Resolución sancionatoria N° 33267 de 2020

REPÚBLICA DE COLOMBIA (30 de junio) Radicación 16 – 441248 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que en virtud de la denuncia presentada el 30 de noviembre de 20161 por el señor OSCAR LEONARDO SERRANO CADENA ante esta Superintendencia, se tuvo conocimiento de la presunta violación de las normas de protección de datos personales consagradas en la Ley 1581 de 2012, por parte de la sociedad CENTRAL MOTOR AMERICA S.A.S, identificada con el Nit. 900.380.333-1, por lo que la Dirección de Investigación de Protección de Datos Personales mediante Resolución N° 21201 del 26 de marzo de 2018 decidió iniciar investigación administrativa por la presunta vulneración a las disposiciones contenidas en: el literal d) del artículo 17 en concordancia con el literal f) y g) del artículo 4 de la Ley 1581 de 2012, el literal b) del artículo 17, el literal c) del artículo 4 en concordancia con el artículo 9 de la Ley 1591 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y, el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la citada norma.

SEGUNDO. Que mediante Resolución N°6369 del 21 de marzo de 20192, la Dirección de Investigaciones de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad CENTRAL MOTOR AMERICA S.A.S, identificada con el Nit. 900.380.333-1, de NOVENTA Y UN MILLONES NOVENTA Y DOS MIL SETECIENTOS SESENTA PESOS M/CTE ($91.092.760), equivalentes a CIENTO DIEZ (110) salarios mínimos legales mensuales vigentes, por el incumplimiento de lo dispuesto en: el literal d) del artículo 17 en concordancia con el literal f) y g) del artículo 4 de la Ley 1581 de 2012, el literal b) del artículo 17, el literal c) del artículo 4 en concordancia con el artículo 9 de la Ley 1591 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y, el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la citada norma.

TERCERO. Que encontrándose dentro del término otorgado por la Resolución N° 6369 del 21 de marzo de 2019, mediante comunicación recibida el 15 de abril de 20193, la 1 Folios 1 - 2 2 Folios 318 - 327 3 Folios 337 – 350. RESOLUCIÓN NÚMERO 33267 DE 2020 investigada CENTRAL MOTOR AMERICA S.A.S. (en adelante la recurrente), presentó recurso de reposición y en subsidio de apelación contra la Resolución N° 6369 del 21 de marzo de 20194, con base en los siguientes argumentos: I. Revocatoria de la sanción por valor TREINTA (30) SMLMV.

La recurrente señala que la sanción transgrede el principio de congruencia, por los siguientes motivos: a) Empieza por entender que el cargo se concreta en que “la investigada debía contar con las medidas de seguridad adecuadas para controlar que el envío de la publicidad fuera enviada únicamente al Titular de la información”. Con esto en mente, señala que la valoración probatoria y conclusiones de la resolución apelada se salen del marco inicialmente establecido en los cargos formulados y aborda otros elementos que no le fueron imputados en su momento a la recurrente, a saber, “el envío de correos masivos”. b) De igual forma, considera que se “suma como causal adicional de revocatoria el hecho de haberse sancionado a CENTRAL MOTOR AMERICA S.A.S por no establecer “condiciones de seguridad” para incumplir un deber que no le asistía, esto es haber impedido el “acceso no autorizado” de terceros al correo corporativo del quejoso”.

II. Revocatoria de la sanción por valor CINCUENTA (50) SMLMV. La recurrente señala que la sanción transgrede el principio de congruencia, por los siguientes motivos: a) Manifiesta que el cargo consiste en que “el Responsable no allegó documento en el que se pudiera establecer que conservaba la autorización entregada por el Titular esto es OSCAR LEONARDO SERRANO – para el Tratamiento de sus datos”.

Con esto en mente, señala que la valoración probatoria y conclusiones de la resolución apelada se sale del marco inicialmente establecido en los cargos formulados y aborda otros elementos que no le fueron imputados en su momento a la recurrente, a saber “no contar con soporte correspondiente de las autorizaciones para que enviara el correo electrónico (…) de manera masiva a terceros no autorizados”. b) Arguye que de conformidad con el artículo 14 de la Ley 1581 de 2012 que contiene los criterios para graduar la sanción, ha de tenerse en cuenta los siguientes aspectos: 4 Folios 318 - 327 RESOLUCIÓN NÚMERO 33267 DE 2020 III.

Revocatoria de la sanción por valor VEINTE (20) SMLMV. La recurrente señala que la sanción transgrede el principio de presunción de inocencia, por los siguientes motivos: a) Señala que el cargo se materializa en que “la investigada presuntamente no cumple con el requisito de informar las finalidades al Titular”. Con esto en mente, afirma que esta Entidad, “olvidó que, por tratarse de un proceso administrativo sancionatorio, en virtud del principio de inocencia arriba mencionado, es a la SIC a quien correspondía probar que los correos eran efectivamente no corporativos sino personales”.

