REPÚBLICA DE COLOMBIA (24 de diciembre) Radicación No. 19-8025 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y por el numeral 7 del artículo 16 del Decreto 4886 de 2011, y CONSIDERANDO:
PRIMERO: Que mediante oficio radicado el 11 de enero de 2019 la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S, presentó ante la Superintendencia Financiera de Colombia denuncia contra la sociedad CRC OUTSOURCING S.A.S. la cual fue trasladada a esta Superintendencia mediante radicado 19-8025 de fecha 15 de enero de 2019, por considerarla de su competencia.
SEGUNDO: Que una vez agotada la etapa probatoria y efectuado el análisis del material probatorio allegado a la presente actuación administrativa, mediante Resolución No. 56699 del 16 de septiembre de 2020, la Dirección de Investigación de Protección de Datos Personales encontró que la sociedad CRC OUTSOURCING S.A.S. incumplió con los deberes establecidos en la Ley 1581 de 2012 y decidió lo siguiente: RESOLUCIÓN NÚMERO 82431 DE 2020 En el caso, la Dirección de Investigaciones concluyó lo que sigue a continuación:
TERCERO: Que mediante escrito del 13 de octubre de 2020, el apoderado especial de la sociedad CRC OUTSOURCING S.A.S. presentó escrito de reposición y en subsidio de apelación contra la Resolución No. 56699 del 16 de septiembre de 2020 solicitando se revoque la decisión basada en los siguientes argumentos: En primer lugar, el recurrente hace referencia a los antecedentes de la presente actuación administrativa en los siguientes términos: “2.1.) LA FORMULACION DE CARGOS Y LA TIPICIDAD COMO LIMITANTES DEL PODER SANCIONATORIO.
Las atribuciones sancionatorias en un caso específico presentan dos limitantes: por un lado, el acto de formulación de cargos, y, por el otro el principio de legalidad de las faltas y las sanciones, concretado en el de la tipicidad de la infracción. Por un lado la formulación de cargos delimita fáctica y jurídicamente las faltas atribuidas al investigado, respecto de las cuales le corresponde ejercer su defensa.
Como puede evidenciarse, la claridad y exactitud del cargo es un requisito sine qua non para el adecuado ejercicio del derecho de defensa. Solo mediante cargos inequívocos y entendibles podrá ejercerse eficazmente la actividad de contradicción. Es por ello que la ley ha exigido precisión, exactitud, claridad, y minuciosidad en la atribución de los hechos constitutivos de la infracción y de la determinación de las normas vulneradas con la conducta.
Dice el artículo 47 inciso 2 del C.PACA que “concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo en el que se señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.” (Negrillas fuera del texto) Consideramos que la minuciosidad y detalle en la determinación de los hechos además cobra relevancia, si de otra parte se tiene en cuenta que la sanción solo es viable cuando la conducta enjuiciada ha sido prevista como infracción, a través de “tipos” integrados por diversos elementos (sujeto activo, sujeto pasivo, verbo rector, elementos normativos y subjetivos del tipo.) Debido a la importante función que desempeña la formulación de cargos en el adecuado ejercicio del derecho de defensa, la resolución que defina la investigación administrativa debe guardar congruencia con aquéllos.
La falta de esa congruencia constituye una violación al derecho de defensa, y, de contera al debido proceso, pues supondría sorprender al investigado con unos cargos frente a los cuales ejercería su labor defensiva, para, a la postre modificarlos y sancionarlo por otros diferentes, respecto de los cuales no ejerció su actividad de contradicción. Es por tal motivo que los cargos solo pueden ser variados por error en la calificación jurídica o RESOLUCIÓN NÚMERO 82431 DE 2020 por prueba sobreviniente, caso en el cual la variación se notifica en la misma forma que el pliego de cargos y se debe brindar al investigado un plazo adicional para solicitar y practicar otras pruebas.
(Ley 734 del 2002 artículo 165) En el presente caso los cargos no fueron modificados, por lo que atan al funcionario investigador. La otra limitante a la facultad sancionadora lo constituye la propia ley, que define las conductas punibles. Dice el artículo 29 de la Constitución Nacional que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa”.
