(20 NOVIEMBRE 2020) VERSIÓN PÙBLICA “Por la cual se resuelve un recurso de reposición” Radicación 19-47344 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante Resolución 59001 del 24 de septiembre de 20201, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SODIMAC COLOMBIA S.A identificada con el Nit. 800.242.106-2 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente DOSCIENTOS MILLONES CUATRO MIL QUINIENTOS DIECINUEVE PESOS M/CTE ($200.004.519), equivalente a Cinco Mil Seiscientos Diecisiete (5.617) en UVT Unidades de Valor Tributario, por violación a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015..” (…)
ARTÍCULO SEGUNDO: IMPARTIR las siguientes ordenes administrativas a la sociedad SODIMAC COLOMBIA S.A así: •Deberá cesar la utilización de “avisos de privacidad” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. •Deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad, conforme a lo expuesto en la presente decisión.
PARÁGRAFO PRIMERO: La sociedad SODIMAC S.A, identificada con el Nit. 800.242.106-2 deberá dar cumplimiento de lo ordenado dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SODIMAC S.A, identificada con el Nit. 800.242.106-2, acreedora de las sanciones previstas en la ley.”
SEGUNDO: Que, la Resolución 59001del 24 de septiembre de 2020 se notificó de forma electrónica el día 9 de octubre de 2020, al señor JUAN SEBASTIAN PACHON GUERRERO, en representación de la sociedad SODIMAC COLOMBIA S.A., según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 19-47344- -29 del 15 de octubre de 2020.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado por medio de correo electrónico el día fecha 23 de octubre de 2020, bajo el número 19-47344- -00026-0001 del 9 de octubre de 2020 y 19-47344- 00030-0001 de 26 de octubre de 2020, la sociedad SODIMAC COLOMBIA S.A., a través de apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 59001 del 24 de septiembre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: Actuación radicada el 24 de septiembre de 2020, bajo el número 19-47344-20-1 “Por la cual se resuelve un recurso de reposición” HOJA N 2, VERSIÓN PÙBLICA 3.1 En primer lugar, el recurrente hace referencia a los antecedentes de la presente actuación administrativa.
“PRIMERO: Mediante Resolución No. 68461 del viernes 29 de noviembre de 2019, proferida por la Dirección de Investigación de Proteccion (sic) de Datos Personales, se formuló a SODIMAC COLOMBIA S.A: "Cargo Único: La presunta transgresión por parte de Sodimac Colombia S.A., en su condición de Responsable del tratamiento de los datos personales, del deber de solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales."
SEGUNDO: Mediante Resolución No. 59001 del 24 de Septiembre de 2020, la Superintendencia de Industria y Comercio, con base a los hechos y supuestos contenidos en la Investigación administrativa llevada a cabo por la Dirección de Investigaciones de la Delegatura de Proteccion(sic) de Datos Personales, decidió imponer una SANCION a Sodimac Colombia S.A., de 5.617 UNIDADES DE VALOR TRIBUTARIO, equivalentes a DOSCIENTOS MILLONES CUATRO MIL QUINIENTOS DIECINUEVE PESOS M/CTE, por violación a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.
TERCERO: Reunidos diversos argumentos que conllevan a solicitar la Revocación del Acto administrativo sancionador, la Sociedad Sodimac Colombia S.A., me ha otorgado Poder especial para en lo pertinente, expresar las circunstancias de hecho y de derecho que consigan lo anterior.
CUARTO: En el tiempo señalado por la entidad para la presentación de los Recursos de Reposición y en Subsidio el de Apelación, procedo a sustentar el presente recurso de REPOSICION de la siguiente forma: III.
FUNDAMENTOS DE DERECHO DEL RECURSO: “Bajo la circunstancia que atañe la motivación de este recurso, este honorable despacho encuentra que mi Representada, esto es, la Sociedad Sodimac Colombia S.A., vulneró el Régimen General de Proteccion (sic) de Datos Personales, por la circunstancia de no contar con Autorización conforme a las disposiciones legales y reglamentarias, para tratar los datos personales del ciudadano XXXXXXXXXXXXXXXXXXXXXXXX desde el 02 de Noviembre (sic) de 2013.
Como pasaremos a exponer y fue suficientemente explicado en el curso de la investigación administrativa que sirve de marco de referencia para la imposición de la sanción, contrario a lo concluido por la entidad, es totalmente CIERTO y debe ser así reconocido la Sociedad Sodimac Colombia S.A., si contaba con la Autorización previa, expresa e informada del titular de los datos y que la misma se acomoda en su configuración a lo estipulado por el Régimen Colombiano en materia de tratamiento de datos personales.
Con el fin de no hacer una larga exposición que conduzca a una tediosa exhibición de argumentos repetitivos nos concentraremos en presentar a la entidad, una corta pero sustanciosa explicación, que permitirá dar absoluta claridad de la actividad de mi prohijada y que necesariamente llevara a la conclusión de Revocación de la multa impuesta.” 3.2 Luego, expone argumentos en torno a la autorización mediante conducta inequívoca, afirmando lo siguiente: “1.
AUTORIZACION PARA EL TRATAMIENTO DE DATOS PERSONALES DEL SR. XXXXXXXXX MEDIANTE CONDUCTA INEQUIVOCA Como se ha expresado a lo largo de las etapas procesales surtidas en el presente caso, Sodimac Colombia S.A, cuenta con la autorización MEDIANTE CONDUCTA INEQUÍVOCA del titular de los datos, por cuanto que el MISMO TITULAR DE LOS DATOS, señor XXXXXXXXXXXXXXXXXXXXXXXX, el día 02 de Noviembre de 2013, acudió personalmente a la tienda Homecenter y Constructor, y contrató el servicio de instalaciones - toma de medidas- a su domicilio para lo cual fue necesario que suministrara suministra sus datos personales y al momento de la toma de dichos datos, autorizó de manera EXPRESA (no tacita (sic) como menciona la SIC) el tratamiento de sus datos, conforme a las finalidades dispuestas en los diversos Avisos ubicados al interior de la precitada tienda.
Merece entonces analizar por qué la entidad concluye que Sodimac utilizó el Aviso de privacidad como forma de obtención de la autorización. Contrario a la conclusión de la entidad, Sodimac siempre ha dispuesto los Avisos de privacidad con el fin de informar sobre el tratamiento, indicar donde se encuentran dispuestas las Políticas de tratamiento de información y señalar sus canales para ejercicio de los derechos de los titulares, tal como lo ha dispuesto la normativa colombiana para el Aviso de privacidad.