IV. Revocatoria de la sanción por valor VEINTE (20) SMLMV. La recurrente señala que la sanción transgrede el postulado según el cual estamos frente a una responsabilidad de carácter personal y no institucional, por los siguientes motivos: a) Pone de presente que el cargo consiste en que “al enviar la petición a un correo perteneciente a un empleado de la sociedad éste debía dar respuesta con las condiciones mínimas la investigada presuntamente no cumple con el requisito de informar las finalidades al Titular”.

Con este en mente, si bien se aceptó el cargo imputado, el mismo no debe recaer sobre CENTRAL MOTOR AMERICA S.A.S sino sobre el funcionario responsable de la demora en la atención del derecho de petición del Titular. Con base en las anteriores argumentaciones, pretenden que se revoque la Resolución N° 6369 de 2019 proferida en contra de CENTRAL MOTOR AMERICA S.A.S. RESOLUCIÓN NÚMERO 33267 DE 2020 CUARTO. Que mediante Resolución 24750 del 28 de junio de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió confirmar en todas sus partes la Resolución 6369 del 21 de marzo de 2019 y conceder el recurso apelación interpuesto subsidiariamente por la recurrente.

QUINTO. Que mediante el artículo primero de la Resolución No. 12169 del 31 de marzo de 2020 de esta entidad se ordenó lo siguiente: “SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.” Que en el presente caso no se trata de una actuación relacionada con la garantía del habeas data contenido en el artículo 15 de la Constitución Política y cuyo texto es el siguiente: “Todas las personas (…) tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Que mediante el artículo 1 de la Resolución 28182 del 12 de junio de 2020 de la de 2020, los términos de las actuaciones administrativas sancionatorias y disciplinarias que se surten ante las dependencias de esta Superintendencia (…)”

SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución N°6369 del 21 de marzo de 2019, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO:

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20115 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”. 5 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO 33267 DE 2020

2. DE LA COHERENCIA ENTRE LOS CARGOS FORMULADOS Y LA SANCIÓN IMPUESTA. Del artículo 47 de la Ley 1437 de 20116 se concluye que el pliego de cargos es la imputación que hace una entidad pública a un persona natural o jurídica cuando como resultado de averiguaciones preliminares establece que existen méritos para adelantar un procedimiento sancionatorio.

La finalidad de dicho pliego es informar al investigado de los hechos y normas presuntamente infringidas para que presente los descargos y solicite o aporte las pruebas que pretendan hacer valer. Con miras a garantizar el derecho de defensa, la formulación de cargos debe ser precisa de manera que el investigado conozca claramente de qué se le acusa y pueda presentar sus argumentos.

En ese sentido, el citado artículo 47 ordena lo siguiente:

ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes. (…)” (Destacamos) Sobre este punto, el Consejo de Estado ha recalcado que “se precisa que la pieza procesal esencial sobre la que se edifica un proceso sancionatorio es el pliego de cargos el que debe tener absoluta coherencia con la decisión que pone fin a la actuación, debiendo cumplir estrictos requisitos formales y sustanciales, dentro de los cuales tiene especial trascendencia la precisión y claridad de los hechos que son motivo de investigación y por los cuales se formula la imputación, de la misma manera que la modalidad en que ocurrieron, y las circunstancias de agravación de la sanción que hayan sido deducidas, así como la calificación jurídica de tales situaciones”7 (Destacamos) La formulación de cargos debe ser clara y precisa para que el investigado se defienda sobre lo que concretamente se le acusa.

En caso que se adopte una sanción, la misma debe ser respecto de lo que se acusó al investigado. En otras palabras, debe existir coherencia entre los cargos y la sanción. No se puede sancionar por un hecho o conducta sobre la cual no se le imputó cargos al investigado. Lo anterior tiene que ser así para garantizar el debido proceso que comprende, entre otras, el derecho de contradicción y defensa.

En suma, debe existir congruencia entre el cargo formulado y la sanción impuesta de manera que no se sancione por una conducta no señalada en el pliego de cargos. En línea con lo anterior, el Consejo de Estado han señalado que “es importante resaltar que para adoptar la decisión definitiva la administración deberá mantener las mismas garantías formales establecidas para el pliego de cargos 6 Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 7 Cfr. Consejo de Estado, Sección Quinta.

Consejera ponente: Rocío Araújo Oñate Bogotá D.C., veintidós (22) de febrero de dos mil dieciocho (2018). Radicación Número: 25000232400020100034801 RESOLUCIÓN NÚMERO 33267 DE 2020 acto con el cual deberá guardar coherencia como una manifestación del acatamiento de la administración al principio de congruencia y del respeto del debido proceso”8 (Destacamos).

Puntualmente, dicha Corporación ha precisado que “la Sala ha sostenido que las sanciones deben imponerse por los mismos hechos planteados en el pliego de cargos, puesto que si se sanciona por hechos distintos se desconoce el debido proceso, dado que el administrado no tiene la oportunidad de ejercer su derecho de defensa”.9 (Destacamos) En el presente caso, CENTRAL MOTOR AMÉRICA S.A.S. manifiesta que le formularon cargos por infringir los derechos del quejoso, pero que se le sancionó por vulnerar no sólo los derechos del mismo sino de otros titulares de los datos.

