanto limitan la libertad y los derechos de las personas, son de origen constitucional y legal; la tipificación de sus causas, vigencia, naturaleza y efectos es rígida y taxativa; y su aplicación es restrictiva, de manera que excluye la analogía legis o iuris y la interpretación extensiva.

Las normas legales de contenido prohibitivo hacen parte de un conjunto de disposiciones que integran un régimen jurídico imperativo y de orden público, razón por la cual no son disponibles ni pueden ser derogadas, modificadas, ampliadas o adicionadas por acuerdo o convenio o acto unilateral. La jurisprudencia de la Corte Constitucional y del Consejo de Estado, coinciden en que las normas que establecen prohibiciones deben estar de manera explícita en la Constitución o en la ley y no podrán ser excesivas ni desproporcionadas.

No pueden interpretarse extensivamente sino siempre en forma restrictiva o estricta; es decir, en la aplicación de las normas prohibitivas, el interprete solamente habrá de tener en cuenta lo que en ellas expresamente se menciona y, por tanto, no le es permitido ampliar el natural y obvio alcance de los supuestos que contemplan, pues como entrañan una limitación -así fuere justificada- a la libertad de actuar o capacidad de obrar, sobrepasar sus precisos términos comporta el desconocimiento de la voluntad del legislador.

Así, en esta materia cobra importancia la regla de hermenéutica consagrada en el artículo 31 del Código Civil, según la cual, “[l]o favorable u odioso de una disposición no se tomará en cuenta para ampliar o restringir su interpretación. La extensión que deba darse a toda ley se determinará por su genuino sentido, y según las reglas de interpretación…” (“favorabilia sunt amplianda, odiosa sunt restringenda”); y de ahí la proscripción de las interpretaciones extensivas de las normas prohibitivas, tal y como lo precisó la Corte Suprema de Justicia, al señalar que “[e]n la interpretación de las leyes prohibitivas no deben buscarse analogías o razones para hacerlas extensivas a casos no comprendidos claramente en la prohibición. En consecuencia, la interpretación y aplicación restrictiva es una regla que rige tratándose de normas prohibitivas, dado que consagran limitaciones al ejercicio de un derecho o de competencias señaladas en la ley, criterio hermenéutico que responde al principio de taxatividad, de acuerdo con el cual solo operan las prohibiciones que en forma precisa establece el legislador.”” (iv) Finalmente, las normas de carácter facultativo han sido definidas por la jurisprudencia constitucional como aquellas que se aplican al caso concreto, cuando no existe o se evidencia “falta de legislación positiva”43; es decir, cuando no hay legislación directa 40 HOLGUÌN HOLGUÍN, Carlos.

La noción de orden público en el campo internacional, en: Revista de la Academia Colombiana de Jurisprudencia. Bogotá, núm. 290-29 (agosto de 1990 a febrero de 1991), p. 9 y ss. En Corte Suprema de Justicia - SC877-2018 Radicación No. 11001-02-03000-2017-00080-00 23 de marzo de 2018. MP. Ariel Salazar Ramírez 41 Cfr. Corte Constitucional, sentencia T-597/95.

M.P.: José Gregorio Hernández Galindo 42Sala de Consulta y Servicio Civil del Consejo de Estado. Rad. No. 11001-03-06-000-2013-00407-00, de fecha veinticuatro (24) de julio de dos mil trece (2013). C.P.: Álvaro Namén Vargas https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=64963 43 Cfr. Corte Constitucional, Sentencia C-083/95, de fecha primero (1o.) de marzo de mil novecientos noventa y cinco (1995).

M.P.: Carlos Gaviria Diaz “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, aplicable al caso, se usan las normas de carácter supletivo por medio de la analogía para dar solución especifica al caso. De tal claridad es lo anterior que a los actores a los que concierne la ley objeto de estudio se les exige el cumplimiento de unos deberes o reglas especiales de acuerdo con sus calidades; deberes que, por ser de obligatorio cumplimiento, no son facultades que puedan dejar de cumplirse, precisamente por tratarse de un derecho fundamental.