A su vez el artículo 3 Numeral 1 inciso 2 del CPACA advierte que “en materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones ” (Negrilla fuera del texto) Como se indicará, en el presente caso se desconoció abiertamente el principio de legalidad respecto del primero de los cargos.
Esto por cuanto la conducta, atribuida en dicho cargo no se subsume en la ley como infracción, y, por ende mal podía acarrear una sanción. Refiriéndose al principio de tipicidad en materia administrativa la Corte Constitucional en la sentencia C-748 del 2011 indicó que “el principio e tipicidad que, que si bien no es igual de riguroso al penal, si obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción.” La garantía en comento presenta una doble faceta, toda vez que la conducta punible no solo debe estar previa y minuciosamente descrita, sino que el órgano estatal encargado de definir las faltas cuya comisión acarrea la sanción, no es otro que el legislativo.
Al respecto la Corte Constitucional señala que “el principio de legalidad, de acuerdo con el cual las conductas no solo deben estar descritas en norma previa sino que, demás, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en una autoridad administrativa.” La Superintendencia de Industria y Comercio ejerce la facultad sancionatoria cuando se desconocen los preceptos relativos al habeas data (Art. 22 de la Ley 1581 de 2012) y por ende se encuentra sujeta a las garantías de legalidad y tipicidad antes comentadas.
Los deberes cuyo desconocimiento puede dar lugar a la aplicación de sanciones por parte del ente administrativo de control, son los establecidas en los artículos 17 y 18 de la Ley 1581 de 2012, que atañen a los responsables y encargados del tratamiento, respectivamente. Aunque el derecho fundamental al habeas data puede aparejar otros deberes, para todas las personas involucradas en el tratamiento de datos, es el desconocimiento de los enlistados en estos artículos el relevante para efectos sancionatorios.
En otras palabras, son los deberes establecidos en los mencionados artículos 17 y 18 los que definen las conductas prohibidas para efectos sancionatorios. (Tipicidad y legalidad) Sobre el particular la Corte Constitucional en la sentencia C-748, que resolvió sobre la exequibilidad de la Ley Estatutaria 1581 de 2012, indicó: “No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, si operan como una listas taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a sanciones administrativas previstas por el mismo proyecto de ley.” 2.1.) AUSENCIA DE TIPICIDAD Y LEGALIDAD RESPECTO DEL PRIMER CARGO.
El primero de los cargos se concretó a que la sociedad investigada solicitó en varias oportunidades, “a la sociedad GESTION Y DISEÑOS ELÉCTRICOS S.A, información personal de la señora LUISA FERNANDA OLEA AFANADOR, sin que se evidenciara que la sociedad haya acreditado la obtención de la RESOLUCIÓN NÚMERO 82431 DE 2020 autorización previa expresa e informada por parte de LUISA FERNANDA OLEA AFANADOR para el tratamiento de sus datos personales.” En la forma en que se formuló el cargo, la conducta atribuida a CRC OUTSOURCING SAS, resulta atípica.
El solo hecho de solicitar la información sin que se hubiese suministrado dicha información y sin obtener previamente la autorización del titular, no configura una vulneración del deber establecido a cargo del responsable del dato. Si lo que se reprochaba era la circulación de información, para fines diferentes a los inicialmente autorizados, ha debido formularse el cargo bajo la preceptiva del artículo 18 literal b.) o j.), lo que no se hizo.
La autorización se requiere cuando efectivamente se adelanta alguna actividad, que implica tratamiento de datos, como lo es la recolección, el almacenamiento, uso o circulación de la información. Debe resaltarse que los cargos se concretan a solicitar información a un tercero, sin autorización de la titular. No se refieren a suministrar información del titular al tercero, excediendo la autorización conferida para el tratamiento de datos o desconociendo la finalidad de dicha autorización. No existiendo el tratamiento de datos mal puede exigirse autorización alguna.
Lo anterior se concluye de la misma definición de “autorización” que trae el literal a.) del artículo 3 de la Ley 1581 de 2012. Esta norma indica que la autorización es “el consentimiento previó, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.” La “autorización” tiene una relación de finalidad con el tratamiento.