Luego no es cierto, que Sodimac use sus avisos para obtención de autorizaciones sino para la divulgación de información relativa al tratamiento de los datos, con el fin de cumplir el requisito que el titular este suficientemente informado sobre las operaciones con sus datos. De esta forma, quedó demostrado en el Plenario de la investigación administrativa que, efectivamente haciendo uso de una forma VALIDA e igualmente Aceptada tanto por el Legislador como el Regulador Colombiano, los datos personales pueden ser autorizados mediante la expresión del consentimiento del “Por la cual se resuelve un recurso de reposición” HOJA N 3, VERSIÓN PÙBLICA titular a través de una CONDUCTA INEQUIVOCA.
¿Existe algo más Inequívoco que el hecho que sea el mismo titular de los datos personales el que de forma libre, voluntaria y expresa suministre sus datos personales cuando está adquiriendo un servicio que consiste en la toma de medidas, lo cual solo se puede realizar al interior de su vivienda? Como se desprende de lo narrado, NO es el silencio o la inacción, sino una verdadera acción del titular al suministrar su propia información (Es que no existe forma distinta a que el mismo las provea) también está consintiendo en el tratamiento de sus datos; ya que de lo contrario el servicio no se hubiere podido prestar ni Homecenter se hubiera comprometido a ello.
Es de Perogrullo, pero un servicio de toma de medidas a domicilio solo se puede prestar si: (i) El cliente suministra la dirección y demás datos de contacto y (ii) el día que llega el trabajador de Homecenter a prestar el servicio le abre la puerta y le da acceso para que tome las medidas. Reiteramos que los datos personales los suministro (sic) el señor XXXXXXXXXXXXXXXXXXXXXXXX en el marco de una transacción comercial, al interior de un establecimiento de comercio, plenamente identificado, a un funcionario de dicho establecimiento debidamente uniformado e identificado, con una clara e inequívoca finalidad comercial.
Sobre el particular, resaltamos que conforme al Art. 91 de la Ley 1581 de 2012, el presupuesto básico del tratamiento de los datos, conforme al principio de libertad, es el consentimiento del titular. En este mismo sentido se pronunció la Corte Constitucional al referirse a este apartado en su análisis de constitucionalidad a través de la Sentencia C 748 de 2011, expresado así: "En consecuencia, los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.
Las únicas excepciones posibles serán las establecidas en el artículo 10 del proyecto de ley bajo examen. En consecuencia no está permitido el consentimiento tácito del Titular del dato. El consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales." Subrayas del memorialista Se requiere entonces ahondar en cuales (sic) son las condiciones de un Consentimiento mediante Conducta Inequívoca y cuando nos encontramos frente a un consentimiento tácito.
Según su expresión literal, el Diccionario señala que Tácito es: Adjetivo, Que no se expresa o no se dice pero se supone o se sobreentiende; es decir lo que es implícito, sobrentendido o supuesto. Por contrario inequívoco refiere a: Adjetivo, Que solamente puede ser interpretado, entendido o explicado de una manera, en un único sentido y sin posibilidad de duda o equivocación. En consonancia con lo anteriormente reseñado, el Art. 7 2 del Decreto 1377 de 2013 (Hoy incorporado en el DU 1074 de 2015) al reglamentar directamente el Art. 9 de la Ley ante citado, precisó los Modos para obtener la autorización del titular y precisamente señaló que una de las formas sea " mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización." Énfasis del autor.
Así pues, llegamos a lo directamente señalado por el Decreto reglamentario para encontrar que la misma Autoridad de Protección de Datos, al explicar lo que debe entenderse por conducta inequívoca como una de las formas de autorización aceptadas en nuestro Sistema, dijo mediante Concepto con rad. 13-151968: En consecuencia, la norma solo señala la definición, la procedencia y el contenido de los avisos de privacidad.
"e. Existe algún pronunciamiento de la Superintendencia de Industria y Comercio en el cual se haya hecho la distinción entre consentimiento "expreso “y consentimiento "inequívoco"?" Respuesta: No existe pronunciamiento de esta entidad para diferenciar el consentimiento expreso e inequívoco, puesto que, como se mencionó en la respuesta del literal a) la, Corte Constitucional en sentencia C-748 de 2011, respecto al carácter expreso del consentimiento señala que: "en relación con el carácter expreso, la autorización debe ser inequívoca. razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro de! ordenamiento jurídico colombiano, de un consentimiento tácito" es decir la palabra inequívoco es un adjetivo que hace referencia a que no se admita duda o equivocación de que el titular de los datos personales permita o apruebe el tratamiento de sus datos personales.
Ahora bien, se debe tener en cuenta que el Decreto 1377 de 2013 establece que una de las formas en que se entiende que el titular da su autorización es aquella mediante la cual la realización de conductas inequívocas del Titular permita concluir de forma razonable que otorgó la autorización. De igual forma Doctrinantes, incluido el mismo Dr. Nelson Remolina, hoy Superintendente Delegado para la Protección de datos personales de la SIC, han señalado: “Por la cual se resuelve un recurso de reposición” HOJA N 4, VERSIÓN PÙBLICA "El artículo 7° del Decreto 1377 creó la posibilidad de legitimar el tratamiento de datos mediante la autorización producto de "conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca".
De esta forma, la autorización también se podrá obtener a partir de conductas evidentes, claras e incontrovertibles del titular que no admitan duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados. Con esto, el citado decreto abrió las puertas para que a través de actos palmarios e indubitables del titular se concluya que el mismo está de acuerdo con que se traten los datos.
Es importante tener presente que el consentimiento se concluye de "forma razonable" a partir de la conducta del titular. Es decir, de esta se deriva de forma lógica, conforme a la razón, sensata, justa o prudente que el titular autorizó la recolección de sus datos. La manera de actuar, proceder o comportarse de una persona, o de reaccionar ante ciertas situaciones es otra forma de expresar su consentimiento para el tratamiento de sus datos.
La conducta del titular debe indicar claramente que acepta el tratamiento de su información. Su silencio o inacción no se tienen como consentimiento. La figura de las conductas inequívocas se incorpora en el numeral 8° del artículo 4° de la propuesta de Reglamento General de Protección de Datos del Parlamento Europeo y del Consejo (2012) cuando se define el consentimiento, pues allí se dice, entre otras, que es "toda manifestación de voluntad, libre, específica, informada y explícita, mediante la que el interesado acepta, ya sea mediante una declaración, ya sea mediante una clara acción afirmativa, el tratamiento de datos personales que le conciernen".