Sobre este punto, este Despacho procedió a verificar el pliego de cargos y constató que, salvo el cargo cuarto, el mismo no se limitó a la situación específica del ciudadano que presentó la queja sino expresamente también abarcó la de los otros titulares de los datos respecto de los cuales dicha sociedad recolecta y trata su información a través de su página web.

Lo anterior se puede corroborar en las siguientes partes de la Resolución 21201 del 26 de marzo de 2018 “por la cual se inicia una investigación administrativa y se formulan cargos” y en donde se resuelve lo siguiente: 8 Cfr. Consejo de Estado. Sala de Consulta y Servicio Civil. Consejero Ponente: Álvaro Namén Vargas. Bogotá D.C., treinta (30) de octubre de dos mil trece (2013).-Rad.

No. 11001-03-06-000-2013-00392-00 9 Cfr. Consejo de Estado Sala de lo Contencioso Administrativo Sección Cuarta: Consejero Ponente: Martha Teresa Briceño De Valencia. Bogotá D.C., Treinta (30) de agosto de dos mil dieciséis (2016). Radicación número: 20001-23-33-000-2012-00204-01(20771). En la sentencia citan estas decisiones del Consejo de Estado: Sentencias de 6 de agosto de 1998, C.P. doctor Delio Gómez Leyva, Exp. 9886; de 14 de abril de 2000, C.P. doctor Germán Ayala Mantilla, 2 de noviembre de 2001, C.P. doctora Ligia López, Exp. 12283 y de 10 de julio de 2014, C.P. Martha Teresa Briceño de Valencia, exp. 19212.

RESOLUCIÓN NÚMERO 33267 DE 2020 RESOLUCIÓN NÚMERO 33267 DE 2020 De lo anterior se concluye lo siguiente: En primer lugar, el proceso sancionatorio inició por la queja de un ciudadano, pero durante el mismo se estableció que la conducta de CENTRAL MOTOR AMÉRICA S.A.S. involucra no solo el tratamiento de los datos del quejoso sino de todas las personas cuya información es recolectada a través de la página web y los destinatarios de un correo electrónico publicitario que envío dicha empresa.

En segundo lugar, la formulación de cargos se efectuó no sólo respecto de la vulneración de los derechos del denunciante sino de todas las demás personas respecto de las cuales CENTRAL MOTOR AMÉRICA S.A.S. recoge datos mediante su página web y a quienes dicha empresa les remitió mensajes comerciales mediante un correo electrónico dirigido a muchos destinatarios.

Dado lo anterior, en el numeral 11.1.1. de la Resolución 6369 de 2019 se especifica que la sanción corresponde por lo siguiente: (…) Respecto del numeral (iv) se aclaró en el numeral 11.1.2. que el monto de la multa por infringir el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012 se redujo de veinte (20) a diez (10) salarios mínimos legales mensuales (SMLM) porque el investigado aceptó la comisión de esa infracción: (…) RESOLUCIÓN NÚMERO 33267 DE 2020 Teniendo lo anterior, la multa final fue de ciento diez (110) SMLM, tal y como se señala en la parte resolutiva de la citada resolución. En conclusión, en el presente caso si existió congruencia entre los cargos formulados mediante la Resolución 21201 del 26 de marzo de 2018 y la sanción impuesta a través de la Resolución 6369 de 2019.

Por lo tanto, no son de recibo los argumentos del recurrente sobre este tema.

3. DE LAS DIRECCIONES DE CORREO ELECTRÓNICO COMO DATOS PERSONALES Y DE LA CLASIFICACIÓN JURÍDICA DE ESTA CLASE DE INFORMACIÓN. Para efectos de este caso resulta necesario recordar que no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado. Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública.

Basta recordar las siguientes definiciones de la Ley 1581 de 2012 y su decreto reglamentario: “ARTÍCULO 3o. DEFINICIONES. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento;

RESOLUCIÓN NÚMERO 33267 DE 2020 g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” El numeral 2 del artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, por su parte, define el Dato público en los siguientes términos: “Es el dato que no sea semiprivado, privado o sensible.

Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no sometidas a reserva”.

(Destacamos). Teniendo en cuenta lo anterior, la Delegatura pudo verificar lo siguiente en la queja10 presentada por un ciudadano ante esta entidad: a) El mensaje de datos o comunicación publicitaria se remitió a 196 direcciones de correo electrónico b) Ocho (8) de esas direcciones no son datos personales porque, de una parte, (i) no se refieren a una persona natural11 o, de otra parte, (ii) no hacen alusión a una persona sino a cosas o actividades12. c) Veintiséis (26) son datos de naturaleza pública13 porque se tratan de direcciones de correo electrónico corporativas o que hacen alusión a la profesión u oficio de las personas En suma, el 4% de las direcciones de correo electrónico no son datos personales y 13,26% son datos personales de naturaleza pública.

