Decisión 48716 de 2022 — SIC

(Julio 27 de 2022) Radicación 18-260290 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 52087 de 18 de agosto de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió:

SEGUNDO. Que mediante escrito radicado bajo el No. 18-260290-39 de 6 de septiembre de 2021, la sociedad Q10 SOLUCIONES S.A.S. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 52087 de 18 de agosto de 2021.

TERCERO. Que mediante la Resolución No. 70064 de 29 de octubre de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 52087 de 18 de agosto de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 52087 de 18 de agosto de 2021, con base en los siguientes argumentos: “( ) Esta entidad manifestó a través del considerando décimo primero de dicha resolución, que mi representada guardó silencio respecto la Resolución N.o 70710 del 06 de noviembre de 2020, así: Sin embargo, dicha afirmación es completamente falsa teniendo en cuenta que el día 23 de noviembre de 2020, la sociedad Q10 SOLUCIONES S.A.S. a través de correo electrónico dirigido al buzón contactenos@sic.gov.co radicó los respectivos alegatos de conclusión, proceso de descargos, HOJA Nº investigación y formulación de pliego de cargos realizado mediante Resoluciones 27656 de 2020 y 54070 de 2020, tal como consta en constancia anexa a esta comunicación, y como se aprecia a continuación: De la imagen anterior, puede apreciarse que la investigada sí presentó los respectivos alegatos de conclusión, y que estos fueron enviados al buzón habilitado por la SIC para tal fin, así como dentro del término legal estipulado, esto es, dentro de los diez (10) días hábiles siguientes a la notificación del acto administrativo respectivo.

En virtud de lo anterior, es menester que la entidad investigadora tenga en cuenta dentro de su proceso investigativo y en especial en la etapa procesal resolutiva, lo manifestado por la sociedad investigada a través de los alegatos de conclusión mencionados, situación que no ocurrió y por el HOJA Nº contrario esta Superintendencia resolvió a través de la resolución sanción 52087 de 2021, sin tener en cuenta los mencionados alegatos vulnerando gravemente el derecho al debido proceso y el derecho a la defensa de mi representada.

( ) puede apreciarse que en ninguna de dichas resoluciones, la entidad tuvo como material probatorio los estados financieros de los años 2017, 2018 y 2019 aportados a través de los descargos presentados por la investigada el día 01 de octubre de 2020, descargos que como manifestó esta Superintendencia hacen parte integral del presente proceso, y que deben ser tenidos en cuenta junto con sus anexos y el material probatorio adjunto al mismo.

Así entonces, con la omisión de esta entidad de incorporar los estados financieros de 2017, 2018 y 2019 como pruebas dentro del proceso de investigación, continúa violentando los derechos al debido proceso y a la defensa en cabeza de la sociedad Q10 SOLUCIONES S.A.S., así como el principio de proporcionalidad respecto a las sanciones impuestas.

( ) mediante el considerando décimo cuarto de la Resolución 52087 de 2021, la SIC expresó que la aquí investigada guardó silencio respecto la Resolución 10364 del 03 de marzo de 2021, indicando que: Ante lo cual, esta Superintendencia hizo nuevamente una afirmación absolutamente falsa, debido a que la sociedad Q10 SOLUCIONES S.A.S. presentó los correspondientes alegatos de conclusión respecto dicha resolución el día 17 de marzo de 2021 a través de correo electrónico dirigido al buzón autorizado por dicha entidad, esto es, contactenos@sic.gov.co HOJA Nº ( ) el acto administrativo Resolución 52087 de 2021 carece de validez jurídica teniendo en cuenta que fue originado en un trámite de investigación inconstitucional y violatorio de los derechos fundamentales.

( ) se colige que la Resolución 52087 de 2021 esta viciada de nulidad ya que fue proferida de forma irregular y con desconocimiento del derecho al debido proceso y el derecho a la defensa de que es titular la sociedad investigada.