Estas "claras acciones afirmativas" de la propuesta de reglamento son las conductas inequívocas en comento. La autorización a través de conductas inequívocas debe ser informada. A partir de lo que se informe se puede concluir para qué fines el titular autoriza el tratamiento mediante su comportamiento. Estas conclusiones en algunos casos no estarán exentas de subjetivismo interpretativo de cada situación." 3 Resaltado del Autor.
Por último y con la intención de reforzar lo antes expuesto, traemos a colación lo estipulado por el Reglamento Europeo de Protección de Datos, que sobre el particular señaló "Artículo 6: Licitud del tratamiento: El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos" Así mismo el Art. 7 del RGPD.
Condiciones para el consentimiento Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales." La principal novedad que se introduce en el RGPD con respecto a la normativa, es que el consentimiento debe de consistir en una declaración afirmativa o una clara acción afirmativa para la prestación del mismo, no admitiéndose por tanto el consentimiento tácito.
De esta manera, el consentimiento debe de ser claro de tal forma que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado. Expresamente se indica en el considerando 32 la posibilidad de utilizar casillas para la obtención del mismo, estableciendo que la casilla pre marcada o la inacción no constituye una forma de prestar el consentimiento.
Igualmente, también se establece en dicho considerando que cuando existan varios fines para el tratamiento se deberá recabar el consentimiento para todos ellos. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales.
Concluimos entonces para nuestro caso de marras, que no son necesarios elucubraciones ni razonamientos complejos, para entender que el Sr. XXXXXXXXXX, el 02 de Noviembre de 2013 autorizó el tratamiento de sus datos al ejecutar al menos estos tres (3) pasos: 1. Acercarse a la tienda con la intención de adquirir un servicio de instalación consistente en la toma de medidas, 2.
Proceder a cancelar el valor del mismo y como es apenas obvio suministrar los datos de su domicilio a donde Homecenter le debía prestar el servicio y 3. Informarse, a través del ambiente al interior de la tienda, de los distintos avisos dispuestos que informaban las condiciones especiales para el tratamiento de sus datos personales. En este caso particular, no hay lugar a equívocos ni interpretaciones subjetivas, el cliente solicitó de manera directa un servicio y para ello entregó sus datos a sabiendas de lo dispuesto en el correspondiente Aviso de Privacidad expuesto en todo momento al efectuar la compra y entregar los datos.
“Por la cual se resuelve un recurso de reposición” HOJA N 5, VERSIÓN PÙBLICA Dado lo anteriormente expuesto es claro para la empresa que, contrario a las conclusiones esbozadas por la entidad, el titular SI autorizó en forma expresa e inequívoca el tratamiento de sus datos. Como quisimos explicar con detalle, Sodimac viene incorporando desde la previsión el Art. 10 del Decreto 1377 de 2013, respecto a lo expresamente señalado en el Reglamento de la Ley 1581 de 2012, las diferentes alternativas otorgadas para dicha obtención del consentimiento de los titulares: Desde junio de 2013 a hoy contamos con Autorizaciones Escritas, Verbales y Mediante Conductas inequívocas de nuestro universo de clientes, proveedores, colaboradores y demás grupos de interés. Pero nunca se ha considerado el silencio o la inacción la forma en que tomamos el consentimiento; luego para el caso del Sr. XXXXXXXXXX, fue su acción positiva de acudir a nuestras Tiendas y entregar sus datos para el tratamiento lo que nos habilitó para operar con dichos datos.
Por lo anteriormente expuesto, debe aceptar la entidad que no es cierto que no se contara con la autorización o que esta fuera tacita, sino que el cliente la Revocó y que así ha permanecido desde marzo de 2019, conforme la manifestación del derecho del titular de los datos. De esta forma, es claro que no tiene validez ni asidero jurídico el argumento que sustenta el cargo y del que deriva la sanción, porque materialmente la sociedad SI contaba con la autorización del titular; lo anterior fuerza concluir que debe REVOCARSE el acto administrativo hoy recurrido ya que su sustento factico ha sido producto de un malentendido frente al uso de los avisos de privacidad como forma de obtención del consentimiento, que como lo hemos expuesto, jamás ha sido utilizado así por Sodimac Colombia S.A. Así mismo, deberá revocarse la orden impartida en dicho acto administrativo, consistente en i) Cesar la utilización de "avisos de privacidad" como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares, ii) Proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad, esto en razón a los argumentos expuestos a lo largo del presente escrito, Sodimac cuenta con la autorización para el tratamiento de datos, ya sea de forma escrita, Verbal o mediante Conductas inequívocas.
Por último y no por ello menos importante, queremos resaltar la posición jurídica REFORZADA por la misma pasado 18 de Agosto de 2020, cuyo objetivo fue impartir instrucciones sobre la Recolección y tratamiento de datos para dar cumplimiento a los protocolos de Bioseguridad para mitigar, controlar y realizar el adecuado manejo del riesgo de la pandemia por el Covid19, al señalar en forma directa en su Art. 2 al tratar la Recolección de datos que: e) Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin la autorización previa, expresa e informada del Titular.
La autorización se puede obtener por cualquiera de los mecanismos-escrito, verbal, electrónico o conductas inequívocas - previstos en el Artículo 7 del Decreto 1377 de 2013, pero el responsable de su tratamiento tiene el deber de conservar prueba de dicho consentimiento. Y prosigue.
TERCERO: INFORMACION SOBRE LA NECESIDAD DE RECOLECTAR INFORMACIÓN. Se debe informar al ciudadano la norma específica que ordena recolectar los datos que se le solicitan para dar cumplimiento a los protocolos de bioseguridad. Para comunicarlo anterior pueden usarse, entre otras, los avisos de privacidad para que las personas conozcan por qué se está recolectando sus datos personales.
El texto de los avisos de privacidad debe contener lo que ordena el Artículo 15 del Decreto 1377 de 20133. Recomendamos que ese aviso se ubique en sitios que permitan a las personas enterarse de manera fácil y a simple vista de lo anteriormente indicado. De esta forma, se tiene muy claro que un mecanismo para dar a conocer las finalidades, los datos que son recolectados y los derechos que le asisten a los titulares, es sin dudas el Aviso de Privacidad, sin que ello signifique que por ese instrumento se recogen los datos.” 3.3 Posteriormente, se refiere al principio de razonabilidad y proporcionalidad, aduciendo lo siguiente: “2.
FALTA DE APLICACION DEL PRINCIPIO DE RAZONABILIDAD Y PROPORCIONALIDAD EN LA IMPOSICION DE SANCIONES. No se establece o es casi nulo en la Resolución una cuantificación en el monto de la infracción por la cual se pretenden sancionar a la Empresa, lo cual además de ser violatorio del anterior principio dificulta la defensa de este por cuanto no es posible hacer el análisis de tipificación de la conducta infractora y la defensa de esta sin tener claro los elementos para graduar la sanción y el quantum de las lesiones a derechos jurídicamente tutelados.