En otras palabras se da la autorización para que pueda efectuarse válidamente el tratamiento. Si no existe tratamiento no es posible predicar la necesidad de autorización alguna por lo que la conducta atribuida a CRC OUTSOURCING SAS resulta atípica y en consecuencia no punible. 2.3.) LA CONDUCTA SIMPLEMENTE “PELIGROSA” NO ES SANCIONABLE SINO ESTÁ CONTENIDA EN UN TIPO QUE DEFINA LA INFRACCION.
En el acto sancionatorio se afirma que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados, razón por la cual, no es de recibo, que “ la dimensión del daño o peligro de los mismos queden supeditados exclusivamente a la obtención o no de la información pretendida por la sociedad investigada.” En torno a tal aseveración debe señalarse, que el “peligro” de la conducta para el bien jurídico tutelado no puede sustentar la sanción. Ello echaría por la borda el principio de legalidad y tipicidad ya comentados.
Lo que sustenta dicha sanción es la tipificación de la conducta como infracción, independientemente de que la descripción efectuada por el legislador exija un resultado específico o simplemente un “peligro” para el bien jurídico. En tal sentido resulta ilustrativa la distinción efectuada por el tratadista ALFONSO REYES ECHANDÍA entre tipos de lesión y de peligro, que en ambos casos supone una adecuación de la conducta a una descripción abstracta, previamente realizada por el legislador: (…) 2.4.) CADUCIDAD DE LA ACCION SANCIONATORIA.
En relación con el segundo de los cargos se habría producido la caducidad de la acción sancionatoria, lo que implica la pérdida de competencia por parte de la señalar que la circunstancia de que se haya aceptado el segundo de los cargos, no impide formular a su favor la caducidad. Esto por dos motivos: (i) La aceptación de cargos es aceptación de la conducta, mas no de la responsabilidad administrativa, (ii) La caducidad, por ser instituto de orden publico opera sin que intervenga la voluntad de los sujetos concernidos.
RESOLUCIÓN NÚMERO 82431 DE 2020 Hechas estas precisiones corresponde examinar los motivos por los cuales se predica la caducidad de la facultad sancionatoria en el caso bajo examen. 2.4.1.) LA CADUCIDAD DE LA FACULTAD SANCIONATORIA CONLLEVA PERDIDA DE COMPETENCIA La competencia, podría definirse como la facultad que tiene el funcionario público para proferir el acto administrativo, entendido éste como la manifestación de voluntad unilateral de la Administración tendiente a producir efectos jurídicos con carácter vinculante.
La competencia es determinada por varios factores, como lo son el territorial (ratio loci), el material o asunto objeto del acto (ratio materie), el grado jerárquico, el factor subjetivo (ratio personae), y, finalmente el factor temporal (ratio temporis). Aunque en principio la competencia de la administración es permanente, en ocasiones está limitada temporalmente como sucede con la facultad sancionatoria.
Por razones que no es del caso examinar aquí, la potestad sancionatoria ha sido limitada temporalmente de tal forma que si no se ejerce en el plazo señalado por el ordenamiento jurídico se produce la pérdida de competencia del funcionario que la ostentaba. (…) Ahora bien, una vez perdida la competencia, consideramos que ésta no puede recuperarse por hechos posteriores.
La asignación y pérdida de competencia es asunto de orden público, fijado por la ley, que no puede ser modificado ni depender de la actuación de los administrados. 2.4.2) REQUISITOS PARA QUE OPERE LA CADUCIDAD DE LA FACULTAD SANCIONATORIA Y POR ENDE LA PERDIDA DE COMPETENCIA POR PARTE DEL FUNCIONARIO. En principio la caducidad se produce por el simple transcurso del tiempo sin que se haya ejercido el derecho o la potestad de que se trata, en este caso, la potestad sancionatoria.
A diferencia de la prescripción, la caducidad no admite suspensión o interrupción. Determinando el plazo de caducidad el Art. 52 del CPACA establece que “la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.” El plazo de caducidad se inicia con la ejecución del hecho, la conducta o la omisión, que pudieren haber dado origen a la sanción, o, cuando se trata de conductas permanentes con el último acto ejecutivo.