Así las cosas, el 17,34% de las direcciones electrónicas no requieren de autorización para ser recolectados o tratados. Visto lo anterior a continuación se procederá a establecer si se obró correctamente respecto de las sanciones impuestas al recurrente:

4. LA AUTORIZACIÓN DEL TITULAR ES UN PRERREQUISITO PARA PODER TRATAR SUS DATOS CON FINES DE MARKETING, PUBLICIDAD O COMERCIO ELECTRÓNICO. EN CASOS EXCEPCIONALES SE PUEDE HACER SIN AUTORIZACIÓN PERO ELLO NO SIGNIFICA QUE DESAPAREZCA LA PROTECCIÓN LEGAL DE ESA INFORMACIÓN Y DEL TITULAR DEL DATO. 10 Documento con número de radicado 16-441248- -00000-0000 11 Cfr. proyectos@aesscargo.co; sotraseguros@hotmail.com; comercialymercadeo@coopasan.com.co) 12 Cfr. (transportedematerial@hotmail.com; pruebasicop@gmail.com; ferreteria5y6rps@hotmail.com; camisetas_cada@hotmail.com; papeleriabolivar@hotmail.com ) 13 Cfr. (lucerorizzo@starmedia.com; luciamb@familia.com.co; marcos.gomez@ecopetrol.com.co; marisaordo@gco.com.co; feromero@pacificrubiales.com.co; gerente796@bancolombia.com.co; mtarazona@belcorp.biz francymiloerna3811@outlet.com; monica.rodriguez@ecopetrol.com.co; monica.ochoa@arenasochoa.com; nancypatricia.ricon@bbva.com; natalia.henao@bbva.com; gerencia@garantiacta.com; ing.nelson.contreras@gmail.com; oserrano@damossoluciones.net; ferchoabogado723@outlook.com; paplata@bancolombia.com; gerencia@hotelsevillaplaza.com; rveiga@odebrecht.com; rjaimeal@banrep.gov.co; victor.nino@ecopetrol.com.co; jbarros@unab.edu.co; javier.bermudez@extrucol.com; david.serrano@metalex.com.co; gerencia@institutoimoc.com ) RESOLUCIÓN NÚMERO 33267 DE 2020 Las actividades de marketing, publicidad y comercio electrónico son lícitas y para su realización debe aplicarse la regulación sobre tratamiento de datos personales.

Durante 2019 esta entidad emitió las siguientes dos (2) guías14 para que sean tenidas en cuenta por parte de quienes efectúan esas labores: • GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE COMERCIO ELECTRÓNICO • GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE MARKETING Y PUBLICIDAD Estas no son de obligatorio cumplimiento pero presentan orientaciones o recomendaciones para cumplir mandatos legales como, entre otros, los artículos 9 y 10 de la Ley Estatutaria 1581 de 2012, a saber: “ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley. Como se observa, por regla general se requiere la autorización previa, expresa e informada para tratar los datos personales que no sean de naturaleza pública. En algunos casos excepcionales, el artículo 10 de la Ley 1581 de 2012 permite el tratamiento de datos sin el consentimiento del Titular del Dato.

No obstante lo anterior, la recolección de Datos sin Autorización no significa que quede sin protección esa información, o los ciudadanos Titulares de los Datos. En efecto, la parte final del artículo 10 de la Ley 1581 de 2012 esa norma señala que “quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”.

(Destacamos). La falta de autorización no genera la desaparición de la protección jurídica de los datos personales y de los Titulares de los mismos porque el Responsable o Encargado debe cumplir todas las demás obligaciones legales establecidas en la citada ley y sus decretos reglamentarios. Así pues, la Autorización es un mecanismo muy importante de legitimación para tratar Datos personales, pero no es, per se, una forma de protección de los derechos.

La 14 Los textos están disponibles en la sección de publicaciones de la Delegatura para la protección de datos personales: https://www.sic.gov.co/tema/proteccion-de-datos-personales RESOLUCIÓN NÚMERO 33267 DE 2020 efectiva protección de éstos, dependerá, entre otros, de las medidas que implementen los Responsables del Tratamiento para cumplir la regulación sobre la materia.

En el presente caso se estableció que el 17,34% de las direcciones electrónicas no requieren de autorización para ser recolectados o tratados. Esto se tendrá en cuenta para reducir la multa. Pero, al mismo tiempo, en el 82,66% sí se requería autorización previa, expresa e informada para poder recolectar, usar o tratar las direcciones electrónicas de las personas naturales a quienes se les remitió un mensaje pubicitario.

En todo caso, en el 100% de las direcciones se debían cumplir las demás obligaciones legales como, entre otros, adoptar medidas de seguridad.

5. LA RECURRENTE NO PROBÓ TENER LA AUTORIZACIÓN PREVIA, EXPRESA E INFORMADA DE LOS TITULARES DE LOS DATOS Ahora bien, en el numeral 11.1.1. de la Resolución 6369 de 2019 se especifica que la sanción corresponde por, entre otros, lo siguiente: (…) Teniendo en cuenta lo anterior, la multa de cincuenta (50) salarios mínimos legales mensuales (SMLM) se reducirá en un 17,34% porque no se requería obtener la autorización en casos cuyas direcciones no eran datos personales o lo eran pero de naturalez pública.