“Por la cual se resuelve un recurso de reposición” HOJA N 6, VERSIÓN PÙBLICA La Resolución es escueta en mencionar que Sodimac Colombia S.A., no había implementado las medidas suficientes, útiles y efectivas relacionadas con el deber de obtener la autorización de los datos de los titulares cuya información administra. Expresión que proviniendo de la Autoridad de Protección de Datos personales debe ser sustentada y demostrada fehacientemente dentro del curso de una investigación. El derecho sancionador como expresión de las facultades extraordinarias del estado permiten la imposición de sanciones pecuniarias, pero estas deberán estar basadas en criterios de razonabilidad y proporcionalidad.
Así mismo, dicha facultad sancionadora debe ajustarse a los elementos propios de todo derecho punitivo: Esto es, una valoración sobre Tipicidad, antijuridicidad y culpabilidad. Estos últimos elementos no aparecen suficientemente esbozados en esta Resolución, por lo cual la misma deberá revocarse. Nos encontramos en el presente caso frente a la aplicación de una sanción desproporcionada frente a los supuestos hechos cometido por cuanto no se trata de cualquier tipo de errores los que pueden ser sancionados por la administración, sino que en cada caso se debe analizar si los errores en que supuestamente se incurrieron realmente causan un perjuicio a la actividad administradora o al marco normativo.
Antes de iniciar cualquier proceso sancionatorio, el funcionario deberá tener en cuenta la jurisprudencia sobre sanciones, que determina que para que ella sea aplicable, deben configurarse varios requisitos que conllevan a la garantía constitucional del debido proceso y de la existencia de norma previa a la comisión del hecho a sancionar; como son: Configuración del daño causado al estado con la comisión del hecho.
Graduación de la sanción de acuerdo con la gravedad de la falta. Lo cual en el presente caso no ocurre, primero porque SI se cuenta con la Autorización del titular y segundo por cuanto el funcionario sancionador no realizo un análisis de culpabilidad de Sodimac al no estudiar ni analizar la conducta en conjunto en las etapas de investigación. Debe ser un elemento importante para la entidad, establecer el comportamiento previo del investigado para establecer un parámetro en la dosificación punitiva.
Así las cosas, cabe recordar que en la investigación Sodimac Colombia S.A., logró demostrar que cuenta con diversos tipos de Autorizaciones basadas en distintas operaciones frente al manejo de información de sus titulares. Por último, frente al monto de la Sanción impuesta, reprochamos de la entidad la falta de precisión en los elementos que la constituyen.
Partiendo del supuesto en que, si se contaba con el consentimiento expreso del titular, no es entendible la conclusión que lleva a la entidad a imponer una sanción pecuniaria de DOSCIENTOS MILLONES DE PESOS. ¿De dónde salió dicha suma? ¿Qué elementos fueron considerados para esta cuantificación? No es claro para la Empresa cuales fueron los supuestos considerados por la Superintendencia para cualificar la sanción que debía imponer.
Si bien la normativa de protección de datos contempla sanciones que pueden ser del orden de 2000 smlmv como tope, no se establece en la Resolución los montos individuales frente al único cargo formulado y los hechos efectivamente probados en el proceso. Lo anterior nos permite establecer prima facie que la entidad estará llamada a aplicar el principio de proporcionalidad en la sanción a imponer.
Es clara la naturaleza de las sanciones derivadas del régimen de protección de datos, pero igualmente se exige que, en el procedimiento de imposición de las sanciones, el fallador establezca con claridad las condiciones para la fijación de la sanción, atendiendo las voces de lo señalado en el CPACA y sostenida jurisprudencia al respecto. En aras de respetar el principio de legalidad, en los casos de discrecionalidad, en el momento previo a la decisión de sancionar la autoridad deberá determinar, en primer lugar, la fuente de su discrecionalidad o, lo que es lo mismo, dónde se ubica esta facultad decisoria: en la escogencia de la sanción a imponer o en la tasación de la sanción a imponer.
Esto, debido a que aun cuando en uno y otro caso debe haber un marco legal que encuadre dicha discrecionalidad administrativa (que hace que se deba hablar siempre de la convergencia en este campo del principio de legalidad con el de proporcionalidad), también existen diferencias notables entre un supuesto y otro. Si la discrecionalidad se ubica en la elección de la sanción a imponer, en virtud del principio de legalidad, el operador sancionatorio deberá respetar las opciones que le ofrece la norma legal (multa, suspensión, caducidad, etc.), que constituyen un límite a su poder de decisión. En todo caso la Ley ofrece solo un repertorio de posibilidades, por lo cual al definir qué medida adoptar en concreto debe obrar con apego a las exigencias de los principios de ponderación y proporcionalidad, y tener en cuenta que su decisión HOJA N 7, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA se debe conformar a lo previsto por el artículo 44 del CPACA, de acuerdo con el cual "[e]n la medida en que el contenido de una decisión de carácter general o particular sea discrecional, debe ser adecuada a los fines de la norma que la autoriza y proporcional a los hechos que le sirven de causa".
Sea cual sea la decisión que adopte, la no infracción de la garantía del debido proceso exige la plena motivación de la decisión. Por ende, debe quedar manifiesto que la severidad de la sanción es función de la gravedad de la conducta reprochada, de suerte que a mayor gravedad esta última mayor severidad de la primera. Si la discrecionalidad se ubica en la graduación de la sanción, la autoridad debe determinar si la norma especial que rige su competencia prevé algunos criterios de graduación de la sanción. De no estar contempladas deberá analizar los criterios generales que establece el CPACA.
De no resultar aplicable ninguno de ellos, tendrá mayor margen de acción, pero deberá tomar una decisión teniendo en cuenta lo previsto por el artículo 44 del CPACA ya citado, so pena de infringir los principios de ponderación y proporcionalidad. Por lo anterior, solicitamos en forma subsidiaria a la primera pretensión, que, en caso de no considerar la revocación absoluta de la sanción pecuniaria, se establezca una REDUCCION SUSTANCIAL de la sanción con ocasión de los motivos expuestos con este recurso.” 3.4 A continuación, se refiere a la aplicación del principio de responsabilidad demostrada, aduciendo lo siguiente: “3.