Precisando el cómputo del plazo de caducidad, según se trate de conductas instantáneas o sucesivas el Consejo de Estado en Sentencia del 12 de Abril de 2018 de la Sección Quinta de la Sala de lo Contencioso Administrativo, siendo C.P. el Dr. CARLOS ENRIQUE MORENO RUBIO, bajo el radicado 25000-23-24- 000-2012-00788-01, señaló: (…) 2.5.) LA CADUCIDAD EN EL CASO BAJO ESTUDIO El segundo de los cargos formulados consiste en esencia, en no haber informado de manera previa, a la titular acerca de las finalidades del tratamiento al que serían sometidos sus datos, esto es para contactar a su empleador, o realizar gestiones de cobranza.
De acuerdo a lo expuesto es necesario especificar y concretar en qué momento se debe obtener la autorización para el tratamiento de los datos y consecuentemente RESOLUCIÓN NÚMERO 82431 DE 2020 en que oportunidad debe informarse la finalidad de dicho tratamiento. En realidad se trata de un proceso secuencial. Para la recolección de datos, debe previamente obtenerse la autorización del Titular, y dicha autorización debe ser suficientemente informada.
En consecuencia, la indicación de la finalidad del tratamiento de datos debe ser previa a la autorización. En este orden de ideas la recolección de datos sin la autorización informada por parte del Titular implica la transgresión de las normas que protege el habeas data. Consideramos que se trata de una conducta instantánea que se configuraría en el instante mismo en que se recolectan los datos sin autorización informada.
Esta conducta debe distinguirse de la hipótesis que se dá (sic) cuando existe autorización del Titular, pero el Responsable o Encargado del Tratamiento, se desvía de dicha autorización o la utiliza para otras finalidades. En tal caso el momento consumativo de la infracción se presente no en el momento en que ha debido obtenerse la autorización, sino cuando se hace uso indebido de la información bajo su custodia.
En el presente caso la información fue recolectada por parte del Responsable en el año 2005 con ocasión de la concesión de un crédito rotativo. Para ese entonces no se encontraba vigente la ley 1581 del 2012, ni su Decreto Reglamentario 1074 de 2015. Ahora bien, este decreto en relación con los datos recolectados antes del 27 de junio de 2013, impuso la obligación a los Responsables de solicitar autorización de los titulares para continuar con el tratamiento y poner en conocimiento de estos sus políticas al respecto y el modo de ejercer sus derechos.
(Artículo 2.2.2.25.2.7.) Desde la vigencia de este decreto, que impuso el deber de ratificar las autorizaciones, para datos recolectados antes del 27 de junio del 2013, han transcurrido más de tres años, por lo que se habría producido la caducidad de la acción sancionatoria respecto de las faltas atribuidas. Por los motivos antes expuestos respetuosamente solicito a Usted se sirva revocar la resolución N° 56699 del 16 de septiembre del 2020 y en su lugar absolver a mi representada de todo cargo.”
CUARTO: Que mediante Resolución No. 72803 del 17 de noviembre de 2020 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la sociedad CRC OUTSOURCING S.A.S., confirmando en todas sus partes la Resolución No. 56699 del 16 de septiembre de 2020 y concediendo el recurso de apelación presentado de forma subsidiaria.
QUINTO: Que mediante Resolución No. 11792 del 16 de marzo de 2020 de esta entidad se ordenó lo siguiente: “ARTÍCULO 1o. SUSPENDER los términos procesales de las actuaciones administrativas que se surten ante las dependencias de esta Superintendencia, desde el 17 al 31 de marzo de 2020 (inclusive), fechas en que no correrán los términos para todos los efectos de ley, ni los siguientes servicios de la plataforma tecnológica en relación con dichos asuntos: Portal Web, correo electrónico, sistemas de información, Internet, el sistema de trámites, sistemas de recaudos para la legalización de pagos y servicio al ciudadano.” Por medio del artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta superintendencia se decretó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” RESOLUCIÓN NÚMERO 82431 DE 2020 Adicionalmente, en el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)” Finalmente, la Resolución 70723 del 6 de noviembre de 2020 de esta entidad estableció “SUSPENDER los términos procesales de las actuaciones que se surten ante las dependencias de la Superintendencia de Industria y Comercio durante el día trece (13) de noviembre de 2020, fecha en que no correrán los términos para todos los efectos de ley”
SEXTO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto por la sociedad CRC OUTSOURCING S.A.S. contra la Resolución No. 56699 del 16 de septiembre de 2020 y con base en lo expuesto por éste se harán las siguientes: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)” El artículo 19 de la Ley 1581 de 2012, por su parte, establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respete los principios, derechos, garantías y procedimientos previstos en la presente ley.
