(Marzo 24 de 2022) Radicación 18-302263 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 7 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante Resolución N°. 45328 del 22 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió́: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad OCUPAR TEMPORALES S.A. identificada con Nit. 800.106.404-0, de CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) unidades de valor tributario vigentes, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015”.
SEGUNDO. Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-302263-58-1 del 17 de agosto de 2021, la sociedad OCUPAR TERMPORALES S.A., a través de su representante legal suplente, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°. 45328 del 22 de julio de 2021, el cual fundamentó con los siguientes motivos: • Sostiene que la sociedad OCUPAR TERMPORALES S.A. “cumple de manera cabal, celosa y esmerada, todas las normas que regulan la protección de datos señaladas en el Cargo Primero, todo en desarrollo de la Política de Tratamiento de Información contenida en el “Instructivo Manejo de Datos Personales” aportada en la etapa de averiguación preliminar ( )”. • Afirma que la sociedad OCUPAR TERMPORALES S.A., en su calidad de Responsable del Tratamiento, le solicitó al señor XXXXXX XXXX XXXXXXX XXXXXXXXX leer el contenido del documento denominado “Circular Autorización Protección Información Personal”, el cual fue aceptado y firmado por el Titular.
Por lo anterior, la sociedad recurrente le solicita al Despacho la práctica de la declaración del denunciante, para que este “reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y firmó el formato de autorización informada antes de consignar sus datos personales”. • Indica que conservó la autorización aceptada y firmada por el Titular, hasta antes de que ocurriera un suceso con ocasión de las lluvias intensas del mes de diciembre de 2018, por el que se deterioró y perdió documentación física, incluida la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX.
Incidente que indica le fue reportado de manera inmediata a los Responsables. HOJA Nº, 2 • Señala que no comparte lo expuesto por el Despacho en el acto recurrido al afirmar que: “OCUPAR no acreditó que cuando el denunciante entregó sus datos a través del software “iDtalento”, presuntamente autorizando a IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., por lo tanto observa preliminarmente el despacho que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXX, para hacer uso de sus datos personales a los que según informó tuvo acceso a través de la plataforma “IdTALENTO”, por las siguientes razones: “El candidato, en este caso el señor XXXXXXX al iniciar el proceso de selección aceptó la SOLICITUD realizada por OCUPAR, o sea la lectura y firma de la “AUTORIZACIÓN PROTECCION (sic) INFORMACION (sic) PERSONAL”, como ampliamente se sustentó, dando cumplimiento a la normatividad y Política de Tratamiento de la información, seguidamente y en desarrollo del CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES, que suscribí́ con IDCORP SAS, del cual forma parte los acuerdos de servicios, documento que fue aportados (sic) en la instancia de la averiguación preliminar, y contrato que se aportó con los descargos, el “Titular de datos” autorizará de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento de todos los datos que de manera voluntaria que (sic) el usuario suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del formato y procediendo a realizar las pruebas que allí́ se solicitan, tal como se muestra en el formato que relaciono más adelante.
Se reitera que el señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un “click” en el cuadro de aceptación colocado en la parte final, prueba de que aceptó los términos y condiciones previstas en los documentos que allí́ se relacionan. (Negrilla y subraya fuera del texto original) En el CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES que suscribí́ con IDCORP SAS., no he dado autorizaciones para el manejo de datos del personal que ingresa a realizar las pruebas para fines distintos a los acordados en el contrato, y puedo garantizar que IDCORP SAS como proveedor de servicios de la plataforma indicada en la presente sustentación ha dado cumplimiento a las obligaciones pactadas en el contrato.