FUNDAMENTOS DE DERECHO

1. DEBIDO PROCESO ADMINISTRATIVO ( ) la Resolución 52087 de 2021 no tuvo en cuenta los dos alegatos de conclusión presentados por la investigada, ni los estados financieros de los años 2017, 2018 y 2019 adjuntos por la sociedad Q10 SOLUCIONES S.A.S. a través de los descargos presentados por esta. ( )

2. NULIDAD DEL ACTO ADMINISTRATIVO ( ) la Resolución 52087 de 2021 se encuentra viciada de nulidad ya que fue proferida de forma irregular y con desconocimiento del derecho al debido proceso y el derecho a la defensa de que es titular la sociedad investigada.

3. FALSA MOTIVACIÓN Esta Superintendencia al emitir las resoluciones Nro. 70710 de 2020 y 10364 de 2021, cometió yerro al confundir o trocar la tipificación de los cargos, lo que ha hecho incurrir a mi representada en confusión, pues en los descargos presentados por la investigada, le tocó aclarar cuáles son los cargos y su tipificación, para que posteriormente en otra resolución la administración los cambie y aclare, yendo este actuar en contravía de otros principios como el debido proceso, la moral pública, la buena fe procesal, la tutela real efectiva, el cual tiene como garantía, un proceso que debe llevar inmersa la integralidad en sus actos, pues en sus resoluciones, no se actuó coherentemente, emitiendo actos fatalmente motivados, empleando y eliminando argumentos y pruebas.

Lo anterior, sin mencionar el desorden que desde un comienzo ha caracterizado este proceso ya que esta autoridad ha tenido que retractarse y corregir sus actos repetidamente con ocasión a su falta de juicio y coherencia.

4. VÍA DE HECHO ADMINISTRATIVA ( ) el proceso que nos ocupa se ha venido resolviendo con una grave violación al debido proceso administrativo y se ha emitido una Resolución sanción (objeto del presente escrito), totalmente alejada y en contravía del ordenamiento jurídico colombiano, en forma tal que en vez de cumplirse la voluntad del ordenamiento, con todo respeto, se aplica la voluntad subjetiva de un funcionario y, como consecuencia, se configura materialmente una arbitrariedad, denominada vía de hecho, con la cual se vulneran o amenazan derechos fundamentales de mi representada.

( ) se advierte un evidente “defecto procedimental” con el que se ha venido tramitando el proceso que aquí nos ocupa por parte de esta Superintendencia, lo cual ha generado una flagrante vía de hecho que a todas luces es arbitraria y desconectada de la voluntad del ordenamiento jurídico, vulnerando los derechos fundamentales de mi representada.

Lo anterior, aunado al desorden que desde un comienzo ha caracterizado este proceso ya que esta autoridad ha tenido que retractarse y corregir sus actos repetidamente con ocasión a su falta de juicio y coherencia.

5. PRINCIPIO DE BUENA FE ( ) Mi representada ha actuado siempre respetando la constitución, la ley y las buenas costumbres. Prueba de ello es que la sociedad Q10 SOLUCIONES S.A.S. se encuentra totalmente comprometida con la seguridad de la información de los titulares de datos personales. HOJA Nº Adicionalmente mi representada ha establecido e implementado una Política en Seguridad de la Información y a partir de esta, ha desarrollado una serie de procesos tales como: el manual de implementación de la política, la metodología de evaluación del riesgo, la asignación de responsabilidades y roles para el manejo de la información, etc.

Así [sic] mismo [sic], y en muestra del compromiso, la administración ha venido promoviendo la cultura de protección de datos personales y seguridad de la información a través de mensajes, comunicados, correos y programas de formación para sus colaboradores. ( ) téngase en cuenta que mi representada no ha actuado en ningún momento de forma malintencionada o de mala fe y que, además, no ha obtenido ningún tipo de beneficio o provecho económico para sí o para un tercero, que dé cuenta de un actuar deshonesto y contrario a las buenas costumbres.