2. DE LA RECOLECCIÓN, USO Y CIRCULACIÓN DE DATOS PERSONALES La recolección, uso, circulación y el tratamiento de los datos personales privados, semiprivados y sensibles solo puede realizarse cuando exista la autorización previa, expresa e informada del Titular tal y como lo establece el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 20122.
Nótese que está prohibido “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 2 "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento". RESOLUCIÓN NÚMERO 82431 DE 2020 Es imperativo tener presente que la información no se puede recolectar para hacer cualquier cosa con ella, sino sólo para finalidades específicas que se deben informar a las personas.
Tampoco se puede recolectar cualquier dato personal, sino solo aquellos que sean imprescindibles para cumplir la finalidad para la cual son colectados. En este sentido, la regulación ordena que “la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos”3.
A su vez, el artículo 9 de la Ley 1581 de 2012, dispone que “sin perjuicio de las excepciones previstas en la ley4, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y, en este mismo sentido, el artículo 17 de dicha norma consagró como deber de los Responsables del Tratamiento el de “b) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.
El artículo 4 del decreto 1377 de 20135 reitera, entre otras, lo siguiente: “Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular” y el artículo 5 del mismo decreto establece que “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
El artículo 12 de la Ley 1581 de 2012, por su parte, instituyó que el Responsable del Tratamiento al momento de solicitar la autorización del Titular “(…) deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento (…)”.
En este orden de ideas, es pertinente indicar que el artículo 2.2.2.25.2.4 del Decreto 1074 de 20156 (Decreto 1377 de 2013, art. 7), estableció los diversos modos de obtener la autorización para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, a saber: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.
Estos mecanismos podrán ser 3 Cfr. Artículo 4 del Decreto 1377 de 2013 El artículo 10 de la ley 1581 de 2012 ordena lo siguiente: “ARTÍCULO
10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” 5 Incorporado en el Decreto 1074 de 2015 6 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”.
RESOLUCIÓN NÚMERO 82431 DE 2020 predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca” De lo anterior, se entiende que el Titular ha dado su autorización para el tratamiento de sus datos personales cuando: (i) sea por escrito;
(ii) sea verbal o (iii) mediante conductas inequívocas, es decir, aquellas que no admiten duda o equivocación, del titular que permitan concluir de forma razonable que otorgó la autorización. En otras palabras, la autorización también se podrá obtener a partir de conductas evidentes, claras e incontrovertibles del Titular que no admitan duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados.
En todo caso y al margen del modo como se obtenga la autorización, esta no sólo debe ser previa e informada, sino que el Responsable del Tratamiento tiene la carga probatoria de acreditar evidencia de la autorización y de que informó lo que ordena el artículo 12 de la ley 1581 de 2012.
3. DE LA TIPICIDAD DE LA CONDUCTA Y LA FACULTAD SANCIONADORA DE LA DE DATOS PERSONALES. Entre las afirmaciones realizadas con ocasión al recurso, la sociedad manifiesta que “en el presente caso se desconoció abiertamente el principio de legalidad respecto del primero de los cargos. Esto por cuanto la conducta, atribuida en dicho cargo no se subsume en la ley como infracción, y, por ende mal podía acarrear una sanción.” Respecto a este argumento este Despacho considera necesario hacer las siguientes precisiones: La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23.
Esta facultad, que es una manifestación del poder punitivo del Estado, derivado de los artículos 27, 48 y 69 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo.10 La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o 7 Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 8 Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 9 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) 10 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).
RESOLUCIÓN NÚMERO 82431 DE 2020 específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso. (…)” 11 (negrita añadida) Así mismo, la citada ley 1581, establece las reglas especiales que debe tener en cuenta esta entidad para la imposición y graduación de las sanciones por vulneración de las normas sobre tratamiento de datos personales.