Así las cosas, al no ser la Ley 1581 de 2012 una de carácter facultativo, el Responsable no puede dejar de cumplir con los deberes a los que se encuentra obligada por la decisión de la misma entidad de obligarse a tal cumplimiento cuando esta decidió ser Responsable del Tratamiento. Por estas razones, y teniendo en cuenta el principio de legalidad44 establecido en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA, se le recuerda a la recurrente que esta Dirección observó con debida diligencia el cumplimiento de los deberes establecidos en la Ley 1581 de 2012 para aplicar la sanción. Por eso, las actuaciones y decisiones proferidas se rigen siempre por dicho principio y por la veracidad en sus actuaciones aunado a que en las resoluciones expedidas siempre se tienen en cuenta los descargos, pruebas y alegatos de la investigada.

De esta forma se reitera que, en la solicitud de explicaciones con radicado 18-329620-5-1- de fecha 1 de abril del 2019, este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó a la sociedad investigada que informara si contaba con la autorización previa, expresa e informada del señor XXXXXXXXXXXXXX, y que, de ser así, remitiera copia de esta.

Frente a dicho requerimiento, la investigada a través de comunicación con radicado 18-329620-61- de fecha 25 de abril del 2019 se limitó a contestar lo siguiente: “a raíz del derecho de petición enviado a través de Coljuegos el día 13 de febrero de 2019 por el señor XXXXX, en la que solicita la supresión de [sus datos personales], la sociedad WINNER GROUP S.A. acató la misma y procedió a eliminar todos los datos personales del señor XXXXXX (…) donde fueran utilizados los datos con fines publicitarios ”.

Así las cosas, la sociedad recurrente, al eliminar la autorización del quejoso de su base de datos, falló en acreditar el cumplimiento del deber de conservar la copia de la autorización firmada por el titular; máxime cuando la misma reconoce que “no cuenta con copia de la autorización expresa, previa e informada otorgada a Winner Group por el Titular”45.

De esta forma, la recurrente falla en su deber de demostrar y acreditar ante la autoridad competente el cumplimiento del deber al cual se encuentra obligada; situación que debía presentarse en el expediente máxime cuando en el artículo 9 de la Ley 1581 de 2012 se establece lo siguiente: “ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” (Negrilla fuera del texto original) 44 CPACA, Artículo 3 PRINCIPIOS.

Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.

En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem. 45 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, Así las cosas, haciendo una interpretación sistemática del artículo 9 con el literal b) del artículo 17, es claro que la recurrente debía conservar la copia de la autorización del titular de tal manera que la misma pudiese ser objeto de consulta posterior para efectos de demostrar el cumplimiento de dicho deber.

Por otro lado, frente al deber de finalidad, el literal c) del artículo 17 de la Ley 1581 de 2012 es claro en señalar que el Responsable del Tratamiento debe “Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”; razón por la cual esta Dirección encontró que la recurrente no aportó prueba alguna de que la misma le hubiera informado al Titular la finalidad del tratamiento de sus datos personales.

En ese sentido, las pruebas del cumplimiento de dichos deberes solo pueden ser allegadas, en este caso, por la investigada en la medida en que los artículos 9 y 12 de la Ley 1581 de 2012 se estableció que es un deber del Responsable conservar la autorización e informarle al titular, al momento de solicitarle su consentimiento para el tratamiento de sus datos personales, el tratamiento al cual serán sometidos y la finalidad del mismo: Por todo lo anterior, no puede pretender la recurrente que, con la simple afirmación de sostener que cumplió con haber obtenido la autorización previa, expresa e informada del titular y de haberle informado la finalidad del tratamiento de sus datos sin contar con los documentos pertinentes para demostrarlo, esta entidad de vigilancia acepte tal afirmación y se quede sin la capacidad para comprobar la falta de diligencia de esta, así como el incumplimiento a los deberes que se predican de la calidad que ostenta la recurrente, puesto que, como se indicó líneas atrás, la Ley 1581 de 2012 establece unos deberes claros y específicos que los Responsables deben acatar de manera obligatoria si pretenden realizar algún tipo de tratamiento de datos personales. 4.3 Frente a que el régimen de protección de datos personales no exige al Responsable incluir en la autorización del tratamiento, los derechos que le asisten en el tratamiento de sus datos Frente al cargo segundo, afirma que esta Dirección no analizó en debida forma la comunicación de las finalidades y derechos de los Titulares.

