REPÚBLICA DE COLOMBIA (Diciembre 16 de 2021) Radicación No. 18-220892 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y, CONSIDERANDO:
PRIMERO: Que mediante oficio radicado con el número 17-82770 de fecha 2 de septiembre de 2018, el señor Xxxxxxxx Xxxxxx Xxxxxxxxxx, presentó ante esta Superintendencia queja contra la sociedad CASA EDITORIAL EL TIEMPO S.A. identificada con NIT. 860.001.022-7.
SEGUNDO: Que una vez efectuado el análisis de los documentos que obran en el expediente, la Dirección de Investigación de Protección de Datos Personales mediante Resolución No. 81372 del 18 de diciembre de 2020, resolvió lo siguiente: RESOLUCIÓN NÚMERO 82428 DE 2021 TERCERO: Que mediante escrito del 14 de enero de 2021, a través de su apoderado la sociedad CASA EDITORIAL EL TIEMPO S.A., interpuso recurso de reposición y en subsidio el de apelación contra la Resolución No. 81372 del 18 de diciembre de 2020, solicitando se revoque la decisión basada en los siguientes argumentos: 2.1.
Recuento de las etapas del proceso administrativo sancionatorio adelantado por la SIC (…) 2.2. Violación al derecho de defensa y debido proceso Las autoridades judiciales y administrativas que adelantan investigaciones contra personas naturales o jurídicas tienen como principal obligación el resguardo y garantía del derecho fundamental al debido proceso previsto en el artículo 29 de la Constitución Política.
De ese derecho de rango constitucional se desprenden una serie de principios que rigen las actuaciones administrativas y que, por lo tanto, deben ser observados con rigor por el ente investigador. En la sentencia C-980 de 2010, la Corte Constitucional explicó: (…) El Código de Procedimiento Administrativo y de lo Contencioso Administrativo, que rige esta investigación administrativa, en su artículo 3° dispone como parte de sus principios rectores: En consecuencia, el derecho al debido proceso y los principios que lo componen, deben ser aplicados por las autoridades públicas que, en ejercicio de sus funciones, adelantan procesos administrativos sancionatorios.
Este es el caso de las investigaciones en materia de protección de datos personales. En tal sentido, la SIC se encuentra en la obligación de garantizar el cumplimiento de tan importante derecho. Lo anterior, como quiera que deben “( ) actuar conforme a los procedimientos previamente establecidos en la ley, con el fin de garantizar los derechos de quienes puedan resultar afectados por las decisiones de la administración que crean, modifican o extinguen un derecho o imponen una obligación o una sanción”.
Así, en la medida en que la defensa es un principio fundamental que integra el derecho al debido proceso en actuaciones administrativas, el Estado, a través de las entidades que tienen potestad sancionatoria en sede administrativa, deberán brindar plenas garantías de cumplimiento de los elementos que lo integran. La Corte Constitucional, indicó en ese sentido, lo siguiente: (…) El derecho administrativo sancionador exige una imputación personal de las infracciones como garantía imprescindible frente al ejercicio del poder sancionatorio del Estado.
En razón a lo anterior, la Corte Constitucional ha establecido que se deben respetar los siguientes principios: (…) En el transcurso de este escrito haremos evidente la violación al debido proceso en que incurrió la SIC al proferir la Resolución de Sanción, de la forma como lo hizo. 2.2.1. Sobre la primera violación del derecho de defensa de EL TIEMPO por parte de la SIC en relación con la incongruencia entre la resolución de apertura y la decisión de sanción En el numeral 15.2.4. de la Resolución de Sanción, el Director de Investigaciones realizó una valoración de algunos medios probatorios que reposan en el expediente, con el objetivo de analizar si las conductas desplegadas por EL TIEMPO configurarían una infracción al deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, sin haber formulado cargos contra EL TIEMPO por la vulneración de esta disposición. RESOLUCIÓN NÚMERO 82428 DE 2021 Todo el contenido del capítulo de alrededor de 10 páginas se lee una y otra vez supuestos hechos y actos llevados a cabo por EL TIEMPO, menciona medios de prueba que reposan en el expediente alegando supuestas actuaciones de EL TIEMPO, analizando la violación al derecho al habeas data del quejoso cuando a mi poderdante nunca se le abrió una investigación por la supuesta vulneración al literal a) de la Ley 1581 de 2012.
¿Cómo puede la SIC analizar actos llevados a cabo por EL TIEMPO sin haberle dado la posibilidad a mi poderdante de defenderse ante dichas acusaciones? Lo anterior configura una flagrante contravención al derecho de defensa, toda vez que, como ha aclarado el Consejo de Estado, la conducta o falta atribuida en el pliego de cargos no puede ser modificada, en virtud del principio de congruencia. El principio de congruencia en materia sancionatoria, obliga a la administración a que exista una concordancia entre el fallo y el acto de formulación del pliego de cargos, por lo que en la decisión de sanción no puede existir ni endilgarse una falta o conducta distinta de la que fue imputada en los pliegos de cargos.
Al respecto el Consejo de Estado ha afirmado que “para adoptar la decisión definitiva, la administración deberá mantener las mismas garantías formales establecidas para el pliego de cargos acto con el cual deberá guardar coherencia como una manifestación del acatamiento de la administración al principio de congruencia y del respeto del debido proceso”.
Toda declaración de responsabilidad que se haya realizado en ausencia de imputación formal vulnera el derecho de defensa, ya que, si esto sucede, el investigado no tendrá la oportunidad de defenderse o aportar pruebas sobre aquellos hechos no imputados. Al respecto, el Consejo de Estado ha aclarado: (…) En la medida en que mi poderdante nunca conoció que la SIC estaba investigándolo por la presunta violación a su deber de “Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, pues se reitera esta Superintendencia no formuló cargos en contra de EL TIEMPO por la vulneración de esta norma, por lo que EL TIEMPO no aportó pruebas tendientes a desvirtuar una presunta responsabilidad por infracción al literal a) de la Ley 1581 de 2012.
Más aun, EL TIEMPO inició el ejercicio de su derecho a la defensa, basado en la imputación de cargos referidos en la parte resolutiva de la Resolución de Apertura, presentando así el memorial de Descargos enunciando en el acápite de hechos de este Recurso, que incluía los argumentos para controvertir objetivamente el cargo ya mencionado con base en pruebas pertinentes, conducentes y útiles.
En consecuencia, la decisión del Director de Investigaciones está afectada por vicios de nulidad por violación al debido proceso, toda vez que EL TIEMPO no tuvo la oportunidad de aportar pruebas ni controvertir los hechos que constan en el numeral 15.2.4. de la Resolución de Sanción, en la que se valora su participación en la presunta materialización de una conducta que no le fue imputada de manera formal por lo que no pudo ejercer su derecho de defensa. 2.2.2.
Sobre la segunda violación al derecho de defensa y debido proceso por parte de la SIC y la Dirección de Investigación de Protección de Datos Personales, al no haber dado respuesta a la totalidad de los argumentos de defensa presentados por EL TIEMPO El artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo sobre el contenido de la decisión, menciona: (…) Es importante poner de presente a la Dirección de Investigaciones que, en virtud de lo señalado expresamente en el CPACA y por el principio de congruencia en el proceso administrativo sancionatorio, es obligación de la Autoridad responder a cada uno de los argumentos presentados por los investigados.
RESOLUCIÓN NÚMERO 82428 DE 2021 De acuerdo con la jurisprudencia del Consejo de Estado sobre el principio de congruencia en el proceso administrativo se lee: (…) En la Resolución de Sanción, la Dirección de Investigación de Protección de Datos Personales se abstuvo de dar respuesta a la totalidad de los argumentos de defensa, expuestos en los alegatos de conclusión, como se muestra en el cuadro que sigue: 2.2.3.
Sobre la tercera violación del derecho de defensa de EL TIEMPO por parte de la SIC en relación con la carga de la Prueba En el numeral 15.2.1. de la Resolución No. 81372 de 2020 hace un análisis sui generis sobre la carga probatoria en los procesos administrativos sancionatorios desconociendo de manera fehaciente y aterradora la normatividad vigente y toda la jurisprudencia de la Corte Constitucional respecto a esta materia.
Aterradoramente, la SIC en respuesta al argumento presentado por el señor Juan Guillermo Amaya, representante legal de EL TIEMPO sobre la obligación en cabeza de la SIC de demostrar la responsabilidad del investigado en un proceso administrativo sancionatorio, afirma que “(…) en el procedimiento administrativo sancionatorio no existe una contraparte como en el proceso judicial administrativo, por cuanto el Estado, a través de las entidades de vigilancia y control dispuestas para realizar las sanciones pertinentes, quien, en principio y en desarrollo de sus potestades sancionatorias, adelanta la actuación administrativa sin tener en cuenta una contraparte; por ello, no es procedente considerar que sea esta entidad la llamada a aportar y controvertir pruebas en la investigación administrativa que la misma está adelantando.
Así de modo alguno es dable a invocar que se desconoce la presunción de inocencia al corresponderle al investigado la carga probatoria dentro de la actuación administrativa”. Aunque en principio este no fue un argumento presentado por EL TIEMPO, es claro que si la SIC aplicó la misma teoría para demostrar la responsabilidad de mi poderdante en la presente RESOLUCIÓN NÚMERO 82428 DE 2021 investigación administrativa, se violó la presunción de inocencia de mi poderdante y, por ende, su derecho de defensa y debido proceso. 2.3.
El tiempo tramitó oportunamente y de fondo el reclamo presentado por Xxxxxxxx Xxxxxx Xxxxxxxxxx 2.2.1. La obligación en cabeza del responsable de dar trámite a las consultas y reclamos formulados en los términos de la ley busca garantizar el derecho al habeas data (i) El Derecho al habeas data El derecho de habeas data es un derecho fundamental autónomo, que le otorga al titular de datos la posibilidad de exigir a los responsables de su tratamiento el acceso, la inclusión, exclusión, corrección, adición y actualización de la información que consta en sus bases de datos.
En este sentido, es diferente al derecho de petición. Esto es, por cuanto la finalidad del habeas data no consiste en recibir una respuesta (aunque, de conformidad con la ley, dar una respuesta sea de obligatorio cumplimiento), sino en tener la posibilidad efectiva de acceder, incluir, excluir, corregir, adicionar o actualizar los datos personales propios.
Al respecto, la Corte Constitucional ha explicado: (…) Mal hace la Dirección de Investigación de Protección de Datos Personales en buscar equiparar el derecho de habeas data con el de petición. Aunque tienen elementos comunes, son derechos diferentes que se deben tratar como tal. Abstenerse de dar una respuesta a un reclamo o solicitud en el plazo previsto en los artículos 14 y 15 de la Ley 1581 de 2012 es una afectación a esta norma, pero no implica que se haya vulnerado el derecho de habeas data, sino el de petición. Lo que sí violaría el derecho de habeas data es abstenerse de permitir al titular conocer, actualizar, rectificar o suprimir sus datos personales.
Así las cosas, en el caso objeto de estudio, EL TIEMPO ha admitido, desde el inicio de esta investigación, que falló al no responder de manera formal la solicitud del quejoso, a pesar de haber tramitado oportunamente y de fondo su solicitud. Por lo que es claro que mi poderdante, ha respetado el derecho de habeas data. En efecto, mi poderdante ha reconocido que no envió una respuesta dentro del término legal establecido, pero sí tramitó la solicitud del quejoso.
La Superintendencia tiene que reconocer que no es lo mismo no haber dado respuesta formal a la solicitud del quejoso, a no haber tramitado y en tiempo la solicitud del quejoso y así haber violado el derecho al habeas data. Como se evidenció en los Descargos y los Alegatos de Conclusión, EL TIEMPO reconoció el derecho del Denunciante asegurándose de que en la plataforma CRM sus datos no existieran.
Esto se debe reflejar en la motivación de los actos administrativos de la SIC, ¿cómo es posible que para la Autoridad se considere la misma gravedad de la falta, dar trámite de fondo a la solicitud del titular de la información, a olvidar un tema formal que tiene repercusión sobre el derecho de petición? (ii) La solicitud al Denunciante se resolvió materialmente dentro de los términos previstos por la ley Me permito brindar las siguientes aclaraciones sobre los hechos probados a lo largo de la investigación administrativa con el fin de que contrarresten con los indicados en la Resolución de Sanción: a) El Denunciante se comunicó con EL TIEMPO el 13 de julio de 2018 El 13 de julio de 2018, el Denunciante se comunicó con EL TIEMPO con el objetivo de conocer las promociones ofrecidas por parte de la Compañía que para la fecha se encontraban vigentes.
RESOLUCIÓN NÚMERO 82428 DE 2021 En dicha llamada se le informó sobre los beneficios que otorgaba la “Tarjeta Vivamos Club”, la cual hace parte del programa de fidelización y lealtad de EL TIEMPO, y busca que sea posible acceder a beneficios con aliados comerciales a través de descuentos o promociones. Durante la llamada telefónica, el Denunciante aceptó expresamente la suscripción. b) El Denunciante solicitó no ser contactado por terceros Durante la llamada del 13 de julio de 2018, se solicitó al Denunciante la autorización para el tratamiento de datos personales por parte de EL TIEMPO.
El Denunciante indicó específicamente que no autorizaba ser contactado por terceros. c) EL TIEMPO marcó las opciones NO AUTORIZO y NO CONTACTAR POR TERCEROS El día 13 de julio de 2018 EL TIEMPO realizó la marcación en el sistema CRM, específicamente, las casillas de “No contactar por terceros” y, en adición, marcó la casilla de “No Autorizo”.
El Manual de Atención de Comunicaciones Telefónicas establece que las implicaciones de dichas marcaciones son las siguientes: “Marcación ‘No contactar por terceros’: “’No permite que lo contactan negocios diferentes a EL TIEMPO’. “Marcación ‘No Autorizo’: “A este cliente no se le puede contactar por ningún medio. “Si es suscriptor solamente se complementa con la marca ‘Solo para producto activo’ y de esta forma solamente se llamará para temas asociados a su suscripción.” Por lo anterior, debe entender la SIC que el proceso establecido en EL TIEMPO prevé que cuando se realiza la marcación “No Autorizo”, es indiferente si se ha marcado la casilla “No contactar por terceros”, toda vez que, con la primera, el CRM genera la prohibición de contactar al cliente por cualquier medio.
Aún más, el Jefe de Gobierno de Datos de EL TIEMPO testificó bajo juramento que, adicional a estas consecuencias, la fecha en que se realiza una marcación en el CRM de “No Autorizo”, se procede a eliminar los datos, salvo que exista una suscripción activa, pues en ese caso, existen obligaciones contractuales que impiden adelantar esta eliminación. La Corte Constitucional ha explicado, en relación con la obligación de suprimir los datos personales a solicitud de los titulares: (…) Teniendo en cuenta que el Denunciante era un suscriptor de EL TIEMPO para la fecha de esta solicitud, no era posible eliminar todos sus datos personales en ese momento.