Así las cosas, la multa por esta infracción no será de 50 SMLM, sino de cuarenta y uno punto treinta y tres (41,33) SMLM. En los demás caso, es decir en el 82,66% se requería de la autorización previa, expresa e informada de todos y cada uno de los titulares de las direcciones de correo electrónico. La recurrente no presentó prueba de cada una de esas autorizaciones razón por la cual incumplió lo ordenado por las normas citadas.

No debe olvidarse que la regulación sobre protección de datos impone al Responsable la carga probatoria de acreditar la citada autorización. Es necesario tener presente que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012” 15 y en el Decreto 1377 de 2013.

La obtención de la autorización puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 del decreto 1377 de 2013, incluso las conductas 15 Cfr. Artículo 26 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 33267 DE 2020 inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.

De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización”16, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular”17 Reiteramos que la autorización puede obtenerse utilizando diversos mecanismos o procedimientos que se utilicen en la página web, pero es estrictamente necesario tener la prueba de la autorización individual y concreta de todos y cada uno de los Titulares cuyos datos se recolectan en la página web.

No sirve acreditar proformas generales sino autorizaciones puntuales sobre cada Titular del Dato. Es preciso resaltar que la regulación sobre datos personales impone cargas probatorias en cabeza de los Responsables del Tratamiento como, entre otras, las siguientes: a) Conservar prueba de haber informado al titular, al momento de solicitarle la autorización, de manera clara y expresa lo que ordena el artículo 12 de la Ley 1581 de 2012 y, cuando el Titular lo solicite, entregarle copia de de ello18 b) “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”19. c) “Proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso”20 d) “Documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate”21. e) “Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas”22 f) “Conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven”23 g) Adoptar “las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo 16 Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 17 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. 18 Cfr. Parágrafo del artículo 12 de la Ley 1581 de 2012.

Cfr. Literal (b) del artículo 17 de la Ley 1581 de 2012 y artículo 8 del Decreto 1377 de 2013 “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. 20 Cfr. Artículo 4 del Decreto 1377 de 2013. 21 Cfr. Artículo 11 del Decreto 1377 de 2013. 22 Cfr. Artículo 13 del Decreto 1377 de 2013. 23 Cfr. Artículo 16 del Decreto 1377 de 2013.

RESOLUCIÓN NÚMERO 33267 DE 2020 solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento”24. En suma, quienes desarrollen actividades de comercio electrónico deben establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales.

Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. En el presente caso, la recurrente no acreditó la prueba de la autorización del 82,66% de los titulares de los datos personales a quienes les remitió una comunicación comercial. Por eso se mantendrá la multa impuesta reducida en un 17,34% de manera que disminute de 50 a 34,68 SMLM.

En el expediente se puede corroborar que la recurrente aportó un formato de Autorización para 1) cotización y ii) de Tratamiento de Datos Personales de Clientes. Pero ello es insuficiente porque no se trata de allegar formatos no diligenciados sino de autorizaciones concretas en donde se evidencie el consentimiento del titular del dato: De igual forma, la recurrente aporta una serie de pantallazos (ilegibles) de lo que aparece en su página en el momento en que el cliente ingresa sus datos para una 24 Cfr. Artículo 22 del Decreto 1377 de 2013.

RESOLUCIÓN NÚMERO 33267 DE 2020 cotización por medio de su página web. En los mismos, no es posible determinar el contenido del mesaje ni establecer que es una autorización en los terminos de ley. Así las cosas, la recurrente no acreditó pruebas de las autorizaciones de los titulares de los datos personales de naturaleza no pública. Por tanto, la Resolución N°6369 del 21 de marzo de 2019 se ajusta a derecho cuando afirma, entre otras, que

6. DEL DEBER DE INFORMAR LA FINALIDAD DEL TRATAMIENTO Y LOS DERECHOS DEL TITULAR DEL DATO PERSONAL En el numeral 11.1.1. de la Resolución 6369 de 2019 se especifica que la sanción corresponde por, entre otros, lo siguiente: (…) El literal c) del artículo 17 y el artículo 12 de la Ley Estatutaria 1581 de 2012 dicen lo siguiente respecto del deber de informar la finalidad del tratamiento: RESOLUCIÓN NÚMERO 33267 DE 2020 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” En el presente caso, los cargos formulados a la recurrente se hicieron en los siguientes términos: RESOLUCIÓN NÚMERO 33267 DE 2020 Como se observa, el cargo se refiere a la recolección de los datos a través de la página web.