Sostiene que obtuvo la autorización por parte del Titular a través de formato físico diligenciado y mediante conductas inequívocas y que las finalidades y derechos del Titular deben ser analizadas a través de la naturaleza del consentimiento que subsiste en este momento46. Afirma que esta Dirección debió analizar las políticas de tratamiento de datos personales de la recurrente dispuestas en la página web: www.winnergroup.com/ en donde la sociedad en cuestión comunica los derechos y finalidades que recaen sobre el tratamiento de los datos personales y agrega que es “(…) inadecuado que la Dirección trate de encontrar la comunicación de las finalidades en un consentimiento que ha sido obtenido a través de actuaciones inequívocas.47” Señala que no se le puede exigir que las finalidades del tratamiento de los datos personales de los Titulares se encuentren en las conductas inequívocas, por tanto, tal requerimiento no se encuentra plasmado en la ley.

Sostiene que esta Dirección está aplicando de forma inadecuada la norma en cuestión, ya que, según su dicho, no se le puede exigir al Responsable informar en la autorización los derechos que le asisten a los Titulares. Finalmente, asegura que la sociedad sí le informó al Titular sobre los derechos que le asistían en el tratamiento de sus datos personales y las finalidades que recaían en el tratamiento de sus datos personales.

En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. La recurrente afirma que la Dirección no analizó en debida forma la comunicación de las finalidades y derechos de los Titulares, que obtuvo la autorización por parte del Titular a través de formato 46 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 12 47 Ibídem HOJA N 14, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” físico diligenciado y mediante conductas inequívocas y que las finalidades y derechos del Titular deben ser analizadas a través de la naturaleza del consentimiento que subsiste en este momento 48.

Sobre este punto, se le recuerda a la recurrente que el deber de informar la finalidad del tratamiento de los datos personales a los Titulares debe producirse de forma concomitante al momento de solicitar la autorización previa, expresa e informada al titular; de manera que no importa la forma en que se recolecten los datos siempre que se asegure que la autorización recabada sea previa, expresa e informada y que, en todo caso, se le informe al titular, como mínimo, los requisitos señalados en el artículo 12 de la Ley 1581 de 2012, los cuales se reiteran a continuación: “Artículo 12.

Deber de informar al titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” De esta forma, no puede la recurrente pretender haberle comunicado al Titular la finalidad del tratamiento de datos cuando en el expediente no obra prueba alguna de tal comunicación, haciendo hincapié sobre el hecho de que la ley le obliga a la recurrente a conservar prueba del cumplimiento de conservar la copia de la autorización del tratamiento y de informar la finalidad en el mismo momento de obtener dicha autorización. En este punto, no puede la recurrente asumir que le informó al Titular la finalidad del Tratamiento de sus datos personales a través de conductas inequívocas por haber ingresado doce (12) veces a uno de sus establecimientos comerciales, cuando no obra prueba en el expediente de que en dicho establecimiento comercial habían avisos en los cuales se le indicara al Titular que iba a ser contactado posteriormente a su línea telefónica para efectos de enviarle mensajes de texto con carácter publicitario.

En otras palabras, no existe prueba que permita asumir que el Titular fuese contactado o tuviese conocimiento de que sus datos iban a ser tratados de manera posterior luego de haber ingresado a dicho establecimiento de comercio. Así las cosas, aun sin haberle informado al Titular la finalidad del tratamiento de sus datos, la recurrente envió un total de ciento veintiún (121)49 mensajes de texto (SMS) de carácter publicitario lo cual fue el motivo de la infracción del deber objeto de estudio; situación que puso al titular en una situación de indefensión frente a las consecuencias de la entrega sus datos personales en la medida en que no podía controlar el abuso de la recurrente de que le llegara un número tan alto de mensajes de texto de carácter publicitario, cuando este no solo no sabía que tal situación se iba a presentar sino que tampoco le informaron que le iban a llegar este tipo de mensajes.