En efecto, el artículo 23 señala que “la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: (…).”. Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)”.
Como se observa, este último precisa los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 Constitucional12. Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f).
Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”13. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”14. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, 11 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. 12 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 13 Corte Constitucional. Sentencia C-406 de 2004. 14 Corte Constitucional. Sentencias C-1161 de 2000. RESOLUCIÓN NÚMERO 82431 DE 2020 en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de la protección de datos personales o del debido tratamiento de esa información. Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. La autorización por parte del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales.
La Ley 1581 de 2012 en el artículo 9 establece los requisitos para la autorización, entre los que se encuentran el que esta deba ser previa y que debe haber prueba de su existencia para consulta posterior. Esta Superintendencia requirió a la sociedad CRC OUTSOURCING S.A.S. para que aportara, entre otros documentos, prueba de la autorización otorgada por la señora Luisa Fernanda Olea Afanador para el tratamiento de sus datos personales.
Sin embargo, la misma no fue aportada al proceso. Adicionalmente, en respuesta a explicaciones15 cuando se le solicitó que manifestara y acreditara si contaba con la autorización de la señora Olea Afanador para el Tratamiento de sus datos personales, la sociedad CRC OUTSOURCING S.A.S. manifestó lo siguiente: (…) De acuerdo con lo expuesto este Despacho encuentra que, en el presente caso, al no acreditar la obtención de la autorización, previa expresa e informada por parte de la Titular de la información para revelar un dato semiprivado, referente al comportamiento de pago de un crédito, se dan los presupuestos requeridos para determinar que la conducta desplegada por CRC OUTSOURCING S.A.S. vulneró el derecho del titular a que se solicite la autorización para el tratamiento de sus datos de manera previa e informada (artículo 9 de la 15 Actuación radicada el 14 de mayo de 2019, bajo el número 19-8025-6-1.
RESOLUCIÓN NÚMERO 82431 DE 2020 Ley 1581 de 2012); y el deber especial como responsable del tratamiento de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. Lo anterior en concordancia con lo establecido en el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
Adicionalmente, teniendo en cuenta que la normativa aplicable a la presente actuación administrativa es lo dispuesto en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que de acuerdo con lo dispuesto en el artículo 47 de esta norma, la formulación de cargos en la Resolución No. 68522 del 29 de noviembre de 2019, encuentra su fundamento en las averiguaciones preliminares, señala con precisión y claridad los hechos que lo originan, la persona jurídica objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.
De manera que la Dirección de Investigación de Datos Personales no desconoció los principios de legalidad y tipicidad, propios del derecho administrativo sancionador, pues la conducta se encuentra descrita de manera específica y precisa en la Ley 1581 de 2012 y el Decreto 1074 de 2015. Igualmente, la sanción se encuentra dentro de lo establecido en el artículo 23 de la Ley 1581 de 2012, por lo que el argumento de la sociedad recurrente en este aspecto no esta llamado a prosperar. 4.
FRENTE A LOS ARGUMENTOS PLANTEADOS POR LA SOCIEDAD RECURRENTE SOBRE LA “CONDUCTA PELIGROSA Y NO SANCIONABLE” Las sanciones que impone esta Superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada Ley.16 Ese efecto negativo tiene como finalidad no sólo sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.17 La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los 16 El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
(negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) 17 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. RESOLUCIÓN NÚMERO 82431 DE 2020 derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”.18 Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia.19 Ahora bien, de la lectura del artículo 24 de la Ley 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley.
La norma, pues, hace una distinción entre el daño efectivamente causado y el peligro o riesgo a los intereses jurídicos tutelados, entre otros, la protección del derecho fundamental a la protección de datos personales y habeas data. Sobre esto último no puede perderse de vista que la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
De manera que el argumento de la sociedad donde afirma que en vista de que GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. no les suministró la información de la señora Luisa Fernanda Olea Afanador no hubo una vulneración a los derechos de la titular no esta llamado a prosperar. La conducta que está siendo sancionada en el primer cargo el presente caso es el realizar el Tratamiento20 de los datos de la titular sin su autorización previa e informada.