IDCORP SAS y OCUPAR cumplieron y seguirán cumpliendo con el Régimen General de Protección de Datos Personales por lo tanto los hechos sobre los cuales se fundamenta la investigación administrativa y la fijación de cargos carecen de validez jurídica pues los datos suministrados por el señor XXXXXXXX no pueden ser usados con ningún fin a excepción del proceso de selección que se agotó conforme a las políticas internas de la empresa que represento.” • A continuación, afirma que el segundo cargo “( ) carece de claridad y argumento considerando que no se señala la conducta de informar o no informar, y en gracias de discusión haciendo una interpretación tampoco se podría endilgar una responsabilidad a OCUPAR, ( ).
Por lo tanto, el CARGO SEGUNDO deberá́ revocarse considerando que no se han vulnerado las normas sobre el cual fue fijado”. Finalmente, solicita que se revoque la Resolución N°. 45328 del 22 de julio de 2021. Subsidiariamente, pide que “ sin que ello constituya reconocimiento de responsabilidad, que de no ser atendidos los hechos y razones eximentes (sic) de responsabilidad de Ocupar, la SIC reconsidere la cuantía de la sanción económica impuesta, habida cuenta que su valor es exorbitante y no se compadece con un hecho atribuible a un tercero, máxime, dada la situación económica que enfrentan las empresas, y en particular, el sector que aglutina las empresas de servicios temporales como consecuencia de la recesión económica originada en la contingencia sanitaria que afecta al país.” HOJA Nº, 3 TERCERO. Que mediante Resolución N°. 70031 del 29 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N°. 45328 del 22 de julio de 2021, de conformidad con la parte motiva del presente acto administrativo.”
CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 1 (modificado por el artículo 6 del Decreto 92 de 2022) establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”
2. DEL DEBER DE SOLICITAR Y CONSERVA COPIA DE LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR La sociedad OCUPAR TERMPORALES S.A. no logró demostrar el consentimiento previo, expreso e informado del Titular para poder recolectar y tratar sus datos personales. Únicamente probó tener un procedimiento que exige al usuario aceptar la política de privacidad y los términos y condiciones antes de utilizar la plataforma, lo cual no es lo mismo.
Como es sabido, las personas tienen derecho a, entre otras, “solicitar prueba de la autorización otorgada al Responsable del Tratamiento”2. Los Responsables, por su parte, están obligados a cumplir, entre otras, el siguiente deber “solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada” 3.
Adicionalmente, la libertad de la persona de decidir a quien entrega sus datos y para qué es un principio cardinal del Tratamiento de datos. En este sentido, el literal c) del artículo 4 de la Ley Estatutaria 1581 de 2012 ordena lo que sigue a continuación: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)” Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 2 Cfr. Literal b) del artículo 8 de la Ley 1581 de 2012 3 Cfr. Literal b) del artículo 17 de la Ley 1581 de 2012 HOJA Nº, 4 En línea con lo anterior, el artículo 9 de la precitada ley establece que “(…) en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Nótese que la ley impone al Responsable la carga probatoria de demostrar que obtuvo la autorización del Titular y de suministrar copia de esta al Titular.
Dicha autorización debe ser informada y le corresponde al Responsable probar que, antes de obtener el consentimiento de la persona, le comunicó todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012. En ese sentido, el parágrafo de dicha norma señala que “el Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.
El consentimiento puede ser obtenido de varias formas siempre y cuando sea previo, expreso, informado y demostrable. En efecto, el artículo 2.2.2.25.2.4 del Decreto 1074 de 2015 establece lo siguiente: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9° de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta.
Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”4.
Como se observa, la regulación es neutral porque no exige un mecanismo, proceso o tecnología específica para obtener la autorización del Titular del dato. No obstante, al margen de la alternativa que utilice el Responsable para dicho propósito, debe estar en capacidad de demostrar que obtuvo una autorización previa, expresa e informada. Lo anterior es consistente con lo ordenado por el artículo 26 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015), a saber: “Artículo 26.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, (…)”. (Destacamos). En el presente caso, OCUPAR TERMPORALES S.A. no logró demostrar que contaba con la autorización de XXXXXX XXXX XXXXXXX XXXXXXXXX.