Por esta razón, es fundamental e indispensable que la recurrente dé cumplimiento al artículo 12 de la Ley 1581 de 2012 en el sentido de cumplir con informarle al titular, al momento de solicitar su autorización, de manera clara y expresa lo siguiente, así como conservar prueba de dicha información entregada al titular: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes. 48 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 12 49 Comunicación con radicado 18-329620-15-1 del 13 de septiembre de 2019 HOJA N 15, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento ” En este punto, este Despacho hace la claridad de que la conducta de la recurrente resulta supremamente grave al poner al titular en una situación de indefensión frente a las consecuencias de entregar sus datos personales, ya que el mismo, acorde con la queja, sufrió perjuicios morales al recibir diariamente mensajes de texto a su número celular sin haber otorgado autorización para ello.

A continuación, la recurrente sostiene que esta Dirección debió analizar las políticas de tratamiento de datos personales de la recurrente dispuestas en la página web: www.winnergroup.com/ en donde la sociedad en cuestión comunica los derechos y finalidades que recaen sobre el tratamiento de los datos personales y agrega que es “(…) inadecuado que la Dirección trate de encontrar la comunicación de las finalidades en un consentimiento que ha sido obtenido a través de actuaciones inequívocas.50” Sobre este punto particular, la recurrente no debe convencer a este Despacho de que las finalidades del tratamiento estaban presentes en dicha política; por el contrario, la misma le tenía que haber informado al titular que las finalidades del tratamiento de sus datos personales se encontraban en su política de tratamiento de información y, a su vez, garantizar que el titular tuviese acceso a dicha información. Sin embargo, dentro de las pruebas obrantes en el expediente no hay evidencia alguna que demuestre que la recurrente le haya indicado al titular que accediera y consultara su política para que el mismo titular tuviera claridad sobre la finalidad del tratamiento de sus datos.

Así las cosas, no existe material probatorio alguno que permita evidenciar que la investigada les informó a los titulares que todos los requisitos señalados en el artículo 12 de la Ley 1581 de 2012 se encuentran en una política de tratamiento de información que debería ser consultada por ellos antes de que estos dieran su consentimiento para el tratamiento de sus datos personales.

En esta medida, está probado que la sociedad WINNER GROUP S.A. no puso a disposición la política de tratamiento de información al titular, el señor XXXXXXXXXXXXX, como tampoco probó contar con un aviso de privacidad para que los titulares tuvieran conocimiento, como lo señala el numeral segundo del artículo 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015, “El Tratamiento al cual serán sometidos los datos y la finalidad del mismo”.

Además, la recurrente tampoco demostró que la política de tratamiento de información si estaba dispuesta en su página web o en las instalaciones de sus locales comerciales para la época en la que el titular de información suministró su información. Así las cosas, debido a que no obra prueba en el expediente de que el Titular haya sido informado de la finalidad del tratamiento de sus datos personales, esta Dirección confirma la sanción impuesta por el cargo segundo de la Resolución ahora recurrida. 4.4 Frente a los criterios de graduación y desproporcionalidad de la sanción Sobre la procedencia de los criterios de graduación y la desproporcionalidad de la sanción, la recurrente afirma que no se realizó una evaluación de los criterios de graduación, pues sostiene que esta Dirección ignoró otras situaciones que daban mérito suficiente a la graduación de la multa51.

Frente a la aplicación de los criterios consagrados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012, asegura que no le parece correcto ni coherente que esta Dirección no haya aplicado los criterios consagrados en el régimen general de protección de datos y que, por ende, haya decidido no disminuir la multa que impuso en contra de la sociedad recurrente. 50 Ibídem 51 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 13 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, Sostiene que esta Dirección no considero si era procedente disminuir el valor de la sanción y por ello aduce que lo procedente “hubiese sido que, en consecuencia, hubiese impuesto una sanción menor en consideración de los reconocimientos que la misma Autoridad realizó pero que al final de cuentas no aplicó” 52 (Negrilla y subrayado en el texto original) Sobre la dimensión del daño, considera que la dimensión del daño resulta bastante reducida si se tiene en cuenta que las infracciones se predican de la relación con uno de estos Titulares, y que tal situación no fue tenida en cuenta por esta Dirección en la tasación de la multa 53.