6. PRINCIPIO DE PROPORCIONALIDAD ( ) la jurisprudencia infiere que la sanción sea razonable y proporcional con la finalidad de evitar la arbitrariedad y limitar la discrecionalidad de la cual pueda hacer uso la autoridad administrativa al momento de su imposición y de la cual, conforme a la potestad sancionatoria que fue conferida a la razonable con el fin de lograr un equilibrio entre la sanción y la finalidad, así mismo una proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

( ) Así mismo, ha actuado diligentemente respecto al trámite de la investigación administrativa, aportando toda la documentación e información necesaria para un correcto y ágil esclarecimiento de los hechos que son materia de investigación, tomando todas aquellas medidas y procedimientos adicionales para un correcto cumplimiento de los principios que rigen el tratamiento de datos, impidiendo el acceso no autorizado que conduzca a la adulteración y uso irregular de las bases de datos que reposan en la sociedad.

De esta forma, es fundamental que esta Superintendencia tenga en cuenta al momento de emitir la decisión, criterios como la información financiera, patrimonio e ingresos operacionales de Q10 SOLUCIONES S.A.S, así como la realidad material de la empresa y los criterios para graduar las sanciones en virtud de lo dispuesto en el artículo 24 de la Ley 1581 de 2012.

Al respecto esta entidad debe tener en cuenta: 1. Que con las omisiones en que incurrimos para la época de la visita, no generamos un daño o impacto alto que pusiera en grave peligro los derechos de los titulares. 2. Que con dichas omisiones, ni obtuvimos ni hemos obtenido ningún tipo de beneficio económico. 3. Que hemos tomado atenta nota de los hallazgos encontrados y documentados en acta de visita del 8 de octubre de 2018 elaborado por la SIC y a partir de ello, hemos implementado procesos de mejora, y hemos elaborado manuales y políticas útiles, efectivas y demostrables. 4.

Que hemos estado prestos y dispuestos a colaborar con el decurso de la investigación que aquí nos ocupa y hemos brindado la totalidad de la información que esta Autoridad nos ha solicitado a la fecha. 5. Que como lo hemos venido mencionando en repetidas oportunidades a lo largo de este escrito, hemos venido implementado una serie de procesos y procedimientos a efectos de demostrar nuestro cumplimiento. 6.

Que en virtud del principio de buena fe, hemos reconocido y aceptado los cargos segundo, tercero, cuarto y quinto ya que somos conscientes que en la época de la visita, si bien teníamos documentado varios procesos, estos no habían sido socializados con todos los colaboradores, y que además en dicha época no contábamos con un manual que diera cuenta del proceso de recolección, uso, circulación y supresión de la información almacenada en las bases de dato ( )

7. PRINCIPIO DE FAVORABILIDAD Sustentamos este principio a efectos de solicitar que esta Autoridad que, en virtud del derecho constitucional al debido proceso, valore pautas como la conducta, las acciones y omisiones en que la HOJA Nº sociedad Q10 SOLUCIONES S.A.S hubiere incurrido y sobre la gravedad de estas, con el fin de determinar la sanción más favorable.

Q10 SOLUCIONES S.A.S comprende que el elemento esencial de la administración pública en su función sancionatoria es prevenir la comisión de infracciones que atenten contra la integridad de los bienes jurídicos -en este caso el tratamiento de datos personales- cuya protección es el deber de la autoridad administrativa, además de garantizar los principios constitucionales que gobiernan la función pública.

( ) PRETENSIONES PRIMERA: Que se sirva revocar la decisión adoptada mediante la RESOLUCIÓN No. 52087 del 18 de agosto de 2021, en virtud de lo expuesto en la parte motiva. Lo anterior, ya que resulta equitativo para las partes, que se revoque la ejecución de la sanción discutida hasta tanto no se valoren los elementos fácticos y jurídicos en los cuales se fundamenta la sanción, y cuando esta entidad efectivamente dirima el conflicto que nos ocupa.

Solo así, la decisión será justa, legal y legitima para la investigada, ya que, de lo contrario, y como abiertamente se ha expuesto, es injusta y contraria a derecho. SEGUNDA: Concomitantemente a lo anterior, sírvase dejar sin efecto el acto administrativo RESOLUCIÓN No. 52087 DEL 18 DE AGOSTO DE 2021 en el cual se imponen sanciones a la sociedad Q10 SOLUCIONES S.A.S., al igual que cualquier acto administrativo que se derive de aquel.