Teniendo en cuenta lo anterior esta Delegatura verificó la página web de la recurrente y pudo establecer que la misma no infringió las normas citadas porque cumplió sus obligaciones legales mediante la Política de Tratamiento de Información (PTI), la cual es jurídicamente vinculantes y cuyo incumplimiento genera sanciones. En este sentido, el artículo 25 de la Ley 1581 de 2012 ordena: “Para realizar el registro de bases [sic] de datos [sic], los interesados deberán aportar a la información, las cuales obligarán a los responsables [sic] y encargados [sic] del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”. (Destacamos). En efecto, de la PTI de CENTRAL MOTOR AMERICA S.A.S publicada en su página web https://www.centralmotor.com.co se puede establecer lo siguiente25: ¿Se informa de manera clara y expresa el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo? (Literal a) del artículo 12 y literal c) del artículo 17 de la Ley 1581 de 2012) Se cumple cuando se afirma que: “La información proporcionada por los titulares de datos personales es empleada conforme a finalidades legítimas y relativas a nuestra actividad económica.

Estas finalidades se enuncian de manera específica en la siguiente lista (…)”. ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes? (Literal b) del artículo 12 de la Ley 1581 de 2012) Se cumple cuando se afirma que: “El suministro de datos personales sensibles será facultativo para su titular, pudiendo abstenerse de entregarlos cuando así lo desee”.

¿Se informa de manera clara y expresa los derechos que le asisten como Titular? (Literal c) del artículo 12 de la Ley 1581 de 2012) Se cumple cuando se mencionan en el acápite títulado “XII. DERECHOS DE LOS TITULARES”. ¿Se informa de manera clara y expresa la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento? (Literal d) del Artículo 12 de la Ley 1581 de 2012) 1.

Central S.A.S Motor América 2. Carrera # 55-40 Bucaramanga, Santander. 3. Dirección de correo electrónico: serviciocliente@centralmoto r.com.co Dado lo anterior, esta Delegatura concluye que la recurrente no infringió las normas citadas en la formulacón del cargo 3.3., razón por la cual se revocará parcialmente la La información obtenida para la realización de esta tabla fue en el dominio https://www.centralmotor.com.co/wp-content/themes/yoquierounford/doc/politica-de-tratamiento-de-lainformacion-america.pdf.

RESOLUCIÓN NÚMERO 33267 DE 2020 Resolución 6369 de 2019 reduciendo la multa en veinte (20) salarios mínimos legales mensuales.

7. DEL PRINCIPIO Y DEL DEBER DE DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES. Mediante Resolución N°21201 del 26 de marzo de 2018, la Dirección de Investigaciones de Protección de Datos Personales, dejó claro que el primer cargo formulado contra CENTRAL MOTOR AMERICA S.A.S con ocasión de la denuncia presentada, recaía en la presunta vulneración al deber de contar con medidas de seguridad para el Tratamiento de los datos personales.

Respecto del principio de seguridad en el Tratamiento de datos personales, existe una amplia regulación. No obstante, se destacan las siguientes: Literal g) Artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) Artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Por su parte, la Corte Constitucional ha establecido que: “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(..) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”26. (Subrayado fuera de texto). En el presente caso, la recurrente no cumplió el deber y el principio de seguridad porque permitió que 196 direcciones de correo electrónico fuesen conocidas indebidamente por terceros.

En otras palabras, no adoptó las medidas de seguridad necesarias para impedir la consulta, uso o acceso no autorizado de esos datos. Al contrario, lo que hizo la recurrente fue facilitar esa conductas al remitir un mensaje de datos sin adoptar medidas para que los 26 Corte Constitucional. Sentencia C – 748 del 2011. M.P. JORGE IGNACIO PRETELT CHALJUB RESOLUCIÓN NÚMERO 33267 DE 2020 destinatarios del mismo no pudiesen conocer las direcciones de correo electrónico de todos los destinatarios de la comunicación comercial enviada por la recurrente.

La protección de datos personales no puede entenderse satisfecho con la mera redacción de políticas. No se trata de garantizar seguridad en el papel sino en la práctica. En el presente caso, la recurrente no sólo falló en garantizar la seguridad en el tratamiento de datos sino que fue el responsable de dicha falencia. El material probatorio que obra en el expediente permite comprobar que la recurrente cuenta con: Política de Protección de Datos Personales de CENTRAL MOTOR AMERICA S.A.S., acta de posicionamiento del Oficial de Protección de Datos Personales, procedimiento de Gestión de Usuarios y Seguridad de la Información, protocolo de consultas y reclamos de CENTRAL MOTOR AMERICA S.A.S. Dentro del Procedimiento de Gestión de Usuarios y Seguridad de la Información se pueden observar las siguientes medidas escritas: • Los colaboradores deberán verificar el soporte de la autorización, cuando se realice comunicación con algún Titular externo de la organización. (folio 116). • Los colaboradores no podrán enviar información a terceros ajenos a la organización, sin previa autorización del Oficial de Protección de Datos personales y de la gerencia. (folio 115). • Se prohíbe el envío de comunicaciones masivas, sin verificar previamente la autorización del Titular para la recepción de las mismas.