Al respecto, sostiene que, de mantenerse esta postura, se estaría afirmando que, ante cualquier infracción cometida por un Responsable a la hora de atender los requerimientos de cada Titular, se estaría exponiendo a una sanción de ese calibre, lo que califica de desproporcionado e indiferente frente al número total de Titulares de los cuales administra información. En dicho sentido, señala que se “(…) pide que (…) [se] imponga una sanción inferior (…) atendiendo a la dimensión reducida de la conducta y al bajo impacto que pudo haber generado frente a los Titulares”54.

En cuanto a la proporcionalidad de la sanción55, expone que el principio de proporcionalidad rige en todas las actuaciones de la administración pública y que, según el Consejo de Estado, el mismo sirve como sustento y justificación de las actuaciones de la administración y como herramienta trascendental para efectos del control judicial del respectivo acto.

Así, sostiene que se han debido observar los artículos 42 y 44 del Código Contencioso Administrativo (sic) motivando la resolución que imponga la sanción incluyendo razones objetivas y claras por las cuales se considera que el monto de la multa es proporcional a la conducta. Al respecto, trae a colación una sentencia del Consejo de Estado, así como un pronunciamiento del Tribunal Suprema (sic) Español y finaliza aduciendo que en la Resolución ahora recurrida no se evidenció la valoración de los fines de la Ley ni la proporcionalidad de la sanción a los hechos que sirvieron de fundamento.

Por ello, considera que se genera una causal de nulidad del acto administrativo. En este punto, el Despacho entrará a analizar los argumentos expuestos por la recurrente. Sobre la aplicación de los criterios de graduación consagrados en la Ley 1581 de 2012, este Despacho se sirve recordarle a la recurrente que, de conformidad con la Corte Constitucional en sentencia C 748 del 2011, se determinó que los criterios contenidos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 son criterios agravantes de la sanción y que el literal f) se entiende como causal de disminución de la sanción, en otras palabras, como un atenuante; tal y como se desprende del siguiente apartado jurisprudencial: “(…) Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución. (…)” 56 Así las cosas, se ha entendido que únicamente ante la concurrencia de tales criterios agravantes junto con el análisis del daño o peligro a los intereses jurídicos tutelados, se hará más gravosa la sanción a imponer; mas no, como pretende hacer ver la recurrente, ante la ausencia de estos, se proceda a reducir el valor de la sanción a imponer. 52 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 14 53 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 15 54 Ibídem 55 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 16 56 Cfr. Corte Constitucional, sentencia C 748 del 2011, M.P.: Jorge Ignacio Pretelt Chaljub.

Considerando 2.23.3 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 17, Por lo tanto, no es de recibo el argumento de que los criterios de agravación no fueron tenidos en cuenta al momento de la graduación de la sanción, ya que la adopción de la decisión se realizó con base en los criterios aplicables a la investigación, y que en todo caso el criterio único de atenuación no fue aplicado toda vez que en ninguna de las comunicaciones emitidas por la investigada se encuentra el reconocimiento expreso de la comisión de la conducta reprochable, de modo que no es posible analizar cada uno de los criterios de la Ley 1581 de 2012 si se encuentra que los mismos no son aplicables al caso concreto.

Ahora, sobre la dimensión del daño, este Despacho entra a pronunciarse en el siguiente sentido: En primer lugar, el monto de la multa impuesta a la investigada/recurrente, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de esta actuación administrativa. De tal suerte que, WINNER GROUP S.A. al haber tratado datos de contacto del Titular sin haber obtenido su autorización y sin haberle comunicado a éste la finalidad de dicho tratamiento, lo único que consiguió fue que el Titular presentara queja ante la Empresa Industrial y Comercial del Estado Administradora del Monopolio Rentístico de los Juegos de Suerte y Azar – COLJUEGOS.