SOLICITUD DE APLICACIÓN DE LOS POSTULADOS DE LA RESPONSABILIDAD DEMOSTRADA PROGRAMA DE GESTION DE DATOS PERSONALES DE SODIMAC COLOMBIA S.A. Y SUS MEDIOS PARA DEMOSTRAR EL CUMPLIMIENTO DE SUS DEBERES. Desde la expedición de la Ley 1581 de 2012 y sus decretos reglamentarios Empresa ha venido liderando la implementación de dicha normativa bajo los postulados del cumplimiento y la generación de una cultura de privacidad al interior de la institución. Desde el año 2013 con la expedición del Decreto 1377 de 2013 - hoy contenido en el D.U 1074 de 2015-, la Empresa adoptó una serie de Políticas y procedimientos con el fin de generar una posición uniforme como institución de educación frente a los postulados de la privacidad en su sector.
Lo anterior ha venido implementándose de forma gradual y permanente en la organización, al punto de que se contrató una Consultoría especializada en el año 2016 con el fin de fortalecer e implementar el Programa Integral de Protección de Datos de Sodimac. De esta forma, de conformidad con el Art. 26 del Decreto 1377, si quedo demostrado a la SIC que las medidas adoptadas son apropiadas y efectivas en el tratamiento de datos personales para una "empresa" del tamaño, sector y características de las de Sodimac Colombia S.A. Medidas implementadas: Adopción e implementación de una Política de protección de datos personales y un Procedimiento de Protección de datos, la cual se encuentra publicada en el sitio www.homecenter.co 2.
Disposición, nombramiento formal e implementación del cargo de Oficial de Privacidad en la organización, dependencia ubicada en la Gerencia de Activos Informáticos. Entre sus funciones se encuentran las de apoyar y resolver los trámites y establecer la política de atención de los ejercicios de Derechos de los titulares de datos personales. 3.
Ahora bien Empresa cuenta con políticas internas de seguridad y ha sido diligente al adoptar e implementar su Política general de Seguridad de la Información, donde se incorporan estándares y procedimientos para la seguridad y confidencialidad de la información. 1. De manera que, la empresa cuenta con un marco normativo organizado de la siguiente forma: Donde la Política General de Seguridad de la Información está concebida tomando como práctica líder a la norma ISO 27001 y cada una de las políticas de segundo nivel tomando como práctica líder la norma ISO 27002, en las que se cuentan: Seguridad Información Gestión Comunicaciones y Operaciones Control de Acceso Lógico Adquisición, desarrollo y mantenimiento Sistemas de Información Administración de Incidentes Así mismo se han implementado procedimientos de revisión y validación del Programa de gestión en Protección de datos contando a la fecha con las siguientes actividades: HOJA N 8, “Por la cual se resuelve un recurso de reposición” - VERSIÓN PÙBLICA Auditoría Interna año 2018 Comités Mensuales en Protección de Datos Personales Gerencias Jurídicas, TI y BI.
Auditoría externa 2019 Comité de Riesgos Capacitaciones anuales años 2016, 2017, 2018, 2019 y 2020. De conformidad con las anteriores explicaciones y la documentación de dichas medidas que se aportaron como pruebas documentales y frente a los que la SIC simplemente indico que se precisa de menos retórica y más acción sin entrar a realizar un verdadero análisis a profundidad de tales medidas, solicitamos en aplicación de los artículos 26 y 27 del Decreto 1377 de 2013, la REVOCATORIA de la Resolución 59001 y en su lugar se declare que Empresa ha cumplido, en esta investigación, con sus obligaciones en materia de protección de datos personales de acuerdo a la ley 1581 de 2012 y en consecuencia se le exonere de cualquier responsabilidad.” 3.5.
Finaliza su escrito, señalando que, con base en los fundamentos de derecho establecidos, solicita: “IV. PETICIONES:
PRIMERO: Se revoque en su totalidad resolución 59001 del 24 de septiembre de 2020, por las razones y motivos anteriormente señalados.
SEGUNDO: En forma subsidiaria en caso de que la primera pretensión no sea acogida solicitamos se modifique el artículo primero de la Resolución N° 59001, específicamente en el sentido de disponer LA DISMINUCIÓN DE LA MULTA impuesta a Sodimac Colombia S.A., de conformidad con los criterios de razonabilidad y proporcionalidad relativos a la dosimetría de la sanción.”
CUARTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente, este Despacho procede a realizar las siguientes consideraciones: 4.1 AUTORIZACION PARA EL TRATAMIENTO DE DATOS PERSONALES DEL SR. XXXXX XXXXXX MEDIANTE CONDUCTA INEQUIVOCA Inicia su argumentación, manifestando que: “Como se ha expresado a lo largo de las etapas procesales surtidas en el presente caso, Sodimac Colombia S.A, cuenta con la autorización MEDIANTE CONDUCTA INEQUÍVOCA del titular de los datos, por cuanto que el MISMO TITULAR DE LOS DATOS, señor XXXXXXXXXXXXXXXXXXXXXXXX, el día 02 de Noviembre de 2013, acudió personalmente a la tienda Homecenter y Constructor, y contrató el servicio de instalaciones – toma de medidas- a su domicilio para lo cual fue necesario que suministrara suministra sus datos personales y al momento de la toma de dichos datos, autorizó de manera EXPRESA” Este argumento no es del recibo por este Despacho, puesto que, como se expuso en la Resolución 59001 del 24 de septiembre de 2020, “(…) es oportuno recordar que, el silencio, en ningún caso puede ser entendido como el otorgamiento de la autorización, la cual, adicionalmente tiene componentes cualificados.
Véase, que debe ser previa, expresa e informada ”. Por lo tanto, no es admisible para esta Dirección que, en los términos aducidos por la investigada, se acepte la autorización para el tratamiento de datos, a través de conductas inequívocas por parte del titular, por el solo hecho de haber ingresado a las instalaciones de SODIMAC COLOMBIA S.A; debido a que, la obtención de la autorización, si bien puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 del Decreto 1377 de 2013 (Incorporado en el Decreto 1074 de 2015), incluso las conductas inequívocas, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.
De hecho, conforme a los preceptos normativos del Régimen General de Protección de Datos Personales, de una parte se configura el derecho que le asiste al Titular de: “solicitar prueba de la citada autorización”2, el cual, a su vez se correlaciona con el deber del Responsable del Tratamiento de “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular3”.
De igual modo, es importante resaltar como quedó acreditado en la resolución recurrida, que el titular de la información en ningún momento otorgó la autorización para el tratamiento de sus datos personales en los términos del artículo 9 de la Ley 1581 de 2012; por el contrario, manifestó su Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012.
Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. “Por la cual se resuelve un recurso de reposición” HOJA N 9, VERSIÓN PÙBLICA inconformidad al recibir un correo, donde automáticamente aceptaba la autorización para el tratamiento de sus datos a la sociedad SODIMAC COLOMBIA S.A, pues dicho correo no traía la opción de rechazar.
Precisado lo anterior y en línea con lo expuesto, señala el Recurrente que: (..)” deberá revocarse la orden impartida en dicho acto administrativo, consistente en i) Cesar la utilización de “avisos de privacidad” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares, ii) Proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad, esto en razón a los argumentos expuestos a lo largo del presente escrito, Sodimac cuenta con la autorización para el tratamiento de datos, ya sea de forma escrita, Verbal o mediante Conductas inequívocas.” Frente al argumento en cita, es importante reiterar lo expuesto por esta Dirección respecto de los avisos de privacidad, como mecanismos utilizados por la sociedad SODIMAC COLOMBIA S.A para la obtención de la autorización para el Tratamiento de datos de los Titulares de la información, los cuales, además de no ser legítimos, no resultan equivalentes a la autorización, la cual debe ser previa, expresa e informada, y que esta pueda ser objeto de consulta posterior, según los requisitos contenidos en la Ley Estatutaria 1581 de 20124.
En armonía con lo anterior, encuentra esta Dirección que la sociedad SODIMAC COLOMBIA S.A junto con el escrito de recurso de reposición y en subsidio apelación, no aportó nuevos elementos probatorios que permitan desvirtuar la necesidad de las órdenes impartidas mediante Resolución 59001 del 24 de septiembre de 2020; razón por la cual, no existe mérito para su revocatoria y, en consecuencia, se mantendrán incólumes.
En el mismo sentido, con el fin de garantizar el Derecho Fundamental de Habeas Data de los titulares, cuyos datos son administrados por la sociedad SODIMAC COLOMBIA S.A es absolutamente necesario el cumplimiento de las órdenes impartidas de: “i) Cesar la utilización de “avisos de privacidad” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares, ii) Proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad,”, pues se reitera que la autorización puede obtenerse utilizando diversos mecanismos o procedimientos, pero es deber del Responsable del tratamiento acreditar que cuenta con la copia de la autorización todos y cada uno de los Titulares cuyos datos trata5, lo anterior, en virtud del literal e) del artículo 21 de la ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta superintendencia el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disipaciones previstas en la presente ley (…)” Ahora bien, con respecto a la afirmación expuesta por el Recurrente, al señalar que,”(…)“queremos resaltar la posición jurídica REFORZADA por la misma Superintendencia de Industria y Comercio a través de la expedición de la reciente Circular Externa 008 del pasado 18 de Agosto de 2020, cuyo objetivo fue impartir instrucciones sobre la Recolección y tratamiento de datos para dar cumplimiento a los protocolos de Bioseguridad para mitigar, controlar y realizar el adecuado manejo del riesgo de la pandemia por el Covid19, al señalar en forma directa en su Art. 2 al tratar la Recolección de datos que: … e) Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin la autorización previa, expresa e informada del Titular.
La autorización se puede obtener por cualquiera de los mecanismos-escrito, verbal, electrónico o conductas inequívocas - previstos en el Artículo 7 del Decreto 1377 de 2013, pero el responsable de su tratamiento tiene el deber de conservar prueba de dicho consentimiento”, es imperioso resaltar que, el mismo no es del recibo de esta Dirección, ya que la Circular Externa 008 a la que se alude en el recurso, fue expedida a razón de una contingencia producida por una situación novedosa en el país, como resultó ser la emergencia sanitaria causada por el nuevo coronavirus, y su enfermedad COVID-19, que obligó a las instituciones del estado a modificar ciertos procedimientos internos, para acoplar la sociedad a la nueva realidad dada por la pandemia; de modo que, no puede la sociedad investigada justificar la conducta objeto de investigación en unas condiciones de modo, tiempo y lugar que nada tienen que ver con el espíritu de la investigación adelantada por esta Superintendencia. No obstante, es importante resaltar que, la Circular Externa 008 es clara al manifestar lo siguiente: “(…) la autorización se puede obtener por cualquiera de los mecanismos-escrito, verbal, ARTÍCULO 9o.
AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Inciso b “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: HOJA N 10, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA electrónico o conductas inequívocas - previstos en el Artículo 7 del Decreto 1377 de 2013, pero el responsable de su tratamiento tiene el deber de conservar prueba de dicho consentimiento.” Por lo tanto, los responsables del tratamiento deben establecer medidas legítimas, útiles, apropiadas y efectivas para cumplir sus obligaciones legales.
Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes. En el presente caso, la recurrente no acreditó la prueba de la autorización del titular del dato personal. 4.2 DEL PRESUNTO DESCONOCIMIENTO DEL PRINCIPIO PROPORCIONALIDAD Y RAZONABILIDAD DE LA SANCIÓN DE LEGALIDAD, En este aparte del recurso, el Recurrente sostiene que, “La Resolución es escueta en mencionar que Sodimac Colombia S.A., no había implementado las medidas suficientes, útiles y efectivas relacionadas con el deber de obtener la autorización de los datos de los titulares cuya información administra.
Expresión que proviniendo de la Autoridad de Protección de Datos personales debe ser sustentada y demostrada fehacientemente dentro del curso de una investigación.” (…) Por último, frente al monto de la Sanción impuesta, reprochamos de la entidad la falta de precisión en los elementos que la constituyen. Partiendo del supuesto en que, si se contaba con el consentimiento expreso del titular, no es entendible la conclusión que lleva a la entidad a imponer una sanción pecuniaria de DOSCIENTOS MILLONES DE PESOS.
¿De dónde salió dicha suma? ¿Qué elementos fueron considerados para esta cuantificación?” En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la ley 1581 de 2012 para tasar el monto de la sanción, así: “10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.” Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción contenida en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015, se configura el daño al titular, toda vez que no demostró por ningún medio que contaba con la autorización previa, expresa e informada para el tratamiento de datos personales del denunciante.
Por lo transcrito, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción original.
Abonado a lo anterior, este Despacho le recuerda al recurrente lo previsto en artículo 24 de la ley 1581 de 2012 que establece exactamente lo siguiente: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)” (Negrilla fuera de texto.