Esto se explicará con mayor grado de detalle en la Parte (iii) de esta Sección de este documento. d) El día 16 de julio de 2018, el Denunciante solicitó la cancelación de todas sus suscripciones El 16 de julio de 2018, el Denunciante solicitó la cancelación de todos los productos17 y de todas las suscripciones que para la fecha indicada mantenía con EL TIEMPO, como consta en la llamada telefónica efectuada en la misma fecha.
Durante esa llamada (i) se le comunicó al Denunciante que todas sus solicitudes se habrían tramitado, (ii) se le dio información sobre el radicado de la solicitud que presentó en relación con dichas cancelaciones, y (iii) se le brindó información sobre cómo realizar reclamos ante EL TIEMPO para la protección de sus datos personales, informándole incluso, que lo podría hacer en esa misma llamada.
Ahora bien, esta Superintendencia ha entendido que, en la llamada del 16 de julio de 2018, EL TIEMPO le solicitó información al Denunciante que puede entenderse como un dato personal. Por lo anterior, establece esta autoridad, se estaba realizando un tratamiento de sus datos personales. RESOLUCIÓN NÚMERO 82428 DE 2021 Ante esa afirmación, es de indicar que, para ese momento de la llamada, el Denunciante aun no habría solicitado la cancelación de sus productos y, además, estos estaban activos.
Así, los datos personales del Denunciante eran necesarios para el cumplimiento de dichas obligaciones comerciales, legales y contractuales. ¿Cómo pretende la SIC que le lleguen los productos al quejoso a su casa sin tener su dirección? e) El 17 de julio de 2018 el Denunciante presentó un derecho de petición No asiste duda que para el día 17 de julio de 2018 el Denunciante solicitó la desautorización y no almacenamiento de sus datos personales en los siguientes términos: “desautorización TOTAL de uso de mis datos personales, incluyendo almacenamiento, consultas, divulgación, y compartimiento, REPITO los desautorizo a almacenar, divulgar, consultar y compartir mis datos personales so pena vulneración de mis derechos frente a desautorización de uso de datos personales”.
Según lo anterior, aplican los términos previstos en el artículo 15 de la Ley 1581 de 2012, para que EL TIEMPO procediera a eliminar los datos personales del Denunciante. f) EL TIEMPO procedió a confirmar que la información habría sido eliminada El día 8 de agosto de 2018, la señora XXXXX XXX XXXXX XXXXXXX XXXXXXXX le envió un correo electrónico a XXXXXXXX XXXXX XXXXXX XXXXXXX, mediante el cual le solicitó verificar que los datos del suscriptor no se encontraban disponibles en las bases de datos de EL TIEMPO.
Los datos referenciados en dicho correo son el número de cédula del suscriptor – pues para la fecha tenía el producto activo – y en adición, el correo electrónico “xxxxxxxxxxxxxxxxxxxxxxxxxxxx”. A su vez, XXXXXXXX XXXXX XXXXXX XXXXXXX, mediante correo electrónico del 8 de agosto de 2018, le escaló la solicitud de supresión de datos a XXXXXXXXXXXXXXXXXXXXXXXX para que eliminara de todas las bases de datos de EL TIEMPO, los siguientes correos electrónicos: xxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxx.
A su turno, mediante correo del 8 de agosto de 201820, XXXXXXXXXXXXXXXXXXXXXXXX le confirmó a XXXXXXXX XXXXX XXXXXX XXXXXXX que dichos correos ya habrían sido actualizados, es decir, que se habría atendido la solicitud de eliminación de su información personal de las bases de datos, salvo aquella necesaria para cumplir con sus obligaciones contractuales. g) EL TIEMPO se comunica con el Denunciante el 9 de agosto de 2018 EL TIEMPO se comunicó telefónicamente el día 9 de agosto de 201821 con el Denunciante, le mencionó que recibiría la respuesta a su solicitud el 15 de agosto.
Es de anotar que, durante la llamada de esa fecha, el único correo electrónico que se encontraba disponible en las bases de datos de EL TIEMPO era el correo electrónico por medio del cual el Denunciante allegó la solicitud requiriendo la eliminación de sus datos, es decir, el correo juridica@exxemgroup.com (que no es un dato personal al ser un correo institucional).
En la llamada del 9 de agosto, el denunciante y un trabajador de EL TIEMPO sostuvieron la siguiente conversación: “Denunciante: Pero por favor se lo envían a mi equipo jurídico porque yo salgo del país mañana. “EL TIEMPO: Ah, sí señor. Permítame. A alguno de los mails que se encuentran copiados allí. ¿Sí? “Denunciante: Eh sí. Por favor. Al e-mail jurídica ( ).
“EL TIEMPO: Bueno. Ya voy a verificar, claro, si señor. Y ya le confirmo. “( ) “EL TIEMPO: No me sale (murmura). “( ) “EL TIEMPO: Gracias por su permanencia en línea. Me aparece jurídica@exxemgroup.com. “Denunciante: Si, sí. Correcto. “( )”. RESOLUCIÓN NÚMERO 82428 DE 2021 Ese correo electrónico es diferente respecto de todos sobre los que se solicitó la supresión de las bases de datos, como se indicó en el numeral 6 de este acápite.
Al buscar información del Denunciante, no se registró ningún otro correo electrónico. Es de aclarar EL TIEMPO no requería de la autorización del titular para el tratamiento del correo juridica@exxemgroup.com. El numeral 2 del artículo 2.2.2.25.1.3. del Decreto 1074 de 2015 define el Dato público en los siguientes términos: “Es el dato que no sea semiprivado, privado o sensible.
Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no sometidas a reserva” (Destacamos).
Por su parte, el literal b) artículo 10 de la Ley 1581 de 2012 dispone que la autorización del titular no será necesaria cuando se trate de datos de naturaleza pública. El correo juridica@exxemgroup.com es un correo empresarial. Por lo anterior, el tratamiento de ese correo no requería de la autorización previa del titular. Y en aras de la discusión, en la transcripción de la llamada es evidente y expresa la solicitud del titular – posterior a su solicitud de eliminación total – de ser contactado al anterior correo. h) Las solicitudes presentadas por el Denunciante para el caso objeto de estudio no corresponden al 11 de abril de 2018 El Director de Investigación indicó en la Resolución de Sanción, erróneamente, que el pantallazo del sistema CRM, mediante el cual se probaba la marcación de “No autorizo” a la solicitud del Denunciante para el caso objeto de estudio corresponde al 11 de abril de 2018.
Lo que sucede es que, para el año 2018, el Denunciante tenía varias suscripciones con EL TIEMPO que no hacen parte, ni son objeto de la presente investigación. Con la imagen del sistema CRM se evidencia que la relación comercial entre el Denunciante y EL TIEMPO estaba activa, tan es así que generó ingresos a favor de la Compañía. Ahí se muestra que, a raíz de esta suscripción, se generó información contable sujeta a controles legales.
De conformidad con la información que se logró obtener con base en su información contable e histórica, fue posible determinar que: • • • El 5 de febrero de 2018 el Denunciante se vinculó como suscriptor de EL TIEMPO mediante la aceptación de una oferta realizada por un asesor comercial de la Compañía con el objeto de disfrutar los contenidos digitales y físicos del periódico por un valor de treinta y seis mil pesos ($36.900) mensuales.
El 5 de marzo de 2018 el Denunciante solicitó la cancelación de la suscripción realizada el día 5 de marzo de 2018 por inconformidad con el servicio y el producto contratado. Su solicitud fue tramitada internamente y puede corroborarse según consta en el Ticket No. 001-00- 1172261. Como se evidencia en el Ticket 001-00-1230425, el 11 de abril de 2018 el Denunciante radicó una solicitud relacionada con la protección de sus datos personales.
Esta solicitud es distinta de la que se ha analizado en el caso objeto de estudio. Por lo tanto, esta entidad no puede computar los términos de respuesta del 11 de abril de 2018 en la presente actuación investigativa. Por otro lado, se evidencia en Resolución de Sanción el poco entendimiento que tiene la SIC de la herramienta CRM de EL TIEMPO, hecho que en principio no sería cuestionable, si tal situación no hubiera servido de sustento para sancionar a mi representada.
Ante la duda de la SIC, lo que le correspondía era absolver a mi investigada, o en su defecto, utilizar los medios de prueba que tenía disponibles para resolver las dudas que tenía, entre ellos, haber leído la documentación que para el efectos se aportó en los Descargados presentados. (iii) Los datos de XXXXXXX XXXXXX XXXXXXXXXX eran necesarios para el cumplimiento de obligaciones contractuales vigentes RESOLUCIÓN NÚMERO 82428 DE 2021 De conformidad con el artículo 11 del Decreto 1377 de 2013: (…) EL TIEMPO estaba facultado para almacenar y dar otro tipo de tratamiento a los datos personales del Denunciante durante la vigencia de la suscripción, y durante el periodo en que ambas partes hubieran tenido una relación contractual.
Lo que es más: a lo largo de este proceso se probó con elementos documentales que, antes del 16 de julio de 2018, la información del Denunciante debía mantenerse para efectos de cumplir con los deberes generales de los comerciantes. En razón a lo expuesto, los datos del Denunciante que reposaban en EL TIEMPO para la fecha de los hechos se retuvieron con la finalidad única y excepcional –en concordancia con las excepciones contenidas en el artículo 11 del Decreto 1377 de 2013 ya mencionado– de cumplir con requerimientos de un contrato en particular y con normas especiales, como las relativas al almacenamiento de los libros de comercio.
(iv) La información técnica en el expediente brinda certeza y veracidad sobre la eliminación de los datos personales del Denunciante De conformidad con la totalidad de la evidencia documental y testimonial que obra en el expediente, la información del Denunciante se eliminó en el periodo establecido por el Régimen de Protección de Datos Personales, es decir, antes del 15 de agosto de 2018.
Sea lo primero enfatizar que según lo certificado por la SIC en el reporte de fecha 3 de agosto de 2020, esta Superintendencia adelantó un análisis técnico de la información y grabaciones telefónicas entregadas por Casa Editorial El Tiempo y las declaraciones realizadas en el expediente, donde concluyó: (…) Así, se puede concluir que la misma SIC reconoció que el material probatorio que reposa en el expediente evidencia de manera clara que los derechos del Denunciante no fueron vulnerados en relación con la solicitud realizada que busca proteger el derecho al habeas data, toda vez que el cambio y actualización del estado de sus datos personales fueron respetadas y adoptadas por EL TIEMPO dentro del término legal correspondiente, PRUEBA QUE FUE SUBESTIMADA POR LA AUTORIDAD, Y NI SIQUIERA HIZO PARTE DEL ANÁLISIS DE MEDIOS PROBATORIOS POR PARTE DE LA DIRECCIÓN DE INVESTIGACIONES.
¡INCREÍBLE! ¿SI LA SIC NO VALORÓ NI TUVO EN CUENTA SU PROPIO ANÁLISIS TÉCNICO, QUÉ PUEDE ESPERAR UN INVESTIGADO DE LA CORRECTA REVISIÓN Y VALORACIÓN DE LOS ELEMENTOS PROBATORIOS PRESENTADOS POR ÉL? Por otro lado, EL TIEMPO, dentro del material probatorio que reposa en el expediente, aportó una certificación que se realizó para comprobar los hechos ocurridos en el caso objeto de estudio, basándose en la información técnica que reposa en el sistema CRM, que arrojó los siguientes resultados: • • • • Se demostró que en el CRM se realizó la marcación de “No Autorizo” en la ficha del Denunciante para el 13 de julio de 2018.
Se demostró que EL TIEMPO realizó las acciones pertinentes para suprimir los datos personales del Cliente. Una vez realizada la marcación de “No Autorizo”, los datos del Cliente fueron eliminados cuando éste apareció como INACTIVO, es decir, cuando no existían suscripciones vigentes. El sistema operativo o software CRM no puede ser manipulado manualmente para la alteración de la información, lo que garantiza la integridad y veracidad de la información expuesta en la Certificación Técnica.
La idoneidad de XXXXXXXXXX en su calidad de Gerente de Tecnología de EL TIEMPO, quien suscribió la Certificación Técnica, fue verificada mediante el testimonio de XXXXXXXXXXXXXXXXXXXXXXXX, en su calidad de Jefe de Gobierno de Datos de EL TIEMPO, quien para la época, era miembro del equipo de la Gerencia de Tecnología de la sociedad. RESOLUCIÓN NÚMERO 82428 DE 2021 2.4.
Xxxxxxxx Xxxxxx xxxxxxxx para el año 2018 autorizó el tratamiento de datos personales a compañía afiliadas a el tiempo De conformidad con el numeral 15.2.4. de la Resolución de Sanción, la SIC indicó que resultaba claro, según las pruebas aportadas por la Compañía, que para el 8 de agosto de 2018 algunos datos del Denunciante se encontraban en las bases de datos de algunas compañías asociadas a EL TIEMPO, a saber: El Empleo, Clasificados, Lo Encontraste, Guía Académica, Metrocuadrado, Informativos y Carro Ya.
Como prueba de lo anterior, la SIC puso de presente la siguiente imagen incorporada como prueba que consta en el anexo 16 del Escrito de Descargos de nombre “PPT y Evidencia caso Xxxxxxxx Xxxxxx Xxxxxxxxxx.pptx”: (…) En consideración a lo expuesto, se debe insistir en que la Autoridad no realizó una interpretación correcta de la información que consta en la imagen mostrada más arriba: • • • Aquí, se muestra el estado “Activo” o “Inactivo” de cuentas y productos que el Denunciante había adquirido históricamente y la fecha de modificación del estado de la suscripción. La consecuencia de mantener un estado “Inactivo” de una suscripción es que (i) existe un bloqueo de cualquier tipo de contacto comercial, y (ii) al no haber servicios “Activos” se procede con la eliminación de sus datos personales al cambiar de estado.
La columna “Fecha de modificación” se refiere a cualquier aspecto del registro, incluyendo el estado de las cuentas y productos. Al ser información de la relación comercial entre mi poderdante y el Denunciante, hace parte de los libros y papeles del comerciante, que EL TIEMPO tiene la obligación de almacenar. En efecto, los artículos 28 de la Ley 962 de 2005 y 60 del Código de Comercio señalan que las entidades o personas naturales deberán conservar sus libros y papeles por un período de diez (10) años contados a partir de la fecha del último asiento, documento o comprobante.
Además de su número de cédula y de la información sobre contratos pasados, que es información que debía tratar en virtud de disposiciones legales, al 15 de agosto de 2018 EL TIEMPO no estaba tratando otros datos personales del Denunciante. A esa fecha, no existían cuentas activas asociadas con el Denunciante. 2.5. Sobre la imposición de la sanción y la graduación de la sanción De conformidad con el artículo 23 de la Ley 1581 de 2012, es claro que la SIC tiene dentro de sus facultades, la de sancionar a los responsables y encargados del tratamiento de datos personales, cuando estos desatiendan los deberes y obligaciones previstas en el régimen de protección de datos personales.