(folio 115). • Los colaboradores conocen que los envíos de dichos masivos deben ir conforme a las medidas de seguridad adecuadas y cumpliendo el principio de acceso y circulación restringida de la información. (folio 115). • El responsable de la Gestión de Tecnologías de la Información o área de sistemas, deberá monitorear cualquier tipo de irregularidad, frente al manejo, sustracción, e incumplimiento de las responsabilidades de los colaboradores conforme al artículo primero del presente procedimiento, y asimismo informar de manera inmediata al Oficial de Protección de Datos personales y a la gerencia. (folio 116).

Como se observa, existen textos consistentes con los mandatos legales pero en la práctica no se cumplen por parte de la recurrente. En el presente caso, la recurrente envió un mensaje de datos mediante el cual dio a conocer las direcciones de correo electrónico de 196 personas. De esta manera, la remisión de aquel correo a múltiples destinatarios sin copia oculta u otro mecanismo para evitar dar acceso a esa información, fue el hecho generador de la violación del principio y el deber de seguridad.

Por todo lo expuesto, no son de recibo los argumentos de la recurrente y se confirma que la Resolución N°6369 del 21 de marzo de 2019, no se sale del marco inicialmente establecido en los cargos formulados y no aborda otros elementos diferentes a los imputados a la recurrente cuando afirma que: RESOLUCIÓN NÚMERO 33267 DE 2020

8. DE LOS RESPONSABLES DEL TRATAMIENTO DE LOS DATOS PERSONALES. La recurrente afirma que debe revocarse la sanción por valor de veinte (20) salarios mínimos legales mensuales vigentes por la vulneración al deber de tramitar las consultas y reclamos de los Titulares en los términos señalados por ley. Esgrime como argumento que se trata de una responsabilidad de carácter personal y no institucional, por lo que debe recaer sobre el empleado de la compañía responsable del incumplimiento.

No es de recibo el anterior argumento porque el Responsable del Tratamiento es la sociedad recurrente y por ende debe responder por el cumplimiento de sus deberes. Si se trata de una acción u omisión de uno de sus empleados o colaboradores pues el recurrente puede repetir contra ellos, pero no puede eximirse de su responsabilidad legal como Responsable del Tratamiento.

En suma, habiéndose demostrado durante el proceso administrativo que la recurrente no tramitó, en los términos legales, la consulta presentada por el quejoso, esta Delegatura confirmará la sanción impuesta por el deber establecido en el literal j) del artículo 17 de la ley 1581 de 2012. Aunque las razones anteriores son suficientes para confirmar la Resolución recurrida, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.

Responsabilidad Personal de los Administradores

9. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”27. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con 27 Cfr. Corte Constitucional, sentencia T-227 de 2003. RESOLUCIÓN NÚMERO 33267 DE 2020 negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2628 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”29 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada30(accountability)31”. 28 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 29 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 30 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 33267 DE 2020 El término “accountability”32, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza33 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que 31 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-queaccountability-1470/ el 22 de abril de 2019. 32 Cfr. Grupo de trabajo de protección de datos del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 33 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. RESOLUCIÓN NÚMERO 33267 DE 2020 garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 34.

(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 35, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”36.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 37. Adicionalmente se precisa que “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”38. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”39 que Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 35 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 36 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 37 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendohora-que-se-hable-correctamente-de-compliance-iii/ 38 Idem. 39 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18.

RESOLUCIÓN NÚMERO 33267 DE 2020 les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”40.

10. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES. El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la Ley 222 de 199541 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen 40 Ibidem. 41 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 33267 DE 2020 hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2442 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”43.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo expuesto, es imperativo que el representante legal de CENTRAL MOTOR AMÉRICA S.A.S adopte medidas pertinentes, útiles, efectivas y verificables con el fin de: 1.

Respetar y garantizar los derechos de los titulares de los datos. 2. Evitar que se repitan hechos como los que dieron origen a la presente actuación. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”44.

Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 43 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. 44 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf RESOLUCIÓN NÚMERO 33267 DE 2020 Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica la seguridad de los datos y los derechos de los titulares de los datos personales.

11. DE LA APLICACIÓN DEL ARTÍCULO 49 DE LA LEY 1955 DE 2019. Establece el artículo 49 de la Ley 1955 de 2019 lo siguiente: “ARTÍCULO

49. CÁLCULO DE VALORES EN UVT. A partir del 1 de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente (smmlv), deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT). En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PARÁGRAFO. Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1 de enero de 2020 se mantendrán determinados en smmlv”. (negrilla fuera de texto) Por su parte el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, dispone lo siguiente:

ARTÍCULO

87. FIRMEZA DE LOS ACTOS ADMINISTRATIVOS. Los actos administrativos quedarán en firme: 1. Cuando contra ellos no proceda ningún recurso, desde el día siguiente al de su notificación, comunicación o publicación según el caso. 2. Desde el día siguiente a la publicación, comunicación o notificación de la decisión sobre los recursos interpuestos. 3.

Desde el día siguiente al del vencimiento del término para interponer los recursos, si estos no fueron interpuestos, o se hubiere renunciado expresamente a ellos. 4. Desde el día siguiente al de la notificación de la aceptación del desistimiento de los recursos. 5. Desde el día siguiente al de la protocolización a que alude el artículo 85 para el silencio administrativo positivo.