La sociedad recurrente se limita a afirmar lo siguiente: - - Solicitó y conservó copia de la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX, pero no cuenta con ella, debido a que, con ocasión de un incidente locativo en la sede de la compañía producto de las lluvias del mes de diciembre de 2018, perdió́ documentación física, incluido el consentimiento del señor XXXXXX XXXX XXXXXXX XXXXXXXXX.
Por ello, considera necesaria la declaración del Titular, para que este “reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó́, diligenció y firmó el formato de autorización informada antes de consignar sus datos personales”. En el momento en que el Titular se registró en la plataforma de la sociedad IDCORP S.A.S., “el señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un “click” en el cuadro de aceptación colocado en la parte final, prueba de que aceptó los términos y condiciones previstas en los documentos que allí́ se relacionan”.
(Subraya fuera del texto original). 4 Cfr. Artículo 2.2.2.25.2.4 del Decreto 1074 de 2015. HOJA Nº, 5 Se reitera que la creación de un usuario en una plataforma tecnológica no significa, per se, que él autorizó el Tratamiento de sus datos personales. Al contrario, para poder crear dicho usuario es necesario obtener la autorización de este cuando para dicho efecto se utilicen datos personales que no sean de naturaleza pública.
El siguiente es el cargo formulado a la recurrente en la Resolución Nº 56816 del 24 de octubre de 2019: Por tanto, la prueba que debía haber allegado la recurrente, pero nunca lo hizo, es la autorización previa, expresa e informada del Titular XXXXXX XXXX XXXXXXX XXXXXXXXX. De esta manera, el Despacho no accederá a la pretensión de la recurrente.
3. LA SOCIEDAD RECURRENTE NO FUE SANCIONADA POR INCUMPLIR EL SEGUNDO CARGO FORMULADO EN LA RESOLUCIÓN Nº 56816 DEL 24 DE OCTUBRE DE 2019 Mediante Resolución Nº 56816 del 24 de octubre de 2019, la Dirección de Investigación de Protección de Datos Personales le formuló dos cargos a la sociedad recurrente. Lo anterior, en los siguientes términos: Al momento de analizar el segundo cargo formulado, la Dirección de Investigación de Protección de Datos Personales manifestó lo siguiente en la Resolución N°. 45328 del 22 de julio de 2021: HOJA Nº, 6 En ese hilo de ideas, en la citada resolución, la Dirección resolvió lo transcrito a continuación: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad OCUPAR TEMPORALES S.A. identificada con Nit. 800.106.404-0, de CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) unidades de valor tributario vigentes, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015”.
(Destacamos). Es decir, la sociedad recurrente no fue sancionada por incumplir el segundo cargo formulado en la Resolución Nº 56816 del 24 de octubre de 2019. Más aún, en la Resolución Número 70031 De 2021 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” se indicaron los siguientes motivos: - - Al realizar un análisis comparativo de las finalidades del tratamiento de los datos personales referidas por la sociedad investigada en la respuesta radicada ante esta Superintendencia el 17 de junio de 2019y en el escrito de descargos del 28 de noviembre de 2019, en relación con los hallazgos y conclusiones presentados en el informe técnico del 2 de junio de 2021, encuentra este Despacho que, existe concordancia entre las finalidades señaladas por la sociedad OCUPAR TEMPORALES S.A. en lo corrido de la presente investigación administrativa y lo advertido por esta Superintendencia a partir de análisis del código fuente del sistema iDTalento.
Estas finalidades se enmarcan en: (i) el proceso de reclutamiento y selección de personal, con miras a establecer eventualmente relaciones contractuales de tipo laboral; (ii) envío de información con fines publicitarios y de mercadeo y (iii) desarrollo de actividades administrativas y comerciales por parte de la compañía. El procedimiento mediante el cual la sociedad investigada afirma informarle al Titular de la información sobre la finalidad de la recolección y los derechos que le asisten, se ajustan a los preceptos fundamentales en materia de protección de datos personales.