Dicho artículo dispone lo siguiente: (…) En adición a lo anterior, la misma Ley 1581 de 2012 le impone a la Superintendencia de Industria y Comercio la carga de imponer las sanciones por infracciones referidas en el artículo 23 de la misma Ley, atendiendo los criterios de graduación que se mencionan en el siguiente artículo: (…) A la luz de la jurisprudencia constitucional, el ejercicio de la potestad sancionadora de la administración requiere de lo siguiente: (…) RESOLUCIÓN NÚMERO 82428 DE 2021 De esta forma, los criterios de graduación de las sanciones administrativas previstos en la misma Ley, le imponen al Estado el deber de justificar conforme al principio de proporcionalidad y razonabilidad la imposición de dichas multas.
Consideramos que en este caso la SIC no ha impuesto una sanción proporcional y razonable, toda vez que entre la conducta en que incurrió EL TIEMPO según el Director de Investigaciones y la sanción impuesta, no existió un marco de referencia y determinación de la sanción. Al momento de dimensionar el daño o peligro de la conducta, la Autoridad se limita a establecer: “De la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la sociedad investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012”, y agrega una explicación de cuáles son los criterios que, conforme a la Ley, debe analizar para dimensionar la severidad de la conducta, entre ellos, el daño o peligro a los intereses jurídicos tutelados.
La Resolución de Sanción explicó, adicionalmente, que para la dosificación de la sanción se tendrían en cuenta “el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera”. En ese orden, la SIC se limita a mencionar los criterios que la norma le exige para graduar la conducta, pero no detalla para el caso objeto de estudio, una clara correlación entre el valor de la sanción y los hechos por los cuales, en su concepto, el valor de la multa debe ser el impuesto.
Esta motivación no es clara, ni denota una proporcionalidad en la tasación de la sanción, toda vez que no se vulneró el derecho de habeas data del Denunciante. A continuación, estudiaremos cada uno de los criterios previstos en el artículo 24 de la Ley 1581 de 2012, para demostrar por qué de persistir en la sanción, se debe reducir el monto de la misma: (i) En relación con la dimensión del daño o peligro a los intereses tutelados por la Ley 1581 de 2012 Según lo certificado por el Laboratorio Forense de la SIC en el reporte de fecha 3 de agosto de 2020, después de adelantarse un análisis técnico de la información y grabaciones telefónicas aportadas por EL TIEMPO y las declaraciones practicadas en la etapa probatoria, se concluyó lo siguiente: “F. Se considera que las medidas (Humanas, Técnicas y Administrativas) implementadas por El Tiempo, fueron oportunas, ya que se realizó el cambio del estado de la información del señor el señor Xxxxxxxx Xxxxxx Xxxxxxxx a inactivo como se observa en la imagen 19, dentro del plazo considerado por ley.” Con lo anterior, se demuestra por parte de la misma Autoridad que, aun cuando no existió una respuesta formal dirigida al Denunciante, no existió una vulneración a su derecho de habeas data, en la medida en que (i) sus datos fueron tratados para finalidades legítimas mientras se mantuvo vigente su suscripción en EL TIEMPO, (ii) se dio trámite interno al fondo de su solicitud al realizar las marcaciones en el CRM para que se prohibiera su tratamiento, (iii) se probó que EL TIEMPO realizó las actuaciones dentro del término previsto de la ley para eliminar los datos personales del Denunciante.
Lo anterior, no fue analizado ni valorado en el análisis de la Resolución de Sanción para dimensionar el daño y los efectos de la conducta. (ii) En relación con el beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción En este caso, no se ha probado que EL TIEMPO hubiera obtenido beneficio económico alguno por no enviar una respuesta escrita al denunciante en el caso objeto de estudio.
(iii) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar RESOLUCIÓN NÚMERO 82428 DE 2021 EL TIEMPO se permite reiterar que evitó desgastes a la Autoridad al establecer desde la presentación de los Descargos, que habría incurrido en el error formal de no haber dado respuesta escrita o directa al Denunciante, a pesar de haber eliminado sus datos.
En los Alegatos de Conclusión se afirmó que: “Es importante informar a la Superintendencia de Industria y Comercio que EL TIEMPO reconoce que la comunicación del resultado del trámite no se envió al señor Xxxxxxxx Xxxxxx XXXXXXXXXX dentro de los quince (15) días hábiles posteriores a la recepción de la solicitud y reconoce que hubo una falla en el proceso de respuesta al Denunciante.
Sin embargo, debe reconocerse que la solicitud se tramitó y atendió a tiempo siempre buscando proteger y no vulnerar los derechos de los titulares de los datos personales, pero sobre todo el derecho fundamental al habeas data. La Compañía cometió un error formal a pesar de haber resuelto la solicitud de fondo, de lo cual se puede evidenciar que este error no obedece a un acto de mala fe”.
Así, EL TIEMPO ha demostrado tener un comportamiento procesal encaminado a la búsqueda de la verdad, a la eficiencia del proceso administrativo, y a la no dilación de discusiones sobre hechos que mi representada consideró oportunas ponerlas en conocimiento de la Autoridad. A pesar de que EL TIEMPO reconoció su responsabilidad parcial por los cargos imputados y posteriormente sancionados, la SIC no valoró que si hubo una colaboración del investigado para esclarecer los hechos en este caso.
(iv) En relación con la reincidencia en la comisión de la infracción Ésta es la primera vez que EL TIEMPO es investigada por infringir las normas previstas en el literal j) del artículo 17 de la Ley 1581 de 2012. Lo que es más: EL TIEMPO ha invertido constantemente recursos para la implementación, mejora y diseño de una estrategia para el cumplimiento de las normas del Régimen de Protección de Datos Personales, por cuanto acatar este régimen es un pilar estratégico para EL TIEMPO en su calidad de responsable del tratamiento de datos personales.
En virtud de lo anterior, EL TIEMPO ha propendido de manera permanente por la implementación de procesos que garantizan el cumplimiento de sus deberes, como se indicó durante el proceso administrativo. Así, EL TIEMPO de manera permanente y con pleno convencimiento ha cumplido con las obligaciones que emanan de la Ley 1581 de 2012 y Decreto 1074 de 2015, en la medida en que: (i) (ii) (iii) (iv) EL TIEMPO ha mantenido vigente una Política para el Tratamiento de Datos Personales (en adelante, la “Política”), en cumplimiento de la Ley 1581 de 2012 y del Decreto 1377 de 2013, desde el momento en que entró en vigencia en nuevo régimen de protección de los datos personales.
Adicionalmente, ha realizado un seguimiento constante de su implementación, permitiéndole actualizar las disposiciones contenidas en dicha Política, con el objetivo de generar mayor transparencia y seguridad en el tratamiento de los datos personales. La Compañía ha cumplido de manera permanente y continua con la obligación legal de registrar las Bases de Datos en las que actúa como responsable en el Registro Nacional de Bases de Datos.
Lo anterior, siendo diligente en la actualización de este registro en los términos del numeral 2.3 de la Circular Externa 003 de 2018 de la Superintendencia de Industria y Comercio. Ha gestionado e implementado el tratamiento de datos personales de los titulares a través de la herramienta tecnológica CRM, la cual permite almacenar, suprimir, eliminar, actualizar o generar las marcaciones correspondientes de los titulares de datos personales.
Así mismo, en cumplimiento del artículo 23 del Decreto 1377 de hay tres áreas encargadas de garantizar el cabal cumplimiento del régimen de protección de datos personales al interior de la empresa. Dichas áreas corresponden a Gobierno de Datos, Gerencia de Tecnología y Servicio al Cliente. RESOLUCIÓN NÚMERO 82428 DE 2021 (v) EL TIEMPO ha desplegado internamente capacitaciones en protección de datos personales y manejo de las herramientas dispuestas para la ejecución de las políticas arriba mencionadas, pretendiendo con ello generar una transmisión de conocimientos a sus funcionarios.
Así, se capacitaron a 540 personas vinculadas con la Compañía, con el propósito de mantener el personal con herramientas reales y con conocimientos sobre la regulación vigente en materia de datos personales y sobre las políticas de EL TIEMPO. Todo lo anterior ha implicado inversiones en tecnología, recursos humanos, asesorías externas y gestión de conocimiento, que deben tenerse en cuenta para la valoración no sólo de la dimensión del daño, sino también de la sanción económica impuesta contra EL TIEMPO, en su calidad de responsable del tratamiento de datos.
III. SOLICITUDES A la luz de lo anterior, solicito respetuosamente al Director de Investigaciones de Protección de Datos Personales, REVOCAR la Resolución de Sanción para en su lugar proferir una nueva decisión en la cual: PRIMERA.- Se DECLARE que CASA EDITORIAL EL TIEMPO S.A. NO ES RESPONSABLE de presuntas conductas violatorias del Régimen de Protección de Datos Personales, específicamente del literal j) del artículo 17 de la Ley 1581 de 2012 y se ARCHIVE la investigación administrativa.
SEGUNDA.- En atención a la declaración anterior, se ABSTENGA de sancionar a CASA EDITORIAL EL TIEMPO S.A. TERCERA.- En caso de que la Superintendencia encuentre como improcedentes las anteriores solicitudes, aplique todos y cada uno de los criterios de graduación de la pena previstos en el artículo 23 de la Ley 1581 de 2012, imponiendo así una sanción significativamente menor a la impuesta por medio de la Resolución de Sanción. CUARTA.- Que este escrito se REMITA al Superintendente Delegado para la Protección de Datos Personales de la Superintendencia de Industria y Comercio de Colombia en caso de no prosperar la totalidad de las solicitudes aquí enunciadas, para que inicie el trámite de la solicitud de subsidiariedad del recurso de apelación mencionado en la referencia. IV.
ANEXOS Y PRUEBAS En aras de salvaguardar el debido proceso, el derecho de defensa y contradicción solicito que se tengan como prueba aquellas incorporadas al expediente mediante la Resolución 50598 del 26 de agosto de 2020, así como aquellos documentos que reposan en el expediente de radicado 18-220892.
CUARTO: Que mediante escrito del 14 de enero de 2021, el apoderado la sociedad CASA EDITORIAL EL TIEMPO S.A., también se manifestó frente a las órdenes impartidas al representante legal de la sociedad mediante la Resolución No. 81372 del 18 de diciembre de 2020, solicitando se revoque la decisión basada en los siguientes argumentos: “3.1.
Recuento de las etapas del proceso administrativo sancionatorio adelantado por la SIC (…) 3.2. La SIC violó el derecho al debido proceso y derecho defensa de XXXX XXXXXXXXX XXXXX XXXXXXX Como se pasará a describir posteriormente, la SIC violó, no con una, sino a través de varias actuaciones el derecho al debido proceso de mi representada en el presente trámite administrativo.
RESOLUCIÓN NÚMERO 82428 DE 2021 En primer lugar, es importante que la SIC tenga presente cuáles son sus deberes con el estado social de derecho, que es Colombia, como autoridad administrativa que lleva a cabo procesos administrativos sancionatorios. Las autoridades judiciales y administrativas, como la SIC, que adelantan investigaciones contra personas naturales o jurídicas tienen como principal obligación el resguardo y garantía del derecho fundamental al debido proceso, previsto en el artículo 29 de la Constitución Política.
De ese derecho de rango constitucional se desprenden una serie de principios que rigen las actuaciones administrativas y que, por lo tanto, deben ser observados con rigor por el ente investigador. En la sentencia C-980 de 2010, la Corte Constitucional explicó: (…) El mismo Código de Procedimiento Administrativo y de los Contencioso Administrativo, en su artículo 3 expresamente obliga a las entidades administrativas como SIC a: (…) En consecuencia, el derecho al debido proceso y los principios que lo componen, deben ser aplicados por las autoridades públicas que, en ejercicio de sus funciones, adelantan procesos administrativos sancionatorios.
Este es el caso de las investigaciones en materia de protección de datos personales. En tal sentido, la SIC se encuentra en la obligación de garantizar el cumplimiento de tan importante derecho, cosa que no ha hecho y tampoco ha buscado dar respuesta de fondo de los argumentos presentados. Lo anterior, como quiera que deben “actuar conforme a los procedimientos previamente establecidos en la ley, con el fin de garantizar los derechos de quienes puedan resultar afectados por las decisiones de la administración que crean, modifican o extinguen un derecho o imponen una obligación o una sanción”.
Adicionalmente, valga mencionar que estar permanente violación al derecho al debido proceso trae consigo la eventual nulidad de todo lo actuado por la Autoridad Administrativa. Los términos en que fue violado el derecho de defensa se esgrimen a continuación: 3.2.1. Sobre la carga probatoria en procesos administrativos sancionatorios En el numeral 15.2.1. de la Resolución No. 81372 de 2020 hace un análisis sui generis sobre la carga probatoria en los procesos administrativos sancionatorios desconociendo de manera fehaciente y aterradora la normatividad vigente y toda la jurisprudencia de la Corte Constitucional respecto a esta materia.
Como se anotó previamente, el artículo 29 de la Constitución Política establece claramente que las autoridades administrativas deben atender y garantizar el principio de presunción de inocencia, en virtud del cual todo ciudadano se presume inocente a menos que se pruebe lo contrario. En materia de derecho administrativo sancionador, la Corte Constitucional ha establecido que, por regla general, “la responsabilidad en este ámbito ha de ser a título de imputación subjetiva y la carga probatoria de todos los elementos subjetivos pertinentes ha de recaer en el Estado” 3 (destacamos).
En el mismo sentido, ha …señalado que “[l]a presunción de inocencia en nuestro ordenamiento jurídico adquiere el rango de derecho fundamental, por virtud del cual, el acusado no está obligado a presentar prueba alguna que demuestre su inocencia y por el contrario ordena a las autoridades judiciales competentes la demostración de la culpabilidad del agente” (destacado fuera de texto).
Con lo anterior, en los casos en que el Estado que ejerza una potestad sancionatoria, debe demostrar todos los elementos en los que basan sus imputaciones y sanciones. XXXX XXXXXXXXX XXXXX XXXXXXX ha alegado, a lo largo de este proceso, que se debe presumir su inocencia, en la medida en que la SIC no ha aportado pruebas que demuestren de manera fehaciente que haya actuado de manera contraria a la Ley.
Lo anterior, en la medida en que es la SIC quien debe demostrar con suficiencia que él ha incurrido en una conducta que no se ajusta a derecho. RESOLUCIÓN NÚMERO 82428 DE 2021 Ahora bien, en el numeral 15.2.1. de la Resolución de Sanción, la Autoridad incluye un análisis abiertamente ilegal, de conformidad con el cual aplica el principio de la carga dinámica de la prueba en las investigaciones por violación al régimen de protección de datos personales.
Aquí, se desconoce que, en los procedimientos constitutivos de actos administrativos de carácter sancionatorio, la carga de la prueba corresponde, íntegramente, a la administración pública. La SIC asombrosamente afirma lo siguiente frente a la carga de la prueba: (…) Vale recalcarle a la Superintendencia que sus funciones en temas de protección de datos personales no son jurisdiccionales sino administrativas, por lo que tampoco es juez.