Conducta que se configura en el momento que se solicita la información y además se revela el estado del comportamiento crediticio de la titular a su empleador en repetidas ocasiones. Así, este Despacho procederá a confirmar la Resolución No. 56699 del 16 de septiembre de 2020 en este aspecto.
5. DE LA CADUCIDAD DE LA ACCIÓN SANCIONATORIA En el escrito del recurso presentado, la sociedad recurrente manifiesta que en este caso se configuró la caducidad de la facultad sancionatoria de esta entidad frente al segundo de los cargos. Lo anterior en razón a que “El segundo de los cargos formulados consiste en esencia, en no haber informado de manera previa, a la titular acerca de las finalidades del tratamiento al que serían sometidos sus datos, esto es para contactar a su empleador, o realizar gestiones de cobranza.” A pesar de que la sociedad aceptó el cargo, manifiesta que el momento en que debió haber informado la finalidad fue cuando se hizo la recolección de los datos en el 2005, o en el 2013 en virtud de lo dispuesto por el Decreto Reglamentario 1074 de 2015, así: “Desde la vigencia de este decreto, que impuso el deber de ratificar las autorizaciones, para datos recolectados antes del 27 de junio del 2013, han transcurrido más de tres años, por lo que se habría producido la caducidad de la acción sancionatoria respecto de las faltas atribuidas.” 18 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 20 Entendiendo tratamiento como “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” Cfr. Ley 1581 de 2012, artículo 3º, literal g).
RESOLUCIÓN NÚMERO 82431 DE 2020 Esta Delegatura no comparte la postura de la sociedad, pues esta ha venido tratando los datos de la señora Luisa Fernanda Olea Afanador de manera posterior a la fecha que se aduce, como lo evidencian las comunicaciones enviadas a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. sin informarle a la titular la finalidad para la cual están siendo tratados sus datos personales.
Ahora, sobre la caducidad de la acción sancionatoria que se alega, el Consejo de Estado21 señaló que: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción22 “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce”23 Así, al verificarse que la sociedad envió comunicaciones a GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. empleador de Luisa Fernanda Olea Afanador los días 18 de mayo de 2017, 07 de septiembre de 2017, 04 de enero de 2018, 24 de enero de 2018, 20 de septiembre de 2018 y 08 de enero de 2019, es evidente que en este caso la conducta que se sancionó, no es de aquellas que se desarrolla en un único momento, sino que se trata de una actividad inequívoca de naturaleza continuada, en la que el término de caducidad se debe empezar a computar desde el momento en que cesa la conducta reprochable de la investigada.
Es decir, desde el 08 de enero de 2019, fecha en la que la empresa CRC OUTSOURCING S.A.S. efectuó el envío de la ultima comunicación a GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. solicitando información sobre la titular. Por lo anterior tampoco se acogerá el argumento expuesto por la recurrente y este Despacho confirmará sanción impuesta en la Resolución No. 56699 del 16 de septiembre de 2020.
6. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y 21 Consejo de Estado, Sección Sección Primera, en sentencia de 22 de mayo de 2014 (Expediente núm. AC- 2013-02392-00, M.P. Marco Antonio Velilla Moreno “Dado lo anterior, quedó demostrado que esta Corporación ha realizado un análisis sobre el término de la caducidad de la facultad sancionatoria concerniente a hechos distintos, como las infracciones en materia de energía que fueron en forma continuada donde la ocurrencia del hecho se contó a partir del último acto, o en el caso aduanero que a pesar de tener norma especial que regula el tema, se parte que existe conocimiento de la falta desde que la entidad inicie el trámite administrativo…”. 22 Consejo de Estado, Sección Quinta, Sentencia del 12 de abril de 2018, M.P. Carlos Enrique Moreno Rubio, Radicación número: 25000-23-24-000-2012-00788-01, actor: ALIANSALUD ENTIDAD PROMOTORA DE SALUD S. A. 23 Consejo de Estado, Sección Primera, Sentencia del 18 de agosto de 2011, M.P. Rafael E. Ostau de Lafont Pianeta, Radicación número: 11001-03-24-000-2007-00013-00, posición reiterada en providencia del 8 de febrero de 2018, exp. 25000-23-24-000-2008-00045-02, M.P. Rocío Araújo Oñate, actor: Empresa de Acueducto y Alcantarillado de Bogotá (EAAB).