(negrilla De conformidad con las normas anteriormente citadas, este Despacho modificará el Artículo Primero de la Resolución N°6369 del 21 de marzo de 2019, indicando el equivalente Unidades de Valor Tributario (UVT)45, de conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019. 12. CONCLUSIÓN Sin perjuicio de lo anterior, se accederá parcialmente a las pretensiones de la recurrente por las siguientes razones: 1.

En el presente caso si existió congruencia entre los cargos formulados mediante la Resolución 21201 del 26 de marzo de 2018 y la sanción impuesta a través de la Resolución 6369 de 2019. 45 De conformidad con lo establecido en la Resolución No. 84 del 28 de noviembre de 2019 expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el 2020 es de $35.607 RESOLUCIÓN NÚMERO 33267 DE 2020 2.

No toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado. Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública. 3. De las 196 direcciones electrónicas a las que se les remitió un mensaje publicitario, el 4% de ellas no son datos personales y el 13,26% son datos personales de naturaleza pública.

Así las cosas, el 17,34% de las direcciones electrónicas no requieren de autorización para ser recolectados o tratados. 4. La recurrente no acreditó prueba de la autorización previa, expresa e informada de todas y cada un de las personas titulares de las direcciones de correo electrónico correspondientes al 82,66% de los destinatarios del mensaje publicitario remitido por CENTRAL MOTOR AMÉRICA S.A.S 5.

La recurrente si cumplió el deber de informar las finalidades del tratamiento y los derechos del Titular del Dato. 6. La recurrente no adoptó las medidas de seguridad necesarias para evitar que 196 direcciones de correo electrónico fuesen conocidas indebidamente por terceros. 7. Teniendo en cuenta todo lo anterior, la multa inicial de 110 SMLM ($91.092.760) se reducirá a 74,68 SMLM.

($61.843.702) Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho que la resolución objeto de impugnación fue expedida observando la ley, sin perjuicio de las precisiones realizadas mediante el presente acto administrativo. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, revocará parcialmente, la Resolución N°6369 del 21 de marzo de 2019.

Para efectos de la notificación se procederá conforme lo ordena el artículo 446 del Decreto Legislativo 491 del 28 de marzo de 2020. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. MODIFICAR el ARTÍCULO PRIMERO de la Resolución N°6369 del 21 de marzo de 2019, de conformidad con lo expuesto en la parte motiva del presente acto administrativo:

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad CENTRAL MOTOR AMERICA S.A.S identificada con el Nit. 900.380.333-1, de SESENTA Y UN 46 El artículo 4 del Decreto Legislativo 491 de 2020 ordena lo siguiente: "Notificación o comunicación de actos administrativos. Hasta tanto permanezca vigente la Emergencia Sanitaria declarada por el Ministerio de Salud y Protección Social, la notificación o comunicación de los actos administrativos se hará por medios electrónicos.

Para el efecto en todo trámite, proceso o procedimiento que se inicie será obligatorio indicar la dirección electrónica para recibir notificaciones, y con la sola radicación se entenderá que se ha dado la autorización. En relación con las actuaciones administrativas que se encuentren en curso a la expedición del presente Decreto, los administrados deberán indicar a la autoridad competente la dirección electrónica en la cual recibirán notificaciones o comunicaciones." RESOLUCIÓN NÚMERO 33267 DE 2020 MILLONES OCHOCIENTOS CUARENTA Y TRES MIL SETECIENTOS DOS PESOS ($61.843.702) equivalentes a 1736,841127 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos en (i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma norma así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales f) y g) del artículo 4 de la misma disposición, y (iii) el literal j) del artículo 17 de la Ley 1581 de 2012.

ARTÍCULO SEGUNDO. Confirmar en todo lo demás la Resolución N°6369 del 21 de marzo de 2019.

ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a CENTRAL MOTOR AMERICA S.A.S, identificada con el NIT. 900.380.333-1, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. Comunicar el contenido de la presente decisión al señor OSCAR LEONARDO SERRANO CADENA identificado con la Cédula de Ciudadanía No. 91.512.611 o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO QUINTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 de junio de 2020. El Superintendente Delegado para la Protección de Datos Personales ALC RESOLUCIÓN NÚMERO 33267 DE 2020 NOTIFICACIÓN Sociedad: Identificación: Representante legal: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: CENTRAL MOTOR AMERICA S.A.S Nit. 900.380.333-1 Javier Cuello Lacouture C.C. 77.016.762 Silvia Artola de Ariza C.C. 63.523.546 Carrera 27 N°56-48 Barrio Sotomayor Bucaramanga, Santander administrativo@centralmotor.com.co COMUNICACIÓN Reclamante Señor: Identificación: Correo electrónico: Ciudad: OSCAR LEONARDO SERRANO CADENA C.C 91.512.611 oserrano@damossoluciones.net Bucaramanga, Santander