Dicha queja fue remitida por competencia ante esta entidad y con fundamento en las facultades oficiosas de esta Superintendencia, se adelantó la investigación administrativa del caso para que se le protegiera al Titular su derecho fundamental al habeas data y, por consiguiente, luego de una exhaustiva valoración probatoria, se profiriera la sanción que ahora es objeto de estudio.

De lo anotado se colige que las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador y de los supuestos fácticos y jurídicos planteados en la queja o denuncia del Titular, así como de las posibles causales de agravación o atenuación encontradas, por lo que las afirmaciones de la recurrente no son de recibo por este Despacho.

Finalmente, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”57. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia58.

Así las cosas, recalcamos, la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. En cuanto a la proporcionalidad de la sanción 59, la recurrente expone que el principio de proporcionalidad rige en todas las actuaciones de la administración pública y que, según el Consejo de Estado, el mismo sirve como sustento y justificación de las actuaciones de la administración y como herramienta trascendental para efectos del control judicial del respectivo acto.

Así, sostiene que se han debido observar los artículos 42 y 44 del Código Contencioso Administrativo (sic) motivando la resolución que imponga la sanción incluyendo razones objetivas y claras por las cuales se considera que el monto de la multa es proporcional a la conducta. 57 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. 58 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 59 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 16 HOJA N 18, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Al respecto, trae a colación una sentencia del Consejo de Estado, así como un pronunciamiento del Tribunal Suprema (sic) Español y finaliza aduciendo que en la Resolución ahora recurrida no se evidenció la valoración de los fines de la Ley ni la proporcionalidad de la sanción a los hechos que sirvieron de fundamento.

Por ello, considera que se genera una causal de nulidad del acto administrativo. En primer lugar, es claro que la Resolución No. 58043 del 29 de octubre del 2019 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 360 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En segundo lugar, la ley ordena a esta entidad que gradúe las sanciones teniendo en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012; sanciones que derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refiere a la responsabilidad civil del Responsable del Tratamiento de Datos.

Así, en las actuaciones que adelanta esta entidad se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental61 a la protección de datos62.

Finalmente, la sanción se ajusta a la realidad, toda vez que la Ley 1581 del 2012 determinó que el rango para imponer la multa de carácter pecuniario es de un mínimo de 1 salario mínimo legal mensual vigente y un máximo de dos mil (2.000) salarios mínimos mensuales legales vigentes. Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.

Así las cosas, la multa impuesta a la sociedad WINNER GROUP S.A. fue de CIENTO OCHO (108) salarios mínimos legales mensuales vigentes, lo cual porcentualmente corresponde al 5.4% del rango previsto por la Ley 1581 de 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.

Finalmente, este Despacho le recuerda a la recurrente que la normatividad aplicable no es el antiguo Código de lo Contencioso Administrativo sino el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, así que los pronunciamientos judiciales aplicables son los de las Cortes nacionales y no de las autoridades judiciales extranjeras. 4.5 Frente a las “órdenes” impartidas al representante legal de la sociedad ARTÍCULO 3o.

PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad.

(…) 61 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 62 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, Finalmente, la recurrente considera que, a través del exhorto realizado al representante legal de la sociedad, se le impartieron órdenes a la sociedad y solicita que se aclare la forma de dar cumplimiento a las mismas63.

En este punto, se le aclara a la recurrente que el exhorto realizado al representante legal de la sociedad WINNER GROUP S.A., señor JUAN CARLOS GÓMEZ ROA constituye un llamado de atención, mas no una obligación, para que éste (i) (ii) (iii) (iv) (v) (vi) Aplique el principio de responsabilidad demostrada, con miras a garantizar frente a los Titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)” 64.