TERCERA: Que en virtud de lo anterior, se sirva retrotraer la etapa procesal teniendo en cuenta la vulneración a los derechos fundamentales del debido proceso y de defensa en que incurrió esta entidad respecto al presente proceso de investigación. ( )”.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. HOJA Nº Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: 23. Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.

Sentencia C-748 de 2011. 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. 2 Artículo HOJA Nº “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad, corresponde a un total de DOS MIL DOSCIENTAS CINCO (2.205) Unidades de Valor Tributario (UVT), equivalentes a OCHENTA MILLONES CINCUENTA Y NUEVE MIL CIENTO CUARENTA PESOS M/CTE ($80’059.140).

La cual, representa aproximadamente el 4,41% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. DEL EXAMEN PROCESAL REALIZADO POR LA DIRECCIÓN DE INVESTIGACIÓN DE DATOS PERSONALES AL RECURSO INTERPUESTO Luego de realizar el análisis pertinente sobre los argumentos presentados por la recurrente, y los documentos que reposan en el expediente esta Delegatura se sujeta a lo allí decidido (ver páginas 7-9 de la Resolución No. 70064 de 2021) en lo relacionado con los errores involuntarios y de transcripción frente a: a. Los actos administrativos de trámite; 7 Corte Constitucional.

Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº b. El acto administrativo recurrido en relación con la no inclusión de los alegatos de conclusión ni los estados financieros. Lo anterior, en virtud de que los errores involuntarios fueron corregidos dentro del curso del proceso administrativo. Además, la recurrente siempre contó con las oportunidades procesales dispuestas por la ley para solicitar la corrección y/o aclaración de los actos administrativos proferidos por esta entidad en el curso de este proceso.

4. DEBIDO PROCESO La Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, respetar el debido proceso en cabeza de la recurrente. En línea con lo anterior, tanto la investigación administrativa como la sanción impuesta se hicieron observando lo que ordena la regulación colombiana. Al respecto, este Despacho advierte que en ningún momento los actos o actuaciones de esta Delegatura, en el curso del proceso, han estado en contravía del derecho, como erróneamente lo afirma la recurrente.

Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta entidad aplicó y respetó las garantías procesales necesarias, y en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar. Los que, en ninguna circunstancia fueron arbitrarios. Por el contrario, lo que sí hizo la Superintendencia de Industria y Comercio, fue propender por la correcta aplicación de las normas y los principios que las fundamentan.

Igualmente, no es pasible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública. Así, en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar. Estos, bajo ninguna circunstancia fueron injustos, ilegales, parciales, o en general arbitrarios.

Adicionalmente, este proceso administrativo está compuesto de una serie de actos o actuaciones con un orden de continuidad establecido. En el que los tiempos y etapas que en él se fijan, son disposiciones de orden público y de obligatorio cumplimiento. Tal como está el expediente, es posible verificar que, en todo el camino de la actuación administrativa, la Superintendencia de Industria y Comercio ofreció las garantías que le permitieran a la recurrente evaluar las condiciones de transparencia y seguridad jurídica que caracterizan estos procesos, como por ejemplo la publicidad del proceso (notificaciones en debida forma); derecho a presentar pruebas; recursos; etc.

Al respecto, por medio de la Sentencia T-051 de 2016, la Corte Constitucional manifestó: “a) El derecho a la jurisdicción, que a su vez implica los derechos al libre e igualitario acceso ante los jueces y autoridades administrativas, a obtener decisiones motivadas, a impugnar las decisiones ante autoridades de jerarquía superior, y al cumplimiento de lo decidido en el fallo. b) El derecho al juez natural, identificado este con el funcionario que tiene la capacidad o aptitud legal para ejercer jurisdicción en determinado proceso o actuación de acuerdo con la naturaleza de los hechos, la calidad de las personas y la división del trabajo establecida por la Constitución y la ley. c) El derecho a la defensa, entendido como el empleo de todos los medios legítimos y adecuados para ser oído y obtener una decisión favorable.