En esta medida, como entidad administrativa bajo funciones administrativas no tiene el poder de acudir a la carga dinámica de la prueba. Además de que sea atropellador el hecho de que la Autoridad de Datos Personales no solo ignora la Constitución y la jurisprudencia constitucional y administrativa, sino que para presentar su argumentación cita normatividad referente a procesos inter-partes litigiosos aplicables en procesos contenciosos.
Con todo el respeto me pregunto, ¿Será que la SIC no tiene claro que en temas relacionados con habeas data, no tiene funciones jurisdiccionales? lo que quiere decir que no es juez. Contrario a lo que afirma la SIC, es la Autoridad quien se encuentra en la obligación de presentar pruebas inequívocas por medio de las cuales se desvirtúe la presunción de inocencia. En el contexto del derecho administrativo sancionador, el Consejo de Estado ha considerado: (…) Lo que concuerda con la decisión del Tribunal Administrativo de Cundinamarca del año 2018 en donde se lee: (…)” Como lo señaló la Corte Constitucional en Sentencia C-244 de 1996, lo que da lugar a la aplicación del principio in dubio pro administrado para garantizar la presunción de inocencia, es resolver la duda a favor del investigado cuando no existe certeza sobre la existencia de la falta o sobre la responsabilidad del administrado.
De esta forma, para concluir que ha habido una falta, las entidades administrativas deben desvirtuar la presunción de inocencia eliminado toda duda razonable para poder sancionar; así, si no se elimina toda duda razonable, se debe declarar inocente al investigado. Esto tiene una serie de consecuencias, como que, para sancionar (i) debe haber pruebas que consten en el expediente, (ii) estas pruebas deben ser suficientes, (iii) las pruebas obtenidas deben ser válidas y (iv) no es posible invertir la carga de la prueba.
Adicionalmente, parece que la Coordinación de Investigaciones de Protección de Datos Personales de la SIC ni siquiera conociera las decisiones expedidas por este misma Entidad en investigaciones administrativas respecto a su obligación de acreditar la infracción de la regulación. En relación con los argumentos expuestos por la SIC en la Resolución de Sanción, se concluye que: (i) La SIC califica de negligente el actuar de XXXX XXXXXXXXX XXXXX XXXXXXX sin elementos de prueba que le permitan concluir que la aplicación de los procedimientos y medidas promovidas por él como representante legal de EL TIEMPO hayan resultado de un manejo imprudente del negocio ajeno. Esta Autoridad infiere, con conjeturas, que de la presunta falta de respuesta formal al Denunciante se puede inferir la ineficiencia de las medidas tomadas al interior de EL TIEMPO y de las cual es responsable el representante legal de la Compañía. (ii) Como se verá a continuación, se ha demostrado a lo largo de este proceso que el actuar de mi poderdante no sólo cumplió con el mínimo de los requisitos exigidos por la ley, sino que, además, demuestra una administración prudente y diligente de EL TIEMPO.
RESOLUCIÓN NÚMERO 82428 DE 2021 3.2.2. La SIC no resolvió de fondo los argumentos presentados por XXXX XXXXXXXXX XXXXX XXXXXXX El artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo sobre el contenido de la decisión, menciona: (…) Aun cuando los investigados expresamente le solicitaron a la SIC que diera una respuesta de fondo a todos y cada uno de los argumentos presentados en todas las etapas de la investigación, es evidente que la Autoridad no resolvió de fondo los problemas jurídicos que plantearon en los descargos y los Alegatos de Conclusión presentados oportunamente por el señor XXXX XXXXXXXXX XXXXX XXXXXXX.
Es importante poner de presente a la Dirección de Investigaciones que, en virtud de lo señalado expresamente en el CPACA y por el principio de congruencia en el proceso administrativo sancionatorio, es obligación de la Autoridad responder a cada uno de los argumentos presentados por los investigados. De acuerdo con la jurisprudencia del Consejo de Estado sobre el principio de congruencia en el proceso administrativo se lee: (…) Lo anterior, como consta en el siguiente cuadro que se expone a continuación: RESOLUCIÓN NÚMERO 82428 DE 2021 En virtud de lo anterior, se solicita que se de respuesta a todos los argumentos presentados por el investigado so pena de entenderse violado el debido proceso.
Ahora, sería irónico que la SIC sancione a XXXX XXXXXXX XXXXX por no responder EL TIEMPO formalmente un derecho de petición, y si resolviera de fondo una solicitud, y que en la misma investigación donde analiza el caso, haya decidido violar fehacientemente el derecho de defensa y petición en cabeza de mi poderdante al no dar respuesta de fondo a los argumentos presentados. 3.2.3.
Sobre la falta de competencia de la SIC para ejercer funciones de supervisión, vigilancia y control de los deberes de los administradores La carencia de competencia de una autoridad para conocer y decidir sobre un asunto en particular implica la vulneración al derecho al debido proceso, como quiera que contradice las postulaciones del artículo 29 de la Constitución Política.
La Corte Constitucional ha establecido que existe un defecto orgánico de competencia cuando una autoridad administrativa incurre en los siguientes yerros en sus tomas de decisión: “(i) carecía absolutamente de competencia para conocer y definir el asunto, esto es, desconoce su competencia, (ii) asume una competencia que no le corresponde, así como (iii) adelanta alguna actuación o emite un pronunciamiento por fuera de los términos dispuestos jurídicamente para que se surta cierta actuación. En estos casos, excepcionalmente las providencias judiciales y los actos administrativos pueden ser atacadas en sede de tutela por vulneración del debido proceso”.
En adición a lo anterior, la Corte Constitucional ha reiterado que cuando una autoridad conoce y decide sobre asuntos particulares sin ser competente, incurre en una vulneración al debido proceso, en los siguientes términos: (…) Ahora bien, el Director de Investigaciones no es competente para investigar y sancionar casos en los que el administrador de una sociedad supuestamente ha faltado a sus deberes, toda vez que ello es de la competencia de la Superintendencia de Sociedades.
En la Resolución de Sanción, la SIC afirmó que sí es competente para investigar y sancionar a XXXX XXXXXXXXX XXXXX XXXXXXX, debido a: (i) (ii) Que, de conformidad con el artículo 22 de la Ley 222 de 1995, los administradores tienen la obligación legal de garantizar los derechos de los titulares de datos, en la medida en que deben velar por el estricto cumplimiento de las disposiciones legales y estatutarias.
Que, según el artículo 24 de la Ley 222 de 1995, se presume la culpa de los administradores en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos. RESOLUCIÓN NÚMERO 82428 DE 2021 (iii) (iv) Que, debido a que la responsabilidad jurídica y económica que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, estos deben obrar con profesionalismo y diligencia a la hora de tratar datos personales.
Que la SIC tiene dentro de sus funciones “velar por el cumplimiento de la legislación en materia de habeas data”, para lo cual despliega las facultades de vigilancia que le fueron conferidas en la Ley 1581 de 2012, lo cual se hace extensible a los representantes legales de las organizaciones, “por ser ellos quienes en virtud de su deber de ‘velar por el estricto cumplimiento de las disposiciones legales y estatutarias’, están llamados a adoptar las medidas eficientes y suficientes para que se garantice el derecho de habeas data dentro de la organización”.
En contraste con lo anterior, según lo previsto en el artículo 82 de la Ley 222 de 1995, es la Superintendencia de Sociedades quien ejercerá inspección, vigilancia y control sobre para garantizar el cumplimiento de la Ley 222 de 1995: (…) Adicionalmente, debe precisarse que la vulneración de los deberes de los administradores que trata el artículo 23 de la Ley 222 de 1995 tiene como consecuencia legal, la imposición de las sanciones previstas en el numeral 3º del artículo 86 de la ya mencionada ley.
Así, será una facultad de la Superintendencia de Sociedades: (…) En efecto, como lo ha mencionado la Superintendencia de Sociedades, a esta entidad “se circunscriben a las atribuciones de inspección, vigilancia y control, en los términos contemplados en los artículos 83, 84 y 85 de la Ley 222 de 1995, luego si eventualmente, de oficio o a petición de parte interesada, observa por parte de los administradores, entre ellos, el representante legal ( ), la ejecución de actos o gestiones contrarios a la ley o a los estatutos, previa solicitud de explicaciones la Entidad está facultada para imponer sanciones hasta de 200 SMLM a quienes hayan violado la ley o el contrato de sociedad; impartirá instrucciones con el fin de que se subsanen las irregularidades advertidas e inclusive puede solicitar o remover al administrador del cargo (Arts. 86, Núm. 6º y 48 de la Ley 222 de 1995)”.
(Destacado fuera de texto) Así, es claro que el legislador le atribuyó a la Superintendencia de Sociedades, no a la administradores de las sociedades comerciales por realizar actos contrarios a la ley, los estatutos, las decisiones del máximo órgano social o junta directiva, o que deterioren la prenda común de los acreedores u ordenar la suspensión de los mismos, como consecuencia de desatención a los deberes proscritos en el artículo 23 de la Ley 222 de 1995.
Irónicamente, la SIC ha citado precisamente ese artículo para atribuirse una competencia que no le ha sido asignada. Una cosa es la posible responsabilidad de un administrador por violación a sus deberes y, otra muy distinta es que la SIC tenga la competencia de investigar la violación de los deberes de los administradores en materia de protección de datos personales.
Es evidente que la SIC carece de competencia funcional para conocer y sancionar a los administradores de sociedades comerciales por violaciones a la Ley 222 de 1995, aun cuando tenga competencias para dar aplicación al Régimen de Protección de Datos Personales y el derecho al habeas data no sea un asunto menor. Tiene que ser evidente para la SIC que el hecho de que el derecho al habeas data deba protegerse y sea un derecho fundamental, como lo es el derecho al debido proceso, no le otorga mágicamente facultades para investigar a los representantes legales de las sociedades responsables o encargadas del tratamiento de datos personales.
Con lo anterior, es posible concluir de manera razonable y con fundamentos de derecho que: (i) (ii) El Director de Investigaciones incurre en una violación al debido proceso, como quiera que (i.i) carece de competencia funcional, y (i.ii) se extralimita en sus funciones constitucionales y legales, al sancionar a XXXX XXXXXXXXX XXXXX XXXXXXX, en su calidad de representante legal de EL TIEMPO, por faltar a sus deberes como administrador, consagrados en el artículo 23 de la Ley 222 de 1995.
El Director de Investigaciones se basa en la violación de los deberes proscritos en el artículo 23 de la Ley 222 de 1995 para declarar que XXXX XXXXXXXXX XXXXX XXXXXXX ha incumplido con el Régimen de Protección de Datos Personales. RESOLUCIÓN NÚMERO 82428 DE 2021 (iii) (iv) De manera arbitraria, la SIC le asigna una consecuencia jurídica distinta a la establecida en el artículo 86 de la Ley 222 de 1995 a los artículos 22, 23 y 24 de la misma Ley.
El Director de Investigaciones se basa en normas que se escapan de su competencia, para declarar que XXXX XXXXXXXXX XXXXX XXXXXXX ha incumplido los deberes propios de los responsables del tratamiento de datos personales, en particular los previstos en los literales a) y j) del artículo 17 de la Ley 1581 de 2012. Lo anterior, denotando una clara incongruencia entre las consecuencias jurídicas sobre la violación de los deberes de los administradores.
Debido a que esta Autoridad no es competente para adelantar investigaciones ni sancionar a personas naturales por la violación de las normas previstas en la Ley 222 de 1995, la Resolución de Sanción está viciada de nulidad. Por cuanto el artículo 137 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone que la solicitud de nulidad: “Procederá cuando hayan sido expedidos con infracción de las normas en que deberían fundarse, o sin competencia, o en forma irregular, o con desconocimiento del derecho de audiencia y defensa, o mediante falsa motivación, o con desviación de las atribuciones propias de quien los profirió. (…)” (Destacamos).
Lo que es hasta cómico, es que la SIC hace todo un análisis de la supuesta infracción de los deberes de XXXX XXXXXXXXX XXXXX X como administrador de la Compañía, pero la apertura de la investigación se hace en virtud de las obligaciones en cabeza de los responsables del tratamiento de datos personales, condición que no ostenta mi representado.
Lo que definitivamente no es cómico, es que la SIC no caiga en cuenta de su falla y decida continuar la investigación, afirmar que mi poderdante es negligente e imponer órdenes por sus faltas como “responsable del tratamiento de datos personales”. ¿Acaso la Autoridad no conoce la definición de responsable de datos personales que trae la Ley 1581 de 2012?. 3.2.4.
Sobre la conducta del señor XXXX XXXXXXXXX XXXXX 3.2.4.1. La conducta del señor XXXX XXXXXXXXX XXXXX no es típica, lo que viola el principio de legalidad y tipicidad y, por ende, el derecho al debido proceso Como ya se ha mencionado en el presente escrito, el CPACA, norma aplicable en esta investigación administrativa, dispone como parte de sus principios rectores en su artículo 3°: (…) La tipicidad es un principio de conformidad con el cual las conductas punibles deben estar inequívocamente definidas por la ley, por lo que la labor de la autoridad administrativa que investigue y sancione estas conductas, “se limita a la adecuación de la conducta reprochada en la descripción abstracta realizada por la norma”.
La Corte Constitucional, en sentencia C-032 de 2017, indicó: (…) En el mismo sentido, este alto tribunal ha explicado que será posible que una autoridad administrativa imponga una sanción cuando concurren tres elementos: “(i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicación de otras normas jurídicas;
(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción”. Una conducta se entenderá típica cuando haya sido creada previamente por el legislador, y cuando habiéndola creado, haya establecido expresamente la consecuencia jurídica que debe seguir dicha infracción, precisamente, para evitar que contra los investigados recaigan sanciones basadas en la subjetividad o arbitrariedad del Estado.
En este sentido, para que esta Autoridad pueda sancionar a una persona natural, no basta con que sea representante legal de una compañía que sea investigada por, presuntamente, RESOLUCIÓN NÚMERO 82428 DE 2021 adelantar conductas que violen las normas sobre protección de datos personales. En estos casos, se debe demostrar que la conducta de la persona natural investigada, individualmente considerada, sea típica.
Al declarar responsable a XXXX XXXXXXXXX XXXXX XXXXXXX por haber incurrido en la infracción a los deberes contenidos en los literales a) y j) de la Ley 1581 de 2012, esta Superintendencia ha violado el principio de tipicidad ya que: (i) (ii) (iii) (iv) (v) (vi) (vii) El legislador no previó en el Régimen de Protección de Datos Personales conducta alguna que resulte imputable a los administradores de las sociedades comerciales que actúan como responsables del tratamiento de datos personales.
El legislador definió que la exigibilidad de los deberes contenidos en el régimen de datos personales, particularmente los establecidos en el artículo 17 de la Ley 1581 de 2012, requieren que quien materialice la conducta sea un sujeto calificado que reúna las características de responsable del tratamiento de datos personales. De conformidad con el artículo 3 de la Ley 1581 de 2012, se reputa responsable del tratamiento de datos a toda “[p]ersona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.