HOJA Nº, 7 - La sociedad OCUPAR TEMPORALES S.A. le informó al señor XXXXXX XXXX XXXXXXX XXXXXXXXX: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) los derechos que les asisten y (iii) los datos de identificación y contacto del Responsable del Tratamiento”. De esta manera, este Despacho no se pronunciará frente a los argumentos esgrimidos por la sociedad recurrente en relación con el segundo cargo por considerar que la decisión de la Dirección se ajusta a derecho.
4. DE LAS PRUEBAS SOLICITADAS Mediante su escrito de apelación, la sociedad recurrente solicita las siguientes pruebas: “1. Solicitar como prueba, declaración del denunciante para que reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y formó el formato de autorización informada antes de consignar sus datos personales. 2.
Solicitar que se vincule al proceso a IDCorp, para que se realice la Inspección (sic) a la plataforma IDCORP SAS, para determinar que el candidato no puede continuar con el proceso si no acepta los términos y condiciones y la política de privacidad que se encuentran en la plataforma ID talento”. Al respecto, es importante mencionar que en la Resolución Nº 2816 del 31 de enero de 2020, la Dirección de Investigación de Protección de Datos Personales afirmó lo siguiente: De igual forma, la Dirección se pronunció sobre la vinculación de IDCORP S.A.S en los siguientes términos mediante Resolución N°. 45328 del 22 de julio de 2021: Por todo lo anterior, este Despacho no se pronunciará nuevamente al respecto dado que la Dirección adoptó una decisión conforme a derecho.
HOJA Nº, 8 5. PROPORCIONALIDAD Y RAZONABILIDAD EN LA SANCIÓN ADMINISTRATIVA Según la Corte Constitucional, “(…) es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”5. A lo largo de la presente actuación administrativa se logró demostrar que la sociedad vulneró los deberes establecidos en: • Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
Ahora, el artículo 23 de la Ley 1581 de 2012 establece las sanciones que puede importar esta Revisado el expediente y el contenido de la resolución recurrida, se encuentra entonces que de los criterios de graduación contenidos en el artículo 24 de la Ley Estatutaria 1581 de 2012, únicamente se tuvo en cuenta aquél que habla de la dimensión del daño o peligro a los intereses jurídicamente tutelados, pues efectivamente se encontró probado que la sociedad recurrente incumplió los deberes mencionados.
Sobre los otros criterios de graduación contenidos en el artículo 24 de la citada norma, la resolución recurrida afirma que: Este Despacho encuentra que el monto de la sanción en el citado acto administrativo es proporcional, en consideración a los hechos que le sirvieron de causa y la motivación del acto administrativo recurrido. No sobra señalar que la sanción aquí impuesta, tiene como objetivo que la investigada en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.
Finalmente, resulta pertinente resaltar lo siguiente: 1. La multa de $51.194.280 equivale al 3,76 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 2. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. 3. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados.
Corte Constitucional, sentencia C-818 del de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº, 9 4. Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales.
Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. 5. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una transgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”6. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia7. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
Aunque las razones anteriores son suficientes para confirmar la Resolución N°. 45328 del 22 de julio de 2021, esta Delegatura considera pertinente destacar lo siguiente respecto de la Responsabilidad Personal de los Administradores en el Tratamiento de Datos Personales.
6. DE LA RESPONSABILIDAD DE LOS TRATAMIENTO DE DATOS PERSONALES ADMINISTRADORES EN MATERIA DE El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí́ se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm cual se puede consultar en: HOJA Nº,10 El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.
Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora, según el artículo 22 de la ley 222 de 1995 8 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y, además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 9 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”10.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: • Las personas tienen derecho a, entre otras, “solicitar prueba de la autorización otorgada al Responsable del Tratamiento”11.
Los Responsables, por su parte, están obligados a cumplir, entre otras