En relación con el criterio de atenuación de la sanción señalado en el literal f) del artículo citado, el mismo no se aplicó toda vez que la investigada no reconoció o aceptó la comisión de la infracción. Lo anterior, en línea con lo expuesto por la Corte Constitucional en la sentencia C-748 de 2011, en relación a la aplicación de estos criterios, al señalar, que: “Por la cual se resuelve un recurso de reposición” HOJA N 11, VERSIÓN PÙBLICA “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción ajustada a derecho, donde se tuvo en cuenta la infracción cometida en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015 y las sanciones dispuestas en esta ley, sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;
(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso. 6 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
En este orden de ideas, es válido afirmar que esta Dirección dio plena aplicación al principio de legalidad, tipicidad y demás principios dispuestos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en lo que respecta al principio de legalidad y tipicidad, la Corte Constitucional en su sentencia C-412/15 plantea: “El principio de legalidad exige que dentro del procedimiento administrativo sancionatorio la falta o conducta reprochable se encuentre tipificada en la norma -lex scripta- con anterioridad a los hechos materia de la investigación-lex previa.
En materia de derecho sancionatorio el principio de legalidad comprende una doble garantía, a saber: material, que se refiere a la predeterminación normativa de las conductas infractoras y las sanciones; y, formal, relacionada con la exigencia de que estas deben estar contenidas en una norma con rango de ley, la cual podrá hacer remisión a un reglamento, siempre y cuando en la ley queden determinados los elementos estructurales de la conducta antijurídica.
Esto se desprende del contenido dispositivo del inciso 2° del artículo 29 de la Constitución Política que establece el principio de legalidad, al disponer que “nadie podrá ser juzgado sino conforme a las leyes preexistentes al acto que se imputa (…)”, es decir, que no existe pena o sanción si no hay ley que determine la legalidad de dicha actuación, ya sea por acción u omisión…7” “El principio de tipicidad como desarrollo del de legalidad hace referencia a la obligación que tiene el legislador de definir con claridad y especificidad el acto, hecho u omisión constitutivo de la conducta reprochada por el ordenamiento, de manera que le permita a las personas a quienes van dirigidas las normas conocer con anterioridad a la comisión de la misma las implicaciones que acarrea su transgresión. Conviene precisar que si bien es cierto que en materia sancionatoria la ley puede hacer remisiones a los reglamentos, -con el fin de complementar el tipo allí descrito-, también lo es que la remisión se encuentra limitada al núcleo esencial de lo que se ha estipulado en la ley.
De allí que la tipificación para la descripción de la conducta y la sanción, corresponde por mandato constitucional al legislador, mientras que la aplicación de la misma para subsumir el hecho antijurídico al tipo descrito, corresponde a la administración…” Por su parte, respecto del principio de buena fe, es palmario que el mismo se ha garantizado dentro de la presente actuación, pues fue en virtud de este y de los demás establecidos en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo que se agotaron cada una de las etapas previstas para el procedimiento administrativo sancionatorio, emitiéndose una 6 C-699/08.
Corte Constitucional. Magistrado ponente. Dr. Alberto Rojas Ríos. Ibídem HOJA N 12, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA decisión ajustada a derecho, en donde se le dio la oportunidad a la investigada de ejercer su derecho de defensa y contradicción. Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta mil (2.000) salarios mínimos mensuales legales vigentes, impuso la suma de (DOSCIENTOS MILLONES CUATRO MIL Y QUINIENTOS DIECINUEVE PESOS M/CTE ($200.004.519), equivalente a Cinco Mil Seiscientos Diecisiete (5.617) en UVT), de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”.
De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”8 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. En suma, la imposición de la sanción se dio al comprobar la infracción cometida a la normatividad vigente y el impacto que tiene dicha infracción para la protección de los datos personales del titular.
Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en la primera instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad SODIMAC S.A. no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución 59001 del 24 de septiembre de 2020; razón por la cual, este Despacho confirmará todo aquello que no sea objeto de modificación, manteniéndose así la proporcionalidad de la sanción inicialmente calculada.
4.3. SOLICITUD DE APLICACIÓN DE LOS POSTULADOS DE LA RESPONSABILIDAD DEMOSTRADA – PROGRAMA DE GESTION DE DATOS PERSONALES DE SODIMAC COLOMBIA S.A. Y SUS MEDIOS PARA DEMOSTRAR EL CUMPLIMIENTO DE SUS DEBERES Señala el Recurrente que: “Desde la expedición de la Ley 1581 de 2012 y sus decretos reglamentarios Empresa ha venido liderando la implementación de dicha normativa bajo los postulados del cumplimiento y la generación de una cultura de privacidad al interior de la institución.” 8 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
HOJA N 13, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA En sincronía con esta afirmación, reitera la sociedad SODIMAC S.A lo dicho en el escrito de descargos9 manifestando que cuenta con un programa de gestión de datos personales, el cual está compuesto de forma general por los elementos y medidas que se enuncian a continuación: “Medidas implementadas: 1.
Adopción e implementación de una Política de protección de datos personales y un Procedimiento de Protección de datos, la cual se encuentra publicada en el sitio www.homecenter.co 2. Disposición, nombramiento formal e implementación del cargo de Oficial de Privacidad en la organización, dependencia ubicada en la Gerencia de Activos Informáticos.
Entre sus funciones se encuentran las de apoyar y resolver los trámites y establecer la política de atención de los ejercicios de Derechos de los titulares de datos personales. 3. Ahora bien Empresa cuenta con políticas internas de seguridad y ha sido diligente al adoptar e implementar su Política general de Seguridad de la Información, donde se incorporan estándares y procedimientos para la seguridad y confidencialidad de la información. De manera que, la empresa cuenta con un marco normativo organizado de la siguiente forma: Donde la Política General de Seguridad de la Información está concebida tomando como práctica líder a la norma ISO 27001 y cada una de las políticas de segundo nivel tomando como práctica líder la norma ISO 27002, en las que se cuentan: - Seguridad Información - Gestión Comunicaciones y Operaciones - Control de Acceso Lógico Adquisición, desarrollo y mantenimiento Sistemas de Información - Administración de Incidentes Así mismo se han implementado procedimientos de revisión y validación del Programa de gestión en Protección de datos contando a la fecha con las siguientes actividades: Auditoría Interna año 2018 - Comités Mensuales en Protección de Datos Personales Gerencias Jurídicas, TI y BI. - Auditoría externa 2019 - Comité de Riesgos - Capacitaciones anuales años 2016, 2017, 2018, 2019 y 2020.” Estas afirmaciones no son del recibo de esta Dirección, pues no basta con que el responsable de la administración de datos aporte una serie de políticas implementadas, sino que, adicionalmente es necesario que dichas conductas se vean materializadas en la práctica.