Evitar que se repitan hechos como los que dieron origen a la presente investigación, y Respetar y garantizar los derechos de los Titulares de los datos, Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales, Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma, y Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

A diferencia de lo anterior, una orden administrativa si es una obligación de efectiva observancia y cumplimiento, la cual, si bien no se impuso en este caso, está encaminada a adaptar las políticas y procedimientos internos de la empresa. Lo anterior, ya que de acuerdo con la definición del verbo exhortar y según el Diccionario de la Real Academia Española (RAE), un exhorto se refiere a “Incitar a alguien con palabras a que haga o deje de hacer algo”65; en este sentido, el exhorto realizado al representante legal de la recurrente busca incitarlo a que se adopten las medidas necesarias descritas para dar cumplimiento al Régimen General de Protección de Datos Personales.

En este punto, es importante aclararle a la recurrente que, ante el incumplimiento de una orden administrativa proferida por este Despacho, se impone una sanción administrativa a la sociedad investigada por el incumplimiento del literal o) consagrado en la Ley 1581 de 2012, dependiendo del régimen incumplido inicialmente por la investigada. 4.6 Frente a las pretensiones Sobre las pretensiones incoadas relativas a que se revoque la sanción impuesta en la Resolución N°. 58043 del 29 de octubre del 2019, se considera que las mismas no están llamadas a prosperar, ya que este Despacho realizó una valoración adecuada de los tasó la sanción de acuerdo con los parámetros legales pertinentes y a que no hubo un reconocimiento previo de la infracción antes de la imposición de la sanción, tal y como establece la Ley 1581 de 2012.

Así las cosas, solo se concederá la pretensión de elevar el recurso de apelación solicitado por la recurrente ante el Despacho del Delegado para la Protección de Datos Personales. 4.7 Conclusiones: 4.7.1. Frente al consentimiento inequívoco del Titular Frente a las conductas inequívocas, quedo demostrado que el hecho de que cualquier titular que haya participado en un sorteo, no implica que haya dado una autorización para el tratamiento de sus datos personales y ciertamente, dicha participación tampoco puede ser asumida como una conducta concluyente para que se le envíen mensajes de texto, o para que le llegue publicidad de otra actividad diferente, como sucedió en el caso concreto; conductas que en todo caso, deben concluir de forma razonable que el titular otorgó la autorización, es decir, que dicha autorización 63 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, páginas 17 64 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada 65 Real Academia Española: https://dle.rae.es/exhortar HOJA N 20, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” debe cumplir con los requisitos impuestos por la Ley 1581 de 2012, que al tenor de su artículo 9 establece que “(…) en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” 4.7.2.

Frente a la carga probatoria Sobre la carga probatoria del deber de solicitar y conservar la prueba de la autorización otorgada por el titular, quedo demostrado que la sociedad recurrente, al eliminar la autorización del quejoso de su base de datos, falló en acreditar el cumplimiento del deber de conservar la copia de la autorización firmada por el titular; máxime cuando la misma reconoce que “no cuenta con copia de la autorización expresa, previa e informada otorgada a Winner Group por el Titular” 66.

Igualmente, sobre la carga probatoria del deber de informar la finalidad del tratamiento de los datos personales, quedo claro que la recurrente no aportó prueba alguna de que la misma le hubiera informado al Titular la finalidad del tratamiento de sus datos personales. En ese sentido, las pruebas del cumplimiento de dicho deber solo pueden ser allegadas, en este caso, por la investigada en la medida en que el artículo 12 de la Ley 1581 de 2012 estableció que es un deber del Responsable informarle al titular, al momento de solicitarle la autorización para el tratamiento de sus datos personales, el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. 4.7.3 Frente a que el régimen de protección de datos personales no exige al Responsable incluir en la autorización del tratamiento, los derechos que le asisten en el tratamiento de sus datos Sobre este punto, quedo demostrado que el deber de informar la finalidad del tratamiento de los datos a los Titulares debe producirse de forma concomitante al momento de solicitar la autorización previa, expresa e informada al titular; de manera que no importa la forma en que se recolecten los datos siempre que se asegure que la autorización recabada sea previa, expresa e informada y que, en todo caso, se le informe al titular, como mínimo, los requisitos señalados en el artículo 12 de la Ley 1581 de 2012 En este punto, quedo demostrado que la conducta de la recurrente resulta supremamente grave al poner al titular en una situación de indefensión frente a las consecuencias de entregar sus datos personales, ya que el mismo, acorde con la queja, sufrió perjuicios morales al recibir diariamente mensajes de texto a su número celular sin haber otorgado autorización para ello. 4.7.4 Frente a los criterios de graduación y desproporcionalidad de la sanción Quedo demostrado que la sanción se impuso con atención a los principios de graduación y proporcionalidad de la sanción.

QUINTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 8067 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo.

SEXTO: Este Despacho encuentra que hubo un error de transcripción al momento de la imposición de la sanción en el sentido de que se señaló que la sanción impuesta correspondía a OCHENTA Y SEIS MILLONES CIENTO VEINTICUATRO MIL SESENTA Y CUATRO PESOS M/CTE ($86.124.064), equivalente a CIENTO OCHO (108) salarios mínimos legales mensuales vigentes; correspondiente a 54 salarios mínimos legales mensuales vigentes por la infracción de cada deber, cuando en realidad el valor de la sanción impuesta corresponde a 52 salarios mínimos legales mensuales vigentes por la infracción de cada deber. 66 Recurso de reposición y en subsidio de apelación, consecutivo 18-329620-36-1, página 8 67 ARTÍCULO

80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 21, En esta medida, es importante traer a colación el artículo 4568 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo puesto que prevé que, “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras ”.

Así las cosas, y siguiendo lo señalado por el artículo en mención, dicho error de transcripción no modifica en sentido alguno la decisión material adoptada mediante la Resolución recurrida, ya que el valor de la sanción sigue correspondiendo a OCHENTA Y SEIS MILLONES CIENTO VEINTICUATRO MIL SESENTA Y CUATRO PESOS M/CTE ($86.124.064), con la salvedad de que son CIENTO CUATRO (104) salarios mínimos legales mensuales vigentes.

SÉPTIMO: La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2369. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 70, 471 y 672 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo73.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”74(negrita añadida) 68 ARTÍCULO

45. CORRECCIÓN DE ERRORES FORMALES. En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras. En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto.

Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según corresponda. Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 74 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 22, Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”75 El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 76.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción.” En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Con fundamento en lo anterior, este Despacho procederá a modificar el artículo primero de la Resolución N° 58043 del 29 de octubre de 2019 del con el fin de expresar la multa impuesta en unidades de valor tributario tal como lo indica la Ley 1955 de 2019.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: MODIFICAR el artículo primero de la Resolución N° 58043 del 29 de octubre del 2019, así: 75 Corte Constitucional, Magistrado Ponente Vladimiro Naranjo Mesa, dieciséis (16) de mayo de dos mil (2000). Considerando 2.3. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 23, “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad WINNER GROUP S.A., identificada con el Nit. 830.037.843-3, de OCHENTA Y SEIS MILLONES CIENTO VEINTICUATRO MIL SESENTA Y CUATRO PESOS M/CTE ($86.124.064), equivalente a 2.418,739686016794 Unidades de Valor Tributario (UVT´s), por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.”

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación solicitado por la recurrente.

ARTÍCULO TERCERO: NOTIFICAR el presente acto administrativo a WINNER GROUP S.A. identificada con el Nit. 830.037.843-3, a través de su representante legal o su apoderado, entregándole copia de esta.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 31 AGOSTO 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.09.02 13:16:48 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: SRB Revisó: AMCC Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Investigado: Sociedad: Identificación: Representante Legal: Identificación: Apoderada Especial: Identificación: Dirección: Ciudad: Correo Electrónico: WINNER GROUP S.A. NIT. 830.037.843-3 JUAN CARLOS GÓMEZ ROA C.C. No. 79.235.022 MÓNICA ISABEL MARTÍNEZ ISAZA C.C. No. 1.114.059.432 Calle 90 No. 19 C – 32 Oficina 401 Bogotá, D.C. administracion@winnergroup.com mimartinez@winneregroup.com HOJA N 24,