De este derecho hacen parte, el derecho al tiempo y a los medios adecuados para la preparación de la defensa; los derechos a la asistencia de un abogado cuando se requiera, a la igualdad ante la ley procesal, el derecho a la buena fe y a la lealtad de todas las demás personas que intervienen en el proceso. d) El derecho a un proceso público, desarrollado dentro de un tiempo razonable, lo cual exige que el proceso o la actuación no se vea sometido a dilaciones injustificadas o inexplicables.

HOJA Nº 10 e) El derecho a la independencia del juez, que solo tiene efectivo reconocimiento cuando los servidores públicos a los cuales confía la Constitución la tarea de administrar justicia, ejercen funciones separadas de aquellas atribuidas al ejecutivo y al legislativo. f) El derecho a la independencia e imparcialidad del juez o funcionario, quienes siempre deberán decidir con fundamento en los hechos, de acuerdo con los imperativos del orden jurídico, sin designios anticipados ni prevenciones, presiones o influencias ilícitas”[21] (énfasis añadido) (…) en la Sentencia C-980 de 2010, la Corte señaló que el debido proceso administrativo ha sido definido jurisprudencialmente como: “(i) el conjunto complejo de condiciones que le impone la ley a la administración, materializado en el cumplimiento de una secuencia de actos por parte de la autoridad administrativa, (ii) que guarda relación directa o indirecta entre sí, y (iii) cuyo fin está previamente determinado de manera constitucional y legal”[22].

Ha precisado al respecto, que con dicha garantía se busca “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”[23]. En la misma providencia, se determinó que las garantías establecidas en virtud del debido proceso administrativo, de acuerdo a la jurisprudencia sentada por este alto Tribunal, son las siguientes: “(i)ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”.

Se reitera que, las decisiones tomadas por parte de este Despacho, tienen justificación en las pruebas allegadas al proceso, así como en la valoración de los hechos y argumentos de cada una de las partes. Además, este acto administrativo explica los motivos por los cuales la decisión se ajusta a la realidad de la normatividad legal y constitucional.

En virtud de lo anterior, no se acogerán los argumentos de falsa motivación, vía de hecho administrativa, ni violación del derecho al debido proceso expuesto por la recurrente en el escrito de apelación. Pues, en ningún caso el acto administrativo No. 52087 de 2021 carece de validez jurídica ni mucho menos tuvo origen en una investigación administrativa inconstitucional, tal como lo manifiesta la recurrente en el escrito del recurso bajo estudio.

En vista de todo lo anterior, y luego de la plena evaluación de los argumentos comprendidos en los alegatos de conclusión remitidos por la recurrente, es indiscutible concluir por este Despacho que ninguno de ellos logra desvirtuar las razones que fundamentaron la imposición de la sanción ni las órdenes por parte de la Dirección de Investigación de Protección de Datos Personales.

5. VALORACIÓN PROBATORIA COMPLETA Y ADECUADA Una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que fue acertada la decisión tomada por la Dirección, en el sentido de determinar la trasgresión de: (i) el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal g) del artículo 4) de la misma ley y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 del 2015;

(ii) el literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 del 2015, el inciso 2 del artículo 2.2.2.25.6.1 y el inciso 2 del artículo 2.2.2.25.2.8 de la misma norma; y (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

En vista de esto, no es aceptable que la recurrente deduzca que la primera instancia cometió una falta al omitir valorar íntegramente las pruebas que le fueron presentadas. HOJA Nº 11 De hecho, si se hubiera omitido realizar el análisis anterior, probablemente la decisión de la resolución recurrida no habría sido la imposición de una multa.

Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a Q10 SOLUCIONES S.A.S. la cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.