No obstante, tal y como quedó demostrado en la parte motiva de la Resolución 59001 del 24 de septiembre de 2020, la sociedad SODIMAC S.A no tenía conocimiento acerca del tratamiento ilegal que le estaba dando a los datos personales del denunciante; motivo por el cual, a través de denuncia10, manifestó lo siguiente: "Cuando no hago clic en la opción "ACEPTO", autorizo a Sodimac Colombia S.A. como consta en el AVISO DE PRIVACIDAD expuesto en cada una de las tiendas HOMECENTER y CONSTRUCTOR, de manera previa, expresa e inequívoca para que mis datos personales sean tratados (recolectados, almacenados, usados, compartidos, procesados, transmitidos, suprimidos o actualizados), ” El principio de responsabilidad demostrada demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamientos de datos personales, los cuales ya fueron mencionados por esta Dirección de manera amplia y suficiente en la parte motiva del acto administrativo recurrido.
Sin embargo, se reiterarán algunos aspectos, en tanto el Recurrente insiste en la presunta implementación material del programa integral de gestión y protección de datos personales por la sociedad SODIMAC S.A, pese a que todo el material probatorio obrante en el expediente, conduce a que la sociedad investigada no adoptó las medidas apropiadas, efectivas y verificables que permitan, por un lado, evidenciar un actuar diligente en el caso bajo examen y, por el otro, den cuenta de la observancia y puesta en marcha de los preceptos normativos en materia de protección de datos personales.
Dado lo anterior, la regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que "existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante"11.
Así las cosas los argumentos de hecho y de derecho mediante los cuales el Recurrente afirma que cuenta con una implementación material del programa integral de gestión y protección de datos personales por la sociedad SODIMAC COLOMBIA S.A, reitera este Despacho que, las Escrito de descargos bajo radicado número 19-047344-00013-0001 de fecha 23 de diciembre de 2019. denuncia radicada bajo el número 19-47344-0-0 del 25 de febrero de 2019 Corte Constitucional, sentencia T-227 de 2003 “Por la cual se resuelve un recurso de reposición” HOJA N 14, VERSIÓN PÙBLICA mismas no desvirtúan los argumentos expuestos por esta Dirección en la parte motiva de la Resolución 59001 del 24 de septiembre de 2020, por el contrario, confirman el actuar negligente de la sociedad SODIMAC COLOMBIA S.A y la desconexión que existe entre el andamiaje documental y humano con el que cuenta en materia de protección de datos y su aplicación y desempeño en el ejercicio práctico. 4.4 FRENTE A LAS SOLICITUDES REALIZADAS POR EL RECURRENTE En su escrito de recurso, la sociedad SODIMAC COLOMBIA S.A señala: “PRIMERO: Se revoque en su totalidad resolución 59001 del 24 de septiembre de 2020, por las razones y motivos anteriormente señalados.” Teniendo en cuenta lo expuesto en los numerales anteriores, esta Dirección no encuentra procedente REVOCAR la Resolución 59001 del 24 de septiembre de 2020, la cual impuso sanción de multa e impartió ordenes en virtud de la vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.
Vulneración que no fue desvirtuada por el Recurrente con los argumentos expuestos, los cuales no acompañó de material probatorio alguno en el trámite del recurso interpuesto; razón por la cual se procederá a confirmar la resolución recurrida. “SEGUNDO: En forma subsidiaria en caso de que la primera pretensión no sea acogida solicitamos se modifique el artículo primero de la Resolución N° 59001, específicamente en el sentido de disponer LA DISMINUCIÓN DE LA MULTA impuesta a Sodimac Colombia S.A., de conformidad con los criterios de razonabilidad y proporcionalidad relativos a la dosimetría de la sanción.” Teniendo en cuenta en el numeral 4.2 de la presente resolución, esta Dirección no encuentra procedente conceder lo solicitado; razón por la cual, la proporcionalidad de la sanción se mantiene en el valor inicialmente calculado, y en ese orden, se confirmará todo aquello que no sea objeto de modificación. 4.5 DEL ERROR EN EL NUMERAL 10.1.2 DE LA PARTE CONSIDERATIVA DE LA RESOLUCIÓN 59001 DEL 24 DE SEPTIEMBRE DE 2020.
Debido a un error de transcripción durante la sustanciación del acto administrativo No 59001 del 24 de septiembre de 2020, se hizo referencia en el acápite “10.1.2 Otros criterios de graduación la Ley 1581 de 2008”, un año diferente al de la Ley 1581, cuando lo que correspondía era explicitar lo siguiente: “10.1.2 Otros criterios de graduación la Ley 1581 de 2012” Lo anterior, en consonancia con lo preceptuado en el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual señala lo siguiente: “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras.
En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto. Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según corresponda.” En los términos expuestos en líneas precedentes, se procederá a corregir el error meramente formal, en relación con el señalamiento de un año diferente de la Ley 1581 de 2012, pues quedó Ley 1581 de 2008 y el año correcto es 2012, en la Resolución 59001 del 24 de septiembre de 2020.
QUINTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución 59001 del 24 de septiembre de 2020. En mérito de lo expuesto, este Despacho HOJA N 15, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA
RESUELVE
ARTÍCULO PRIMERO: CORREGIR parcialmente el numeral 10.1.2 de la parte considerativa de la Resolución 59001 del 24 de septiembre de 2020., por las razones expuestas en la parte motiva de este acto administrativo, el cual quedará así: 10.1.2 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley (…) Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012.”
ARTÍCULO SEGUNDO: CONFIRMAR en todas sus partes la Resolución 59001 del 24 de septiembre de 2020, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SODIMAC COLOMBIA S.A identificada con el Nit. 800.242.106-2, a través de su representante legal y de su apoderada, entregándoles copia de la misma.
ARTÍCULO QUINTO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXXXXXXXXXXXX, identificado con C.C. XXXXXXXXXX.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 20 NOVIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.11.20 18:00:38 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se resuelve un recurso de reposición” NOTIFICACIÓN: Investigada: Entidad: SODIMAC COLOMBIA S.A Identificación: Nit.: 800.242.106-2 Representante Legal: MIGUEL PARDO BRIGARD Identificación: C.C. No. 79.520.939 Dirección: CRA 68 D # 80 -70 Ciudad: Bogotá DC Correo electrónico: notificacionesjudiciales@homecenter.co Apoderado: Doctor: IVAN DARIO MARRUGO JIMENEZ Identificación: 9.104.735 Dirección: CRA 10 No 97 a – 13 Trade Center torre b oficina 202 Correo: imarrugo@marrugorivera.com Ciudad: Bogotá DC COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXXX Ciudad: XXXXXXX Correo electrónico: XXXXXXXXXXXXXXX HOJA N 16, VERSIÓN PÙBLICA