RESOLUCIÓN NÚMERO 82431 DE 2020 deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas. En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.
Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.
Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora, según el artículo 22 de la ley 222 de 199524 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas. 24 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 82431 DE 2020 Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.
No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2425 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”26.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de todo lo anterior se exhortará al Representante Legal de CRC OUTSOURCING S.A.S. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1) Respetar y garantizar los derechos de los titulares de los datos. 2) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”27. 5) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas. 25 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 26 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 27 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- Accountability.pdf RESOLUCIÓN NÚMERO 82431 DE 2020 CONCLUSIONES: Sin perjuicio de lo establecido, no se accederá a las peticiones de la recurrente por las siguientes razones: 1.
La sociedad CRC OUTSOURCING S.A.S. reveló un dato semiprivado, referente al comportamiento de pago de un crédito, de la señora Luisa Fernanda Olea Afanador al enviar las comunicaciones a su empleador, la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. sin contar con autorización por parte de la titular para hacerlo. 2. La sociedad CRC OUTSOURCING S.A.S. no evidenció haber solicitado autorización previa expresa e informada a la Titular ni haber conservado copia de la misma, por lo cual incurrió en la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, conducta que se encuentra debidamente tipificada en la ley.
Por lo que la Dirección de Investigación de Datos Personales no desconoció los principios de legalidad y tipicidad y el argumento de la sociedad no esta llamado a prosperar. 3. La conducta de CRC OUTSOURCING S.A.S. es de carácter permanente o continuado. La última comunicación enviada a GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S. fue el 08 de enero de 2019, por lo que en el presente caso no opera la caducidad de la potestad sancionatoria que se alega.
Como consecuencia de lo anterior, este Despacho confirmará la sanción impuesta por la primera instancia mediante Resolución No. No. 56699 del 16 de septiembre de 2020, por cuanto se comprobó que CRC OUTSOURCING S.A.S. infringió las normas sobre protección de datos personales consagradas en los artículos antes citados.
SÉPTIMO: Que analizada la cuestión planteada, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la decisión contenida en la Resolución No. 56699 del 16 de septiembre de 2020.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Confirmar integralmente la Resolución No. No. 56699 del 16 de septiembre de 2020, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a CRC OUTSOURCING S.A.S., identificada con el NIT. 830.109.862-3, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. RESOLUCIÓN NÚMERO 82431 DE 2020 ARTÍCULO TERCERO: COMUNICAR a la sociedad GESTIÓN Y DISEÑOS ELÉCTRICOS S.A., identificada con el Nit. 860.031.282-3 el contenido de la presente decisión.
ARTÍCULO CUARTO: Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 24 de diciembre de 2020 El Superintendente Delegado para la Protección de Datos Personales NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2020.12.24 09:54:40 -05'00' NELSON REMOLINA ANGARITA MPM RESOLUCIÓN NÚMERO 82431 DE 2020 NOTIFICACIÓN: Entidad: CRC OUTSOURCING S.A.S. Identificación: Nit. 830.109.862-3 Representante legal: SANDRA FANERY AGUIRRE SANDOVAL Identificación: C.C. No. 51.721.782 Dirección: Cra 7 No. 155 C – 30 Centro Empresarial North Point Torre E P 26 Ciudad: Bogotá D.C. Correo electrónico: alex.russo@crc.com.co Apoderado: JUAN MANUEL CASASBUENAS MORALES Identificación: C.C. No. 79.278.294 Dirección: Calle 131N°. 19 – 73 apartamento 112 Ciudad: Bogotá D.C. Correo electrónico: juanmacasas@hotmail.com COMUNICACIÓN: Sociedad: GESTIÓN Y DISEÑOS ELÉCTRICOS S.A.S Identificación: Nit 860.031.282-3 Representante legal: CESAR AUGUSTO PUCCINI LIZARAZO Identificación: C.C. No. 79.504.708 Dirección: Calle 105 No. 18 A - 20 Ciudad: Bogotá D.C. Correo electrónico: info@gdel.com.co