5.1. DE LA CARGA PROBATORIA EN EL CASO EN CONCRETO La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”9 En correspondencia con lo anterior, este Despacho considera importante resaltar que la investigada, en ningún momento, aportó la prueba esperada en esta actuación administrativa, pues no logró desvirtuar que su Política de Tratamiento de Datos Personales cumplía a cabalidad con todos los requisitos exigidos por la normatividad colombiana.

En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes.” 10; iv) el artículo 245 en cuanto a la aportación de documentos 9 Corte Constitucional, Sentencia T-733 de 2013. 10 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO HOJA Nº 12 señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”11 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”12 Así las cosas, se reitera que para octubre de 2018 la investigada sí tenía una Política de Tratamiento de Datos Personales, pero esta no cumplía con todos los requisitos exigidos por la Ley 1581 de 2012 y Decreto Único Reglamentario 1074 de 2015.

Así pues, ese documento: a. No informaba la finalidad del Tratamiento de los Datos (numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), por cuanto no establecía con claridad cuál era el Tratamiento al que iban a ser sometidos los Datos, puesto que las seis finalidades enlistadas en la sección “TRATAMIENTO AL CUAL SERÁN SOMETIDOS LOS DATOS Y FINALIDAD DEL MISMO” eran absolutamente generales lo cual resultaba contrario a lo dispuesto por el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015; b. No indicaba con exactitud la fecha de entrada en vigencia de la misma (numeral 6, del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015); c. No puntualizaba el período de vigencia de la Base de Datos, (numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015); y, d. Fue actualizada el 24 de septiembre de 2019, es decir en una fecha posterior a la visita administrativa (la cual se realizó el 8 y 9 de octubre de 2018), y únicamente en cuanto a la finalidad del Tratamiento de los Datos.

En este punto es importante tener presente que debido a que la investigada adoptó unas medidas correctivas para mejorar la versión de su Política de Tratamiento la Dirección de Investigación de Protección de Datos Personales se abstuvo de imponer una sanción pecuniaria y en su lugar se limitó impartir una orden administrativa a la investigada, consistente en ajustar, su PTI y cargar la versión actualizada en el Registro Nacional de Bases de Datos, conforme con lo establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

De otro lado, las pruebas que aportó la investigada para demostrar que existían capacitaciones en seguridad de la información, consistieron en aportar dos (2) evaluaciones realizadas por un (1) empleado del área de soporte. No demostró que estas pruebas se hubieran realizado a más trabajadores dentro de la compañía. Asimismo, no se evidenció luego de la visita administrativa que la investigada hubiera adoptado ningún tipo de medida técnica en sus instalaciones físicas.

Igualmente, al momento de la visita administrativa, Q1O SOLUCIONES S.A.S. no contaba con un manual de políticas de seguridad de la información que describiera las medidas técnicas, humanas y administrativas a fin de evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme con el tipo de Bases de Datos que trata en calidad de Responsable del Tratamiento.

Tampoco contaba con medidas eficientes con el fin de conservar la información bajo sólidas medidas de seguridad de conformidad con los hallazgos de la visita de inspección. Ni documentaba los procedimientos de recolección; almacenamiento; uso y GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 11 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 12 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. HOJA Nº 13 circulación de los Datos durante el tiempo prudente y necesario de conformidad con lo señalado en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015. Esto de evidencia en el informe jurídico de la visita administrativa realizada por esta entidad el 8 y 9 de octubre de 2018, como se puede verificar con los siguientes apartes del mismo: HOJA Nº 14 HOJA Nº 15 Por último, es importante recalcar que sobre lo anterior la recurrente no se manifiesta en profundidad en el recurso bajo estudio, en cambio solo se refiere a argumentos de tipo procesal para tratar de desvirtuar los incumplimientos sancionados.

HOJA Nº 16

6. DEL PRINCIPIO Y DEL DEBER DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES Sin seguridad no existe debido Tratamiento de Datos personales. Es por eso que la regulación señala, entre otras, lo siguiente: Literal g) del artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) del artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Nótese que la redacción del Principio de Seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas.