La Corte Constitucional explicó en sentencia C-748 de 2011 que el responsable del tratamiento de datos personales es quien “define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario y los deberes que se le adscriben responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal”.
La SIC ha seguido este pronunciamiento en su doctrina. En efecto, el legislador estableció en el Régimen de Protección de Datos Personales, que la SIC tiene la facultad legal para imponer “a los Responsables del Tratamiento y Encargados del Tratamiento” las sanciones previstas en el artículo 23 de la Ley 1581 de 2012. Este artículo no se refiere a los representantes legales u otros administradores de aquellas compañías que finjan como responsables o encargados del tratamiento.
La Corte Constitucional estableció en la Sentencia C-748 de 2011 que, si bien las sanciones descritas en el artículo 23 de la Ley 1581 de 2012 son determinables, estas se imponen como consecuencia de una infracción administrativa por “el incumplimiento a las disposiciones de la ley, esto es, en términos específicos, la regulación de hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
En consecuencia, la Corte Constitucional indiscutiblemente reconoce que dichas sanciones son atribuibles a los sujetos calificados21 para cometer tales conductas. El Director de Investigaciones, al sancionar a XXXX XXXXXXXXX XXXXX XXXXXXX por infringir los deberes previstos en el artículo 17 de la Ley 1581 de 2012, extiende de manera indebida estas obligaciones a los administradores de las sociedades comerciales que actúan como responsables del tratamiento de datos personales.
El Director de Investigaciones declaró en la Resolución de Apertura que la conducta presuntamente violatoria en relación con el deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, “fue realizada por la sociedad CASA EDITORIAL EL TIEMPO S.A.”, no obstante, no le imputó este cargo a esa sociedad. En ese orden, tanto la imputación jurídica descrita en la Resolución de Apertura, como la posterior declaratoria de incumplimiento contenida en la Resolución de Sanción rompen con los presupuestos de la tipicidad como elemento del principio de legalidad que rige en el derecho administrativo sancionador y, en consecuencia, se traduce en una clara violación al debido proceso.
La Ley y la jurisprudencia constitucional reafirman que ostentar la calidad de responsable o encargado del tratamiento de datos personales es una condición sine qua non para la aplicación de las facultades sancionatorias previstas en la Ley 1581 de 2012 por parte de la SIC como Autoridad Nacional en materia de protección de datos personales.
En este caso, quien ostenta la calidad de responsable del tratamiento de datos personales de los usuarios es EL TIEMPO, pues, reiterando lo establecido en los Alegatos de Conclusión, es un hecho probado en la investigación que el Denunciante, (i) no le dio su autorización de tratamiento de datos al representante legal de EL TIEMPO, sino a la persona jurídica, (ii) presentó la solicitud de supresión de sus datos personales ante EL TIEMPO, como persona RESOLUCIÓN NÚMERO 82428 DE 2021 jurídica, y (iii) es EL TIEMPO quien se encuentra definido como responsable en la Política de Privacidad disponible en su página web y en el expediente, por decidir sobre las bases de datos y/o el tratamiento de los datos.
Además de lo anterior, en la Resolución de Sanción, la SIC afirma que el trámite de consultas y reclamos no prevé la participación del Gerente General. Esta Autoridad trata lo anterior como si fuera una conducta ilegal, sin mencionar norma alguna del ordenamiento jurídico colombiano que contenga la obligación de que el Gerente General de las compañías participen en el trámite de dar respuestas a las consultas y reclamos de los titulares de datos personales.
En ese orden de ideas, la declaratoria de responsabilidad que motivó las órdenes administrativas impartidas contra XXXX XXXXXXXXX XXXXX XXXXXXX prevista en el ARTÍCULO SEGUNDO de la parte resolutiva de la Resolución de Sanción, no encuentra fundamento jurídico en la medida en que en el caso sub examine el representante legal no tiene la calidad de responsable del tratamiento de los datos personales que componen las bases de datos que trata EL TIEMPO. 3.2.4.2.
La conducta del señor XXXX XXXXXXXXX XXXXX XXXXXXX no es antijurídica, ya que él sí tomó medidas y gestionó mecanismos reales, efectivos, suficientes y verificables para que EL TIEMPO cumpliera con sus deberes de responsable La antijuridicidad es el juicio de reproche que se realiza sobre la conducta humana para evidenciar cómo un comportamiento contraviene el ordenamiento jurídico.
Así, dando alcance al principio de legalidad contenido en el artículo sexto de la Constitución, la lesión de los bienes jurídicos tutelados por el derecho administrativo sancionador serán un elemento estructural que permita hablar de una conducta antijurídica frente al funcionamiento de las instituciones públicas. Como ocurre en el derecho penal, el quebrantamiento de los presupuestos de la tipicidad administrativa, sin justificación aparente, es necesario para hablar de una conducta reprochable.
La Corte Constitucional, en sentencia C-618 de 2005, se pronunció sobre la antijuridicidad en materia de derecho administrativo disciplinario: (…) A lo largo de la presente investigación, la Autoridad no demostró que hubiera una correlación entre la conducta desplegada por XXXX XXXXXXXXX XXXXX XXXXXXX y la falta de respuesta formal al Denunciante.
Por el contrario, hemos evidenciado que dicha falta fue producto de un error cometido por un funcionario de la sociedad. De lo anterior, no se puede inferir, como lo ha hecho la SIC, que dicho error emana da la ineficiencia de los procedimientos internos de EL TIEMPO y que a su vez, esta responsabilidad recae en el representante legal. Contrario a lo explicado en la Resolución de Sanción, en este caso no se violó el bien jurídico protegido por la regulación sobre protección de datos.
El Laboratorio Forense de la SIC realizó un análisis técnico, con número de radicado 18-220892-44 del 6 de agosto de 2020, en relación con las pruebas aportadas y practicadas en el proceso, en el cual se concluyó, entre otras consideraciones que “las medidas (humanas, Técnicas y Administrativas) implementadas por EL TIEMPO, fueron oportunas ya que se realizó el cambio del estado de la información del señor Xxxxxxxx Xxxxxx Xxxxxxxxx a inactivo como se observa en la imagen 19, dentro del plazo considerado por la ley” (destacamos).
Con lo anterior, se demuestra por parte de la misma Autoridad que, aun cuando no existió una respuesta formal dirigida al Denunciante, no existió una vulneración a su derecho de habeas data, en la medida en que (i) sus datos fueron tratados para finalidades legítimas mientras se mantuvo vigente su suscripción en EL TIEMPO, (ii) se dio trámite interno al fondo de su solicitud al realizar las marcaciones en el CRM para que se prohibiera su tratamiento, (iii) se probó que EL TIEMPO realizó las actuaciones dentro del término previsto de la ley para eliminar los datos personales del Denunciante.
Y es que, contrario a lo que ha indicado la SIC, la conducta de XXXX XXXXXXXXX XXXXX XXXXXXX ha buscado el cumplimiento de las normas sobre protección de datos personales al interior de EL TIEMPO: RESOLUCIÓN NÚMERO 82428 DE 2021 (i) (ii) (iii) (iv) Como se pudo comprobar mediante el testimonio de XXXXXXXX XXXXXX XXXXXX en su calidad de Jefe Jurídica de EL TIEMPO, XXXX XXXXXXXXX XXXXX XXXXXXX participa en el Comité del Proyecto de Centralización de Datos, donde se hace un seguimiento para asuntos relacionados con la implementación de medidas y estrategias para el cumplimiento de habeas data.
La Gerencia General impulsó proyectos mediante la asignación de presupuesto para su desarrollo y seguimiento, como lo es el caso del Proyecto de Centralización de Datos. XXXX XXXXXXXXX XXXXX XXXXXXX en efecto no solo delegó, sino que creó, una nueva estructura para atender las solicitudes y datos trámite efectivo a las solicitudes de habeas data de titulares de datos.
La Resolución de Sanción establece que esos procesos son insuficientes, pues no incluyen al representante legal como persona que deba ser informada. Esto, ignorando que la existencia misma de esos procedimientos tiene como objetivo dar cumplimiento a la regulación vigente sobre protección de datos. Aunado a esto, no es cierto que si un flujo de procesos operativos no incluye al Gerente General este proceso no sea efectivo o eficiente.
De la misma manera, no estar involucrado en esos procesos no implica que el Gerente General no contribuya a la tarea de dar cumplimiento a las normas sobre protección de datos. Los procesos operativos de la sociedad tienen responsables determinados, con responsabilidades específicas. EL TIEMPO probó que ha desplegado una campaña al interior de la sociedad para capacitar a más de 540 personas vinculadas a la compañía en materia de protección de datos personales, actuando así, con diligencia para garantizar la ideal ejecución de los procesos.
Finalmente, en este proceso se ha demostrado que EL TIEMPO impuso una sanción disciplinaria interna a la funcionaria que no cumplió con el procedimiento establecido al interior de la sociedad. Para la SIC, esa sanción no es de recibo en la medida en que no se demostró que hubiera estado acorde a un lineamiento previo para el manejo de este tipo de incumplimientos.
Pues bien, esta Autoridad tampoco ha demostrado que esta medida haya sido inapropiada o que sólo se hubiera aplicado en el caso objeto de estudio, de manera aislada. Así, las medidas y gestiones realizadas por XXXX XXXXXXXXX XXXXX XXXXXXX han sido efectivas y suficientes para que EL TIEMPO cumpla, en la mayor medida posible, con sus deberes de responsable.
En consecuencia, es claro que la SIC toma los hechos del caso sub examine para atribuirle a XXXX XXXXXXXXX XXXXX XXXXXXX una responsabilidad administrativa por la aplicación del procedimiento establecido en EL TIEMPO al universo de solicitudes que se tramitan ante las sociedad, con base en la información que ha recaudado en sólo un caso. Esta Autoridad ha llegado a concluir que ese procedimiento es ineficiente en general, no solo en torno al caso en particular del Denunciante.
Sin embargo, es imposible determinar si el proceso que se ha implementado en EL TIEMPO durante la gestión del señor XXXXXXXXXXXXX es eficiente con base en los hechos del caso que nos ocupa. Con lo anterior, la SIC concluye la ineficiencia total del proceso sin ningún tipo de certeza probatoria o fáctica. 3.2.4.3. La conducta del señor XXXX XXXXXXXXX XXXXX XXXXXXX no es culpable De conformidad con reiterados pronunciamientos de la Corte Constitucional, en Colombia se encuentra proscrita toda forma de responsabilidad objetiva en materia sancionatoria.
En este sentido la Corte ha precisado que “el artículo 29 establece con claridad un derecho sancionador de acto y basado en la culpabilidad de la persona, pues dice que nadie puede ser juzgado ‘sino conforme a leyes preexistentes al acto que se le imputa’ y que toda persona se presume inocente ‘mientras no se le haya declarado judicialmente culpable’”.
Así las cosas, para que una conducta típica y antijurídica sea sancionada, requiere también de una declaración de culpabilidad proferida por la autoridad competente. Esto implica que debe haber un elemento intencional en la conducta reprochada, pues, como lo ha sostenido la Corte Constitucional, no hay acción sin voluntad. La Corte Constitucional rescató lo anterior en los siguientes términos: (…) RESOLUCIÓN NÚMERO 82428 DE 2021 El Consejo de Estado se ha pronunciado frente al juicio de culpabilidad como requisito previo para la imposición de una sanción en los siguientes términos: (…) De manera particular, el Tribunal Administrativo de Cundinamarca ha analizado la proscripción de la responsabilidad objetiva en las investigaciones adelantadas por esta Superintendencia. Al respecto precisó la entidad que “la conducta debe ser dolosa o culposa como elementos integrantes del actuar del sancionado, por cuando toda forma de responsabilidad objetiva se encuentra proscrita tanto en materia penal como fiscal y disciplinaria”.
Como Gerente General de la sociedad CASA EDITORIAL EL TIEMPO S.A. tiene funciones, entre otras, de gestión y dirección encaminadas al cumplimiento del objeto social de la empresa y la garantía del cumplimiento de las obligaciones legales por parte de la misma y sus empleados. Como se puede ver, las funciones de XXXX XXXXXXXXX XXXXX XXXXXXX no se limitan a la ejecución de medidas con el objetivo de cumplir con el régimen de datos personales.
De conformidad con el Certificado de Existencia y Representación Legal que se allega al expediente como anexo 5.1. de este Recurso, el gerente general de EL TIEMPO tiene las siguientes funciones y atribuciones: (…) Como se evidencia en el aparte anterior, las funciones de XXXX XXXXXXXXX XXXXX XXXXXXX tienen una finalidad estratégica y de dirección general.
Con lo anterior, no puede estar involucrado en flujos y procesos específicos. Los representantes legales pueden delegar funciones para dar cumplimiento a los distintos cuerpos normativos que pueden impactar el negocio. Por lo anterior, atender el proceso relacionado con el Denunciante no era parte de las funciones de XXXX XXXXXXXXX XXXXX XXXXXXX.
Existen áreas responsables con funciones específicas para atender los asuntos que la operación de la sociedad implica en el día a día. Lo anterior implica que mi poderdante no conocía ni debía conocer el caso específico del Denunciante. De esta forma, no actuó de manera culpable, y no puede ser sancionado por esta Autoridad. Y es que un representante legal no puede ser responsable por el incumplimiento aislado de los manuales previstos para el cumplimiento de las normas de protección de datos, menos en aquellos casos donde el trabajador incumplido haya sido debidamente sancionado.
Así las cosas, el actuar de XXXX XXXXXXXXX XXXXX XXXXXXX no es típico, antijurídico ni culpable. 3.2.4.4. Las acciones desplegadas por XXXX XXXXXXXXX XXXXX XXXXXXX demuestran el cumplimiento de los deberes previstos en el artículo 23 de la Ley 222 de 1995 Como se ha mencionado, el Director de Investigaciones para la Protección de Datos Personales declaró que XXXX XXXXXXXXX XXXXX XXXXXXX incumplió los deberes previstos en los literales a) y j) de la Ley 1581 de 2012, en la medida en que consideró que su actuar fue negligente en la adopción de medidas, controles y mecanismos eficientes, reales, efectivos y verificables para que EL TIEMPO garantizara el cumplimiento de dichos deberes.
Contrario a la valoración subjetiva realizada por la SIC sobre la ineficiencia y suficiencia de las medidas, los elementos de prueba que obran en el expediente permiten inferir de manera razonable que XXXX XXXXXXXXX XXXXX XXXXXXX actuó en estricto cumplimiento de sus deberes legales como administrador de EL TIEMPO. Para evaluar lo anterior, es menester mencionar que de conformidad con el artículo 23 de la Ley 222 de 1995, los administradores deben obrar bajo los presupuestos de los deberes de buena fe, lealtad y diligencia de un buen hombre de negocios.
Así, en virtud del cumplimiento del deber de diligencia, los administradores deberán, entre otros, “2. Velar por el estricto cumplimiento de las disposiciones legales o estatutarias.” En relación con el deber de diligencia, la Superintendencia de Sociedades ha establecido que la actuación de los administradores debe ir más allá de la diligencia común y corriente, “pues su gestión profesional de carácter comercial debe orientarse al cumplimiento de las metas propuestas por la sociedad”.
RESOLUCIÓN NÚMERO 82428 DE 2021 Así mismo, la Superintendencia de Sociedades ha establecido que la diligencia de un buen hombre de negocios se refiere a “que en el ejercicio de sus funciones debe actuar con el cuidado que un profesional o comerciante pondría en sus propios asuntos, es decir, en el ejercicio de sus actuaciones, gestiones y decisiones debe poner el mayor interés y cuidado posible de manera que ninguna de las gestiones que adelante en nombre de la sociedad viole disposiciones de orden legal, estatutaria o sea contraria a las decisiones adoptadas por los órganos sociales” (Destacado fuera de texto).
En el mismo sentido, mediante la expedición de la Circular Externa 100-006 del 25 de marzo de 2008, la Superintendencia de Sociedades comunicó los criterios que esta Autoridad ha expuesto con relación al cumplimiento del régimen general de responsabilidad de los administradores, en las que resaltó que el deber de diligencia se refiere a lo siguiente: (…) Así mismo, mediante la precitada Circular, la Superintendencia de Sociedades consideró los siguientes como deberes específicos de los administradores: (…) Lo anterior, es concordante con lo expresado por la Honorable Corte Constitucional, cuando estableció que: (…) En conclusión, es de indicar que el Director de Investigaciones para la Protección de Datos Personales al declarar que XXXX XXXXXXXXX XXXXX XXXXXXX actuó de manera negligente en relación al cumplimiento del deber de diligencia en su calidad de administrador, necesariamente ha inferido que este no actuó de manera cuidadosa, conforme a la Ley, o en interés de la sociedad o de los asociados, al momento de promover la implementación de los procedimientos para la atención de solicitudes de habeas data de EL TIEMPO.
Contrario a la apreciación subjetiva de la SIC, tal como se pudo probar mediante los elementos probatorios que obran en el expediente, las medidas promovidas por XXXX XXXXXXXXX XXXXX XXXXXXX demuestran su actuar diligente en la medida que: (i) (ii) XXXX XXXXXXXXX XXXXX XXXXXXX realizó esfuerzos conducentes al adecuando desarrollo del objeto social de EL TIEMPO, toda vez que en desarrollo de este deber especial31, procuró la realización de las actividades comprendidas en el objeto social de la compañía y definidos en los estatutos, para la consecución de los resultados perseguidos por la sociedad, teniendo en cuenta las circunstancias y condiciones del entorno que la rodean.
Lo anterior implica que XXXX XXXXXXXXX XXXXX XXXXXXX materializó una estrategia para el cumplimiento del Régimen de Protección de Datos Personales, para efectos de que la sociedad pudiera dar cumplimiento a su objeto social, como lo ha hecho de manera ininterrumpida durante el periodo que se ha desempeñado como representante legal. Las medidas promovidas por XXXX XXXXXXXXX XXXXX XXXXXXX son medidas que se adoptaron durante el periodo en el cual ha ejercido como representante legal y se reputan legales.
Ahora bien, de conformidad con decisiones previas de la Superintendencia de Sociedades, para establecer si ha materializado una violación al deber de cuidado por parte de XXXX XXXXXXXXX XXXXX XXXXXXX, es preciso mencionar que “las normas que rigen las actuaciones de los administradores buscan promover un delicado equilibrio entre la autonomía con la que deben contar tales sujetos para conducir los negocios sociales y la responsabilidad que debe atribuírseles por el cumplimiento inadecuado de esa gestión”.
En ese sentido, el Director de Investigaciones no realizó un análisis en relación con el equilibrio al que hace referencia los precedentes de la Superintendencia de Sociedades en relación con la regla de la discrecionalidad, la cual establece que respetar “el criterio de los administradores busca que tales funcionarios cuenten con suficiente discreción para asumir riesgos empresariales, sin temor a que su gestión administrativa sea juzgada, a posteriori, por los resultados negativos de sus decisiones”.
Así, para que los administradores logren desempeñar sus funciones como buenos hombres de negocios en los términos del artículo 23 de la Ley 222 de 1995, no es de recibo que las autoridades “escudriñen todas las decisiones que estos sujetos RESOLUCIÓN NÚMERO 82428 DE 2021 adopten en desarrollo de la empresa social”. En efecto, de no existir esta regla, los administradores carecerían de incentivos para asumir riesgos, “puesto que el retorno económico de una inversión riesgosa beneficiaría principalmente a la compañía, al paso que cualquier pérdida le sería imputable al administrador”.
Por lo anterior, para el caso sub examine, sería entonces importante que la SIC (quien además no tiene competencia) entienda que las medidas que se probaron que fueron tomadas por XXX XXXXXXXXX XXXXX XXXXXXX, fueron idóneas y pertinentes para la mitigación de los riesgos inherentes a la operación, y no necesariamente la materialización de estos riesgos, implican el incumplimiento de los deberes de los administradores.
3.3. XXXX XXXXXXXXX XXXXX XXXXXXX no infringió el deber previsto visto en los literales a) y j) del artículo 17 de la Ley 1581 de 2012 Con base en las consideraciones expuestas hasta este momento, y conforme a las pruebas documentales y testimoniales que reposan en el expediente, es posible concluir que XXXX XXXXXXXXX XXXXX XXXXXXX no infringió los deberes a cargo de los responsables del tratamiento de datos personales previstos en los literales j) y a) del artículo 17 de la Ley 1581 de 2018, como quiera que se logra demostrar lo siguiente: (i) (ii) (iii) (iv) XXXX XXXXXXXXX XXXXX XXXXXXX no ostenta la categoría de responsable del tratamiento de los datos personales contenidos en las bases de datos de EL TIEMPO.
Como consecuencia de lo anterior, no se cumple con los requisitos mínimos de la tipificación de las conductas imputadas, ya que estas tienen un sujeto calificado (responsables del tratamiento de datos personales). La Delegatura de Protección de Datos Personales no tiene competencia funcional para verificar el cumplimiento de los deberes de los administradores.
Las actuaciones desplegadas por XXXX XXXXXXXXX XXXXX XXXXXXX en su calidad de representante legal de EL TIEMPO se enmarcan en el cumplimiento del deber de diligencia, en la medida en que EL TIEMPO ha implementado las medidas idóneas para garantizar un debido tratamiento de los datos personales de sus usuarios, a través de la implementación de un sistema de cumplimiento de protección de datos con la capacidad de cumplir con las exigencias del régimen legal de protección de datos personales.
En ese orden, XXXX XXXXXXXXX XXXXX XXXXXXX ha realizado acciones encaminadas a fortalecer el cumplimiento de las normas referentes a la protección de datos personales, demostrando que ha existido una constante inversión de recursos económicos, administrativos, técnicos y humanos para el mejoramiento constante el programa de cumplimiento de protección de datos personales de EL TIEMPO.
Todas las anteriores son acciones probadas tendientes al mejoramiento y fortalecimiento de los procesos, permitiendo así que los usuarios tengan un disfrute pleno de sus derechos, al mismo tiempo que le permite a EL TIEMPO mejorar sus índices de cumplimiento de sus obligaciones legales sobre la materia. A los argumentos presentados en el presente memorial se le adiciona, todos aquellos argumentados por EL TIEMPO en la presente investigación administrativa. 4.
SOLICITUD A la luz de lo anterior, solicito respetuosamente al Director de Investigaciones de Protección de Datos Personales, REVOCAR la Resolución de Sanción para en su lugar proferir una nueva decisión en la cual: PRIMERA.- Se DECLARE que XX XX XXXXXXXXX XXXXX XXXXXXX NO ES RESPONSABLE de presuntas conductas violatorias del Régimen de Protección de Datos Personales, específicamente de los literales a) y j) del artículo 17 de la Ley 1581 de 2012 y se ARCHIVE la investigación administrativa.
SEGUNDA.- En atención a la declaración anterior, se ABSTENGA de ordenar la implementación de medidas al señor XXXX XXXXXXXXX XXXXX XXXXXXX. TERCERA.- Se solicita que este escrito se REMITA al Superintendente Delegado para la Protección de Datos Personales de la Superintendencia de Industria y Comercio de Colombia RESOLUCIÓN NÚMERO 82428 DE 2021 en caso de no prosperar la totalidad de las solicitudes aquí enunciadas, para que inicie el trámite de la solicitud de subsidiariedad del recurso de apelación mencionado en la referencia.
QUINTO: Que mediante Resolución No. 17141 del 29 de marzo de 2021 la Dirección de Investigación para la Protección de Datos Personales, resolvió el recurso de reposición interpuesto por la sociedad CASA EDITORIAL EL TIEMPO S.A., confirmando en todas sus partes la Resolución No. 81372 del 18 de diciembre de 2020 y concediendo el recurso de apelación presentado de forma subsidiaria.
SEXTO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto por sociedad CASA EDITORIAL EL TIEMPO S.A. (en adelante EL TIEMPO), contra la Resolución No. 81372 del 18 de diciembre de 2020 y con base en lo expuesto por la sociedad, se harán las siguientes: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)” (Enfasis añadido)
2. DEL MOTIVO DE LA MULTA IMPUESTA Y PRECISIÓN RESPECTO DE LA ORDEN AL REPRESENTANTE LEGAL Con miras a centrarnos en el aspecto relevante por el cual se impuso la multa nos permitimos reiterar que mediante la Resolución No. 81372 del 18 de diciembre de 2020 se decidió lo siguiente: 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO 82428 DE 2021 Como se observa, mediante el citado acto administrativo no se impuso ninguna sanción al representante legal de EL TIEMPO ni se le declaró culpable o responsable. Simplemente se le ordenó adoptar medidas para evitar que en el futuro se repitan hecho como los que dieron origen a la multa impuesta a la sociedad que representa.
Respecto de la naturaleza jurídica de las órdenes nos referiremos posteriormente. De otra parte, se sancionó la tiempo por no cumplir lo previsto en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012 en concordancia con el artículo de la misma norma. Dichas disposiciones legales ordenan lo siguiente:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)”
ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. RESOLUCIÓN NÚMERO 82428 DE 2021 En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” Visto lo anterior, se procederá a verificar si la multa impuesta y la orden emitida se ajustan a derecho.
3. LA REGULACIÓN SOBRE DE DATOS PERSONALES IMPONE PROBATORIAS A LOS RESPONSABLES DEL TRATAMIENTO. CARGAS Afirma la recurrente que la Dirección: “hace un análisis sui generis sobre la carga probatoria en los procesos administrativos sancionatorios desconociendo de manera fehaciente y aterradora la normatividad vigente y toda la jurisprudencia de la Corte Constitucional respecto a esta materia.” Dicha aseveración no es consistente con lo establecido con el ordenamiento jurídico por varias razones: En primer lugar, la recurrente desconoce los preceptos legales especiales que existen en materia probatoria respecto del tratamiento de datos personales.
En efecto, la regulación colombiana sobre tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada). Esto se deriva de lo expresamente señalado en el Decreto 1377 de 20132que ordena lo siguiente: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)” (Destacamos y subrayamos).
Sobre este punto, en la sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional reiteró lo anterior en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es Incorporado en el Decreto 1074 de 2015 RESOLUCIÓN NÚMERO 82428 DE 2021 incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013.
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.
(…) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” (…) “el principio de responsabilidad demostrada no se opone a la Constitución sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data.
(…) “ (Destacamos) Adicionalmente, de la lectura de la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios se advierten las siguientes cargas probatoria: • Acreditar prueba de la autorización del Titular del dato 3. • Demostrar que se informó lo que ordena el parágrafo del artículo 12 de dicha ley • Suministrar una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso 4 • Documentar los procedimientos para el tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate5 • Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los encargados del tratamiento den cabal cumplimiento a las mismas 6 • Conservar el modelo del aviso de privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven 7 • Adoptar las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el titular o cuando el responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento 8.
En segundo lugar, no estamos frente a una investigación mediante la cual se esté estableciendo la responsabilidad penal de una persona jurídica o de su representante legal. Cfr. Literal b) del artículo 17 de la Ley 1581 de 2012 Artículo 4 del Decreto 1377 de 2013. 5 Artículo 11 del Decreto 1377 de 2013. 6 Artículo 13 del Decreto 1377 de 2013. 7 Artículo 16 del Decreto 1377 de 2013.
Artículo 22 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 82428 DE 2021
4. LAS ÓRDENES NO SON SANCIONES Como es sabido, el artículo 19 de la Ley Estatutaria 1581 de 2012, le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, el artículo 21 determina las funciones que debe cumplir la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: “ARTÍCULO 21.
FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.
(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones con miras a proteger el derecho al debido tratamiento de los datos personales. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.
Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales.
Por eso, emitir una orden es un acto respetuoso del marco legal. Finalmente, y no menos importante, de la lectura del artículo 23 de la Ley Estatutaria 1581 de 2012 se puede constatar que las órdenes no son sanciones: RESOLUCIÓN NÚMERO 82428 DE 2021 “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” Dado lo anterior, para la emisión de una orden no es necesario observar las pautas del procedimiento administrativo sancionatorio a que se refiere el artículo 47 y siguientes de la ley 1437 de 2011.
En suma, las órdenes no son sanciones sino son medidas necesarias para, entre otras, hacer efectivo el derecho de hábeas data o para que los Responsables del Tratamiento y Encargados del Tratamiento cumplan correctamente los previsto en regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares de los datos.
5. DEL DEBIDO PROCESO Ordena lo siguiente el artículo 29 de la Constitución:
ARTICULO 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable.
Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.
Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” Como se observa el debido proceso debe garantizarse en toda actuación administrativa o judicial para que se respeten los derechos de las personas y el Estado de Derecho. De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca: RESOLUCIÓN NÚMERO 82428 DE 2021 “( ) “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”9.
De igual forma, dicha Corte se refirió a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “( ) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”10.
(Negrilla fuera de texto) Así, ordena lo siguiente la Constitución Política de Colombia: “ARTICULO 6o. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” “ARTICULO 209.
La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones”. (Destacamos) La ley 143711 de 2011, por su parte, estable lo que sigue a continuación: ARTÍCULO 3o.
PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.
En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” El principio de legalidad ha sido entendido por la Corte Constitucional en los siguientes términos: “El principio constitucional de la legalidad tiene una doble condición de un lado es el principio rector del ejercicio del poder y del otro, es el principio rector del derecho sancionador.
Como principio rector del ejercicio del poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley. Este principio exige que todos los funcionarios del Estado actúen siempre sujetándose al ordenamiento jurídico que establece la Constitución y lo desarrollan las demás reglas jurídicas”12.
(Énfasis añadido) 9 Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo. Ibidem. 11 Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. 12 Corte Constitucional. Sentencia C-710 del 2001. M.P. JAIME CÓRDOBA TRIVIÑO. RESOLUCIÓN NÚMERO 82428 DE 2021 Frente a la valoración probatoria por parte de esta Superintendencia y a la cual hace referencia la recurrente se considera necesario hacer las siguientes precisiones: La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.
Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. ( ) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” (Destacamos) De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.
Ahora, la jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”13 De conformidad con lo indicado, tal y como lo indicó la primera instancia al resolver el recurso de reposición, a lo largo de la presente actuación administrativa CASA EDITORIAL EL TIEMPO S.A., contó con todas y cada una de las oportunidades procesales para ejercer su derecho de defensa, es así como mediante escrito radicado bajo el número 18-220892-05 del 17 de diciembre de 2018, dio respuesta al requerimiento de esta entidad aportando además documentos respaldando sus afirmaciones al proceso, bajo los radicados 18220892-17 y 18-220892-18 de enero de 2020 además de rendir descargos se allegaron las pruebas que consideroaron necesarias para advertir el cumplimiento con la solicitud de supresión de la información remitida por el titular.
De la misma manera, se decretaron y practicaron las pruebas solicitadas por la apoderada de los recurrentes, posteriormente el 21 de septiembre de 2020 bajo los radicados 18-220892- -00056 y 18-220892- -00057 radicó los alegatos de conclusión. Debe resaltarse que el ejercicio de las facultades que otorgan esos derechos, son potestativas para cada interesado.
Por ejemplo, frente a la investigación de un hecho, el directamente involucrado puede guardar silencio; controvertir el hecho; solicitar la práctica de una prueba; etc., y cada una de esas actuaciones la hará dentro del ejercicio de sus derechos de defensa y contradicción. Es decir, las actuaciones garantizadas por esos derechos son optativas de cada administrado.
A su vez, en cumplimiento del artículo 36 de la Ley 1437 de 2011, el expediente físico y digital 18-220892 en todo momento, y desde el inicio de la investigación ha estado a disposición de la sociedad recurrente, para que sea consultado; se pronuncie sobre cualquier aspecto del mismo. Así como también, ha tenido la posibilidad de presentar oposiciones y de aportar y/o solicitar la práctica de las pruebas que considere pertinentes. 13 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.
Exp. 23001-31-10-002-1998- 00467-01.M.P. Edgardo Villamil Portilla. RESOLUCIÓN NÚMERO 82428 DE 2021 Este análisis concuerda con lo considerado por la Corte Constitucional en relación con el derecho de defensa: “La jurisprudencia constitucional define el derecho a la defensa como la ‘oportunidad reconocida a toda persona, en el ámbito de cualquier proceso o actuación judicial o administrativa, de ser oída, de hacer valer las propias razones y argumentos, de controvertir, contradecir y objetar las pruebas en contra y de solicitar la práctica y evaluación de las que se estiman favorables, así como ejercitar los recursos que la ley otorga’”14 (Destacamos) Así las cosas, vale la pena llamar la atención sobre el hecho de que CASA EDITORIAL EL TIEMPO S.A. siempre tuvo oportunidad de expresar sus opiniones, controvertir las pruebas y de acceder al expediente.
No obstante, si los resultados de la actuación administrativa no son los deseados por esa sociedad, no es dable endilgarle tal responsabilidad a esta entidad, y tampoco afirmar que la misma obró contrario a derecho. Adicionalmente, los recursos de reposición y apelación interpuestos por la investigada, son otras alternativas previstas por la Ley 1437 de 2011 para debatir las conclusiones del acto administrativo definitivo que pone fin a la investigación en curso.
Esta posibilidad está en el artículo 74 de la Ley 1437 de 2011: “Por regla general, contra los actos definitivos procederán los siguientes recursos: 1. El de reposición ( ) 2. El de apelación ( )”. (Énfasis añadido). Luego de emitido el acto administrativo, es la sociedad recurrente la que tiene la potestad que no es obligatoria-, de interponer los recursos señalados en el artículo referido y aportar con estos las pruebas que pretende hacer valer.
Así, por medio del presente acto administrativo se analizan los recursos de apelación interpuestos bajo el radicado 18-220892- -00070 por la apoderada de los recurrentes donde tienen la oportunidad de controvertir las conclusiones y pruebas consideradas en el acto recurrido. Así los recurrentes han contado con todas las oportunidades de ley para ejercer su derecho de defensa, la inconformidad con el resultado de la presente actuación de ninguna manera, significan que esta entidad haya vulnerado el derecho fundamental al debido proceso.
Se reitera que esta autoridad: 1.Garantizó el derecho de la sociedad a ser oída, aportar y solicitar pruebas; y, 2.Garantizó el derecho de defensa y contradicción, a lo largo de la actuación y con el análisis del recurso en cuestión. En síntesis, esta superintendencia cumplió a cabalidad el procedimiento legal aplicable a este tipo de investigaciones, sujetándose estrictamente al procedimiento administrativo común, sin incurrir en la violación del debido proceso y del derecho de defensa o contradicción de la recurrente.
5.1. DEL PRINCIPIO DE CONGRUENCIA La recurrente manifiesta que se dio trámite y se sancionó por fuera de lo establecido en el pliego de cargos. Eso no es cierto. Veamos: 14 Corte Constitucional, Sentencia T-018 de 2017, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 4.2; Corte constitucional, Sentencia C-025 de 2009, Magistrado Ponente Rodrigo Escobar Gil, Considerando
3.2. RESOLUCIÓN NÚMERO 82428 DE 2021 Del artículo 47 de la Ley 1437 de 2011 se concluye que el pliego de cargos es la imputación que hace una entidad pública a un persona natural o jurídica cuando como resultado de averiguaciones preliminares establece que existen méritos para adelantar un procedimiento sancionatorio. La finalidad de dicho pliego es informar al investigado de los hechos y normas presuntamente infringidas para que presente los descargos y solicite o aporte las pruebas que pretendan hacer valer.
Con miras a garantizar el derecho de defensa, la formulación de cargos debe ser precisa de manera que el investigado conozca claramente de qué se le acusa y pueda presentar sus argumentos. En ese sentido, el citado artículo 47 ordena lo siguiente: ARTÍCULO
47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. ( ) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.
Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes.
( )” (Destacamos) Sobre este punto, el Consejo de Estado ha recalcado que “se precisa que la pieza procesal esencial sobre la que se edifica un proceso sancionatorio es el pliego de cargos el que debe tener absoluta coherencia con la decisión que pone fin a la actuación, debiendo cumplir estrictos requisitos formales y sustanciales, dentro de los cuales tiene especial trascendencia la precisión y claridad de los hechos que son motivo de investigación y por los cuales se formula la imputación, de la misma manera que la modalidad en que ocurrieron, y las circunstancias de agravación de la sanción que hayan sido deducidas, así como la calificación jurídica de tales situaciones”15 (Destacamos) La formulación de cargos debe ser clara y precisa para que el investigado se defienda sobre lo que concretamente se le acusa.
En caso que se adopte una sanción, la misma debe ser respecto de lo que se acusó al investigado. En otras palabras, debe existir coherencia entre los cargos y la sanción. No se puede sancionar por un hecho o conducta sobre la cual no se le imputó cargos al investigado. Lo anterior tiene que ser así para garantizar el debido proceso que comprende, entre otras, el derecho de contradicción y defensa.
En suma, debe existir congruencia entre el cargo formulado y la sanción impuesta de manera que no se sancione por una conducta no señalada en el pliego de cargos. En línea con lo anterior, el Consejo de Estado han señalado que “es importante resaltar que para adoptar la decisión definitiva la administración deberá mantener las mismas garantías formales establecidas para el pliego de cargos acto con el cual deberá guardar coherencia como una manifestación del acatamiento de la administración al principio de congruencia y del respeto del debido proceso”16.
(Destacamos). Puntualmente, dicha Corporación ha precisado que “la Sala ha sostenido que las sanciones deben imponerse por los mismos hechos planteados en el pliego de cargos, puesto que si se sanciona por hechos distintos se desconoce el debido proceso, dado que el administrado no tiene la oportunidad de ejercer su derecho de defensa”17.
(Destacamos). 15 Cfr. Consejo de Estado, Sección Quinta. Consejera ponente: Rocío Araújo Oñate Bogotá D.C., veintidós (22) de febrero de dos mil dieciocho (2018). Radicación Número: 25000232400020100034801 Cfr. Consejo de Estado. Sala de Consulta y Servicio Civil. Consejero Ponente: Álvaro Namén Vargas. Bogotá D.C., treinta (30) de octubre de dos mil trece (2013).-Rad.
No. 11001-03-06-000-2013-00392-00 Cfr. Consejo de Estado Sala de lo Contencioso Administrativo Sección Cuarta: Consejero Ponente: Martha Teresa Briceño De Valencia. Bogotá D.C., Treinta (30) de agosto de dos mil dieciséis (2016). Radicación número: 20001-23-33-000-2012-00204-01(20771). En la sentencia citan estas decisiones del Consejo de Estado: Sentencias RESOLUCIÓN NÚMERO 82428 DE 2021 En el presente caso la sociedad manifiesta que se dio trámite y sancionó por fuera de lo establecido en el pliego de cargos.
Sobre este punto, este Despacho procedió́ a verificar dicho pliego y constató que, la formulación se realizó en torno a los siguientes cargos: (…) Como consecuencia, la Resolución No. 68538 del 29 de noviembre de 2019, resolvió lo siguiente: Estos cargos responden a la información aportada en el escrito de denuncia, donde el titular manifiesta que no se dio respuesta a su solicitud y las respuestas otorgadas por la sociedad en la etapa preliminar.
Dentro de la actuación administrativa con radicado 18-220892 se requirió a la sociedad que se pronunciara frente a estos hechos. La respuesta al requerimiento en cita fue radicada ante esta Superintendencia el 17 de diciembre de 2018, bajo radicado número 18-220892-0000500001, allí, la sociedad investigada afirmó: Adicionalmente aportó la copia de esta respuesta al derecho de petición: de 6 de agosto de 1998, C.P. doctor Delio Gómez Leyva, Exp. 9886; de 14 de abril de 2000, C.P. doctor Germán Ayala Mantilla, 2 de noviembre de 2001, C.P. doctora Ligia López, Exp. 12283 y de 10 de julio de 2014, C.P. Martha Teresa Briceño de Valencia, exp. 19212.
RESOLUCIÓN NÚMERO 82428 DE 2021 RESOLUCIÓN NÚMERO 82428 DE 2021 Como allí se observa, la fecha de esta comunicación es el 17 de diciembre de 2018, fecha en la cual también se radicó la respuesta al oficio ante esta Superintendencia. Es en razón a estos hechos que se formularon cargos por la violación al literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma Ley, pues la respuesta a la solicitud del titular fue extemporánea porque se efectuó por fuera del término establecido en la ley para este propósito.
Como consecuencia, la Dirección de investigación para la Protección de Datos personales decidió mediante la resolución recurrida imponer una sanción y emitir una orden en este sentido así: De manera que este Despacho encuentra que hubo congruencia entre las normas por las cuales fue sancionada la sociedad y aquellas incluidas en la formulación de cargos.
Además, los hechos por los que fue multada la recurrente se derivan de la violación a los derechos del titular, al no dar respuesta a la solicitud de supresión de la información dentro del término que establece la Ley 1581 de 2012. Estos hechos, las averiguaciones preliminares y las pruebas y documentos que obran en el expediente, son los que motivan la Resolución No. 81372 del 18 de diciembre de 2020 en donde se sanciona y emiten órdenes por las normas enunciadas en la formulación de cargos, por lo que en ningún momento hay una violación al principio de congruencia. En vista de lo expuesto, no se acogerán los argumentos de la sociedad CASA EDITORIAL EL TIEMPO S.A.
5.2. DE LA SUPUESTA VIOLACIÓN DEL DERECHO DE DEFENSA Manifiesta la apoderada de CASA EDITORIAL EL TIEMPO S.A. y el señor XXXX XXXXXXXXX XXXXX XXXXXXX que esta Superintendencia vulneró los derechos de defensa y contradicción al no haber dado respuesta a la totalidad de los argumentos de defensa presentados. Frente a estos argumentos, este Despacho considera que, tal como se ha expuesto en el presente acto administrativo, esta entidad obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el Derecho Fundamental de la Protección de Datos Personales junto con el correcto Tratamiento de esa información y, de otra, respetar el debido proceso.
Al respecto, este Despacho advierte que en ningún momento los actos o actuaciones de esta Delegatura, en el curso del proceso han estado en contravía del derecho, como erróneamente lo da a entender el recurrente. Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta entidad aplicó y respetó las garantías procesales necesarias, y en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar.
Los que, en ninguna circunstancia fueron arbitrarios. Por el contrario, lo que sí hizo esta Superintendencia, fue propender por la correcta aplicación de las normas y los principios que las fundamentan. RESOLUCIÓN NÚMERO 82428 DE 2021 Adicionalmente, este proceso administrativo sancionatorio está compuesto de una serie de actos o actuaciones con un orden de continuidad establecido.
En el que los tiempos y etapas que en él se fijan, son disposiciones de orden público y de obligatorio cumplimiento. Tal como está el expediente, es posible verificar que durante todo el camino de la actuación administrativa, la Superintendencia de Industria y Comercio ofreció́ las garantías que le permitieran a la recurrente evaluar las condiciones de transparencia y seguridad jurídica que caracterizan estos procesos.
Por lo cual los argumentos de los recurrentes no están llamados a prosperar.
5.3. DE LA VALORACIÓN PROBATORIA. La recurrente manifiesta que la Dirección de Investigación de Protección de Datos Personales omitió la valoración de pruebas dentro de sus consideraciones, frente a lo cual se considera necesario hacer las siguientes precisiones: La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.
Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. ( ) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.
Ahora, la jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”18 De manera que, esta Delegatura volvió a al revisar los documentos y pruebas que obran en el expediente así como la decisión emitida mediante la Resolución No. 81372 del 18 de diciembre de 2020.
Así, este Despacho encuentra que la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el Derecho Fundamental de la Protección de Datos Personales junto con el correcto Tratamiento de esa información y, de otra, respetar el debido proceso. La recurrente en particular cita el informe técnico realizado por el Grupo de Investigaciones de esta Superintendencia donde se expone: 19 18 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.
Exp. 23001-31-10-002-1998- 00467-01.M.P. Edgardo Villamil Portilla. 19 Expediente digital 18-220892 hoja 44, páginas 16-17. RESOLUCIÓN NÚMERO 82428 DE 2021 Efectivamente como resalta la recurrente, el literal G expone que no se encontró en las búsquedas realizadas información del titular y se encontró que la verificación se realizó dentro del plazo establecido en la ley para tramitar las reclamaciones.
No obstante, los literales E y H también manifiestan que la respuesta a la solicitud del titular se envió en diciembre de 2018. Esta Superintendencia debe hacer una valoración integral de las pruebas por lo que reconoce que se llevaron a cabo acciones encaminadas a cumplir con la solicitud del Titular del dato, pero debe también tener en cuenta que la petición fue respondida extemporáneamente, es decir, con posterioridad al término establecido por ley e incluso luego de que iniciara la presente actuación administrativa.
Frente a la debida atención de las consultas y reclamos en materia de protección de datos personales, la Corte Constitucional en la Sentencia C-748 de 2011 expuso: “Los artículos 14 y 15 del proyecto de ley regulan los mecanismos de consulta y reclamo del titular del dato o sus causahabientes al responsable o encargado del tratamiento, con el fin de hacer efectivo el derecho al habeas data.
Se señala que: (i) los titulares o sus causahabientes podrán consultar la información personal del titular que repose en cualquier base de datos pública o privada; (ii) los responsables y encargados del tratamiento deben suministrar al titular toda la información contenida en la base de datos bien porque se tenga un registro individual o exista alguna asociada a su identificación;
(iii) el responsable y el encargado del tratamiento deben tener algún medio habilitado para que la consulta se pueda realizar, el cual debe permitir dejar prueba de ello; (iv) la consulta se debe resolver en un término máximo de 10 días hábiles a partir de la fecha de recibo de la solicitud; y (v) en el evento de no poder responderse en ese término, se le debe informar al titular sobre las razones.
De todas maneras la respuesta la debe recibir dentro de los 5 días siguientes al RESOLUCIÓN NÚMERO 82428 DE 2021 vencimiento del primer plazo. Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución, que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades publicas o privadas, peticiones para establecer que información o datos poseen sobre ellos y los términos para atender las consultas.
El articulo 15 por su parte, regula los reclamos que puede efectuar el titular del dato o sus causahabientes al responsable o encargado del tratamiento con el fin de corregir, actualizar o suprimir la información contenida en la base de datos o cuando se considere que se ha incumplido con cualquiera de los deberes que les corresponde. (…) La jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición, que en el caso de los responsables como de los encargados del tratamiento están obligados a observar, que se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma.
Así, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data, siendo definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.” Como allí se evidencia la respuesta es crucial para cumplir lo que ordena la ley en comento sobre las consultas y reclamos.
La debida atención de estas no solo implica recepcionarlas sino responderlas de manera oportuna, completa y de fondo. Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna. Las personas no tienen por qué rogar o insistir antes las empresas para que les respeten sus derechos humanos. No respetar los derechos de los titulares de los datos es censurable e inadmisible.
De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos humanos. Las normas por las cuales se sancionó a CASA EDITORIAL EL TIEMPO S.A. establecen:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;
ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el RESOLUCIÓN NÚMERO 82428 DE 2021 reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. Como bien lo ha dicho la recurrente a CASA EDITORIAL EL TIEMPO S.A. no se le esta sancionando por el deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012.
El deber que le correspondía como Responsable del Tratamiento y que es objeto de estudio en la presente actuación es el del literal j) en concordancia con lo establecido en el artículo
15. CASA EDITORIAL EL TIEMPO S.A. dio trámite a la solicitud del titular, sin embargo, no le dio respuesta, incumpliendo así con sus deberes como Responsable del Tratamiento. En virtud de lo expuesto se confirmará la sanción impuesta en el artículo primero de la Resolución No. 81372 del 18 de diciembre de 2020.
6. DE LA RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES. En cuanto a las órdenes impartidas al representante legal de la sociedad, se reitera que no son una sanción. Las instrucciones contenidas en el artículo segundo de la Resolución No. 81372 del 18 de diciembre de 2020 buscan que dentro de la sociedad se implementen las medidas señaladas y se le dirigen al señor XXXX XXXXXXXXX XXXXX XXXXXX en su calidad de representante legal de la sociedad.
Ahora a lo largo de la presente actuación administrativa se evidenció que CASA EDITORIAL EL TIEMPO S.A. ha implementado diferentes medidas encaminadas a garantizar la protección del derecho de hábeas data o del debido tratamiento de datos personales. No obstante, ellas no han sido eficaces para proteger en la práctica los derechos de los titulares de los datos, en particular frente al almacenamiento, eliminación de la información y la respuesta a las peticiones de los titulares que como ya se expuso es una parte fundamental de su ejercicio del precitado derecho fundamental.
Las acciones que se lleven a cabo no deben limitarse a la documentación de procesos, deben ser implementadas y monitoreadas. En vista de que se evidenció que estas medidas no eran las adecuadas para garantizar el cumplimiento del Régimen General de Protección de Datos Personales, y teniendo en cuenta la reincidencia en la conducta sancionada, la Dirección de Investigación para la Protección de Datos Personales optó por formular pliego de cargos y posteriormente impartir órdenes al representante legal de la sociedad para que se lleven a cabo medidas internas en la organización que permitan garantizar el derecho de hábeas data de los titulares.
RESOLUCIÓN NÚMERO 82428 DE 2021 Ahora frente a los argumentos expuestos con ocasión al recurso, esta Delegatura encuentra que el artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.
De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas. En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.
Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas sobre tratamiento de datos personales, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.
Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora, según el artículo 22 de la ley 222 de 199520 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el 20 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 82428 DE 2021 estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2421 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”22.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. Resalta esta Delegatura que no se traen a colación las normas señaladas para atribuirse competencias que no le han sido asignadas a esta Superintendencia. Lo anterior puede corroborarse leyendo la parte resolutiva de la resolución recurrida.
El mero hecho de que esta entidad cite normas diferentes a la Ley Estatutaria 1581 de 2012 no significa que la Delegatura esté obrando por fuera de sus competencias. Concluir algo diferente no es sensato ni se ajusta a derecho. Citar o transcribir algunos apartes de otras regulaciones (Ley 222 de 1995) no puede ser objeto de censura ni cuestionamiento.
Mal haría esta entidad en ocultar normas relevantes para referirse a ciertos aspectos cruciales en el presente caso. No se puede analizar el caso desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas sino que es imperioso tener presente y aplicar integralmente diferentes disposiciones pertinentes de la regulación colombiana.
Tampoco se está haciendo una presunción de culpabilidad, pues como se expuso, la formulación de cargos y las órdenes impartidas responden a los hallazgos de la investigación, las pruebas y documentos que obran en el expediente donde se evidencia que 21 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 22 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 RESOLUCIÓN NÚMERO 82428 DE 2021 no se dio respuesta dentro de los términos establecidos a la petición del titular, a pesar de tener implementadas diferentes medidas para el cumplimiento de la ley de protección de datos personales.
Igualmente, la Dirección encontró que esta no era la primera vez que se investigaba a CASA EDITORIAL EL TIEMPO S.A. por hechos semejantes a los de la denuncia, así en la Resolución No. 68538 del 29 de noviembre de 2019 expuso: Adicionalmente, en ningún momento se señala que el señor XXXX XXXXXXXXX XXXXX XXXXX deba responder de manera solidaria por el valor de la sanción impuesta a CASA EDITORIAL EL TIEMPO S.A., desde el inicio de la presente actuación se ha diferenciado entre los cargos formulados, haciendo una clara identificación de a quién corresponde cada conducta imputada.
En la Resolución No. 68538 del 29 de noviembre de 2019 frente al señor XXXX XXXXXXXXX XXXXX XXXXXX se expone: (…) Las órdenes impartidas corresponden a la formulación de cargos realizada: RESOLUCIÓN NÚMERO 82428 DE 2021 Así, y contrario a lo que afirma la apoderada del recurrente, en ningún momento se le ha “sancionado” al señor XXXX XXXXXXXXX XXXXX XXXX por la violación al deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012.
De la misma manera en las órdenes impartidas se señala que le corresponde a XXXX XXXXXXXXX XXXXX XXXX en su calidad de representante legal llevar a cabo las acciones al interior de la sociedad que representa, lo anterior con el objetivo de que hechos como los investigados no se repitan nuevamente. Para este efecto se le otorga un plazo de 5 meses.
7. DE LA GRADUACIÓN Y PROPORCIONALIDAD DE LA SANCIÓN. Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”23. En primer lugar, se resalta que el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
A lo largo de la presente actuación administrativa se logró demostrar que la sociedad vulneró los deberes establecidos en el literal j) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 15 de la ley en cita, al probarse dentro de la actuación administrativa que la sociedad no dio respuesta a la solicitud del titular dentro del término establecido en la norma para hacerlo.
Ahora, el artículo 2324 de la Ley Estatutaria 1581 de 2012 determina las sanciones que puede imponer esta Superintendencia a los Responsables y Encargados del Tratamiento. Revisado Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 24 “Artículo 23.
Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; RESOLUCIÓN NÚMERO 82428 DE 2021 el expediente y el contenido de la resolución recurrida, se encuentra entonces que de los criterios de graduación contenidos en el artículo 24 de la Ley Estatutaria 1581 de 2012, se tuvieron en cuenta aquél que habla de la dimensión del daño o peligro a los intereses jurídicamente tutelados, pues efectivamente se encontró probado que la sociedad, incumplió el deber mencionado y aquél que habla de la reincidencia en la comisión de la infracción, pues como se expuso en el numeral 2.1 esta no es la primera vez que se sanciona a la sociedad por el incumplimiento del deber.
Respecto del criterio de atenuación establecido en el literal f) del artículo 2425 su aplicación fue descartada en la medida que la investigada a lo largo de la actuación no reconoció o aceptó expresamente la comisión de la infracción antes de la imposición de la sanción CASA EDITORIAL EL TIEMPO S.A. ha manifestado en repetidas ocasiones que si dio trámite a la petición del titular.
Así las cosas, se encuentra que el monto de la sanción en el citado acto administrativo, es proporcional, en consideración a los hechos que le sirvieron de causa y la motivación del acto administrativo recurrido. No sobra señalar que la sanción aquí impuesta, tiene como objetivo que la sociedad en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.
Finalmente, resulta pertinente resaltar lo siguiente: I. La multa de $122.844.150 equivale al 7,86% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). II. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados.
IV. Las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos.
V. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.
En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 25 “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” RESOLUCIÓN NÚMERO 82428 DE 2021 Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”26. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia27.
Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, se confirmará la Resolución No. 81372 del 18 de diciembre de 2020. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente, por, entre otras, las siguientes razones: 1.
Los derechos de las personas deben respetarse y garantizarse conforme con los mandatos legales y de manera oportuna. Las personas no tienen por qué rogar o insistir antes las empresas para que les respeten sus derechos humanos. No respetar los derechos de los titulares de los datos es censurable e inadmisible. De ninguna manera se debe tolerar como un comportamiento “normal”, porque sería tanto como “normalizar” la ilegalidad y la violación de los derechos humanos.
2. CASA EDITORIAL EL TIEMPO S.A. no respondió oportunamente un reclamo formulado por el Titular del dato. 3. La regulación sobre de datos personales impone cargas probatorias a los responsables del tratamiento. Los preceptos legales especiales que existen en materia probatoria respecto del tratamiento de datos personales imponen al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada).
El artículo 26 del decreto 1377 de 2013 es claro en exigir que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)” (Énfasis añadido)
4. CASA EDITORIAL EL TIEMPO S.A., contó con todas y cada una de las oportunidades procesales para ejercer su derecho de defensa, respetando y garantizando el derecho 26 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: RESOLUCIÓN NÚMERO 82428 DE 2021 al debido proceso.
Son respetables los argumentos de la recurrente para defender sus intereses frente a la actuación administrativa. Pero no por ello son necesariamente aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de la recurrente no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución Política Nacional y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias; 5.
La multa de $122.844.150 equivale al 7,86% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 6. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración de los mandatos legales señalados. 7.
Las órdenes no son sanciones sino son medidas necesarias para, entre otras, hacer efectivo el derecho de hábeas data o para que los Responsables y Encargados del Tratamiento cumplan correctamente los previsto en regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares de dicha información. 8.
En ningún momento se declaró culpable ni “sancionó” al señor XXXX XXXXXXXXX XXXXX XX por la violación al deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012. 9. La orden emitida al representante legal fue objetiva, lícita y necesaria para evitar que, de una parte, se vulneren los derechos de los titulares de los datos personales y, de otra, que se repitan hechos como los que dieron origen a la sanción impuesta a la sociedad de la cual es administrador (CASA EDITORIAL EL TIEMPO S.A.) 10.
Citar o transcribir algunos apartes de otras regulaciones (Ley 222 de 1995) no puede ser objeto de censura ni cuestionamiento. Mal haría esta entidad en ocultar normas relevantes para referirse a ciertos aspectos cruciales en el presente caso, el cual no se puede analizar desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas.
El mero hecho de que esta entidad cite normas diferentes a la Ley Estatutaria 1581 de 2012 no significa que la Delegatura esté obrando por fuera de sus competencias. Concluir algo diferente no es sensato ni se ajusta a derecho. En razón de lo expuesto, este Despacho procederá a confirmar la Resolución No. 81372 del 18 de diciembre de 2020.
SÉPTIMO: Que analizada la cuestión planteada, y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la decisión contenida en la Resolución No. 81372 del 18 de diciembre de 2020. En mérito de lo expuesto, este Despacho, RESOLUCIÓN NÚMERO 82428 DE 2021
RESUELVE
ARTÍCULO PRIMERO: Confirmar la Resolución No. 81372 del 18 de diciembre de 2020 de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a CASA EDITORIAL EL TIEMPO S.A. identificada con el NIT. 860.001.022-7, a través de su representante legal o apoderado según corresponda, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a XXXX XXXXXXXXX XXXXX XXXXX identificado con la CC. XX.XXX.XXX, a través de su apoderado según corresponda, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO: Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., diciembre 16 de 2021 El Superintendente Delegado para la Protección de Datos Personales NELSON Firmado digitalmente por NELSON REMOLINA REMOLINA ANGARITA 2021.12.16 ANGARITA Fecha: 14:08:55 -05'00' NELSON REMOLINA ANGARITA MPM RESOLUCIÓN NÚMERO 82428 DE 2021 NOTIFICACIÓN: Recurrente: Sociedad: Identificación: Representante Legal para fines judiciales: Identificación: Dirección: Ciudad: Correo electrónico: CASA EDITORIAL EL TIEMPO S.A. Nit. 860.001.022-7 Andres de la Cruz Andrade C.C. 3.415.320 Ac. 26 No. 68 B - 70 Bogotá, D.C. notificaciones@eltiempo.com Apoderada Especial: Nombre: Identificación: Dirección: Ciudad: Correo electrónico: Recurrente: Señor: Identificación: Dirección: Ciudad: Xxxxx Xxxxxxx Xxxxxxxx Xxxxxxx C.C. xx.xxx.xxx T.P. xxx.xxx del C. S. de la J. Xxxxxxx x No. xx – xx Xxxxx X Xxxxxxx xxx Xxxxxx X.X. xxxxxxxxxxxxxxxxxxxxxxxxx XXXX XXXXXXXXX XXXXX XXXXXX CC.
XXXXXXXXXX xxxxxxxxxxxxxxxxxxxx Xxxxxx,X.X. Apoderada Especial: Nombre: Identificación: Dirección: Ciudad: Correo electrónico: Xxxxx Xxxxxxx Xxxxxxxx Xxxxxxx C.C. xx.xxx.xxx T.P. xxx.xxx del C. S. de la J. Xxxxxxx x No. xx – xx Xxxxx X Xxxxxxx xxx Xxxxxx X.X. xxxxxxxxxxxxxxxxxxxxxxxxx