La relevancia y alcance del deber de seguridad ha sido puesto de presente en los siguientes términos: “La seguridad es un proceso dinámico en constante evolución y prueba. Se quiere que exista un nivel de seguridad apropiado en las diferentes etapas del tratamiento de datos personales en donde las medidas de seguridad sean objeto de evaluación y revisión. Dichas medidas deben estar enfocadas para mitigar los siguientes riesgos: acceso no autorizado a los datos personales, pérdida, destrucción (accidental o no autorizada), contaminación (por virus informático) uso fraudulento, consulta, copia, modificación, adulteración, revelación, comunicación, o difusión no autorizados.

Para establecer las medidas se deben tener en cuenta, entre otras, las técnicas de seguridad existentes en general y para sectores específicos, los riesgos que presente el tratamiento y la naturaleza de los datos que deban protegerse, la probabilidad y severidad del daño obtenido, la sensibilidad de la información y el contexto en el que es realizado el tratamiento y las eventuales consecuencias negativas para los titulares de los datos.

( ) Proteger la información es una condición crucial del tratamiento de datos personales. Una vez recolectada debe ser objeto de medidas de diversa índole para evitar situaciones indeseadas que pueden afectar los derechos de los titulares y de los mismos Responsables y Encargados del tratamiento de los datos. El acceso, la consulta y el uso no autorizado o fraudulento así́ como la manipulación y pérdida de la información son los principales riesgos naturales y humanos que se quieren mitigar a través de medidas de seguridad de naturaleza humana, física, administrativa o técnica”13.

Por su parte, la Corte Constitucional ha establecido que: “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(..) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”14. (Subrayado fuera de texto). REMOLINA ANGARITA, Nelson. 2013. Tratamiento de datos personales: aproximación internacional y comentarios a la ley 1581 de 2012. 1 ed. Bogotá: Legis Editores.

Págs. 216-217 Corte Constitucional. Sentencia C – 748 del 2011. HOJA Nº 17 Es así como, desde hace algunas décadas se ha afirmado que la confianza es factor crucial para el crecimiento y consolidación de cualquier actividad que involucre el Tratamiento de Datos personales. Por eso, se ha sostenido que “las actividades continuas de creación de confianza deben ser una de las prioridades estratégicas más importantes para cada organización”15.

La confianza se entiende como la expectativa de que “se puede contar con la palabra del otro” y de que se emprenderán acciones positivas y beneficiosas entre las partes de manera recíproca. La seguridad genera confianza, si falla, es clave estar muy bien preparados y entrenados para actuar frente a los incidentes de seguridad de manera inmediata, profesional e inteligente.

6.1. DE LOS DEBERES DE DESARROLLAR E IMPLEMENTAR UN MANUAL DE POLÍTICAS DE SEGURIDAD Y DE CONSERVAR LA INFORMACIÓN BAJO LAS CONDICIONES DE SEGURIDAD NECESARIAS PARA IMPEDIR SU ADULTERACIÓN, PÉRDIDA, CONSULTA, USO O ACCESO NO AUTORIZADO O FRAUDULENTO Sobre este punto en particular, se resalta nuevamente lo que se señaló al momento de imponer la sanción e impartir las órdenes administrativas que están siendo censuradas: a. El manual de políticas de seguridad de la información no puede ser reemplazado por otros documentos.

Pues, en todo caso, el mismo debe referirse y estar de acuerdo con lo establecido en la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015. Al no existir esas medidas no puede haber certeza para la Superintendencia de Industria y Comercio sobre los niveles de protección de Datos de los ciudadanos por parte de Q10 SOLUCIONES S.A.S.; b. Al momento de la imposición de la sanción Q10 SOLUCIONES S.A.S. no contaba con medidas adecuadas, útiles y eficaces que demostraran que los mandatos legales eran una realidad y no simple teoría al interior de la compañía; y, c. Se demostró que las medidas que existían al momento de la imposición de la multa no eran conocidas para la mayoría de los trabajadores, sino que, solo algunos trabajadores del área gerencial estaban familiarizadas con las mismas.

Lo anterior indica que no existía una cultura de seguridad de los Datos personales.

7. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”16. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Cfr Edelman Trust Barometrer de 2019 https://www edelman com/trust-barometer Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 18 Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

(ii) Reincidencia en la comisión de la conducta; (iii) Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, (iv) Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, al momento de imponer la sanción se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente reconoció haber incurrido en la infracción (ver hoja 35 de la Resolución No. 52087 de 2021).

De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente. Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas HOJA Nº 19 En segundo lugar, es claro que la Resolución No. 52087 de 18 de agosto de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental17 a la protección de Datos18. En cuarto lugar, es relevante tener presente que Q10 SOLUCIONES S.A.S. trata Datos de treinta y siete mil ciento cuarenta y seis (37.146) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia20.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.

8. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. 17 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº 20 La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política.

Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas.

Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

9. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Ahora, según el artículo 22 de la Ley 222 de 1995 21 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 22 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. HOJA Nº 21 presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto.

Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”23. Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales.

CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. El manual de políticas de seguridad de la información no puede ser reemplazado por otros documentos. Pues, en todo caso, el mismo debe referirse y estar de acuerdo con lo establecido en la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015; 2.

Al momento de la visita administrativa, la investigada no contaba con un manual de políticas de seguridad de la información que describiera las medidas técnicas, humanas y administrativas a fin de evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información administrada, conforme con el tipo de Bases de Datos que trata en calidad de Responsable del Tratamiento; 3.

La investigada no adoptó medidas eficientes con el fin de conservar la información bajo sólidas medidas de seguridad de conformidad con los hallazgos de la visita de inspección; 4. Q10 SOLUCIONES S.A.S. No documentaba los procedimientos de recolección; almacenamiento; uso y circulación de los Datos durante el tiempo prudente y necesario de conformidad con lo señalado en el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015; 5.

Al momento de la imposición de la sanción Q10 SOLUCIONES S.A.S. no contaba con medidas adecuadas, útiles y eficaces que demostraran que los mandatos legales eran una realidad y no simple teoría al interior de la compañía; 6. No existía una cultura de seguridad de los Datos personales al interior de la investigada, pues, las medidas que existían al momento de la imposición de la multa solo eran conocidas por algunos trabajadores del área gerencial; 7.

El criterio de atenuación de la sanción previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, fue analizado y aplicado en debida forma, tal y como se estableció en la Resolución No. 52087 de 18 de agosto de 2021; 8. El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa. 9.

La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Datos personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia; 10.

La multa impuesta por parte de esta entidad corresponde a un total de DOS MIL DOSCIENTAS CINCO (2.205) Unidades de Valor Tributario (UVT), equivalentes a OCHENTA MILLONES CINCUENTA Y NUEVE MIL CIENTO CUARENTA PESOS M/CTE ($80’059.140). La cual, representa aproximadamente el 4,41% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012;

Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 HOJA Nº 22 11. Q10 SOLUCIONES S.A.S. trata Datos de treinta y siete mil ciento cuarenta y seis (37146) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos; 12.

La actividad empresarial de Q10 SOLUCIONES S.A.S. no la exime de cumplir la Constitución Política Nacional y la ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 52087 de 18 de agosto de 2021. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 52087 de 18 de agosto de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad Q10 SOLUCIONES S.A.S., identificada con Nit. 900.299.474-6 a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, Y CÚMPLASE Dada en Bogotá D.C., Julio 27 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), Firmado digitalmente por MARCOS TORRES JOHN MARCOS JOHN CABEZAS TORRES CABEZAS Fecha: 2022.07.27 18:45:35 -05'00' JOHN MARCOS TORRES CABEZAS CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: Q10 SOLUCIONES S.A.S. Nit. 900.299.474-6 Steven Moncayo Riveros C.C. No. 71.381.730 mosorio@q10.com smoncayo@q10.com Carrera 75 Calle 45 F 23 Medellín (Antioquia) Colombia HOJA Nº 23

Resolución sancionatoria N° 48716 de 2022

CONSIDERANDO

FUNDAMENTOS DE DERECHO

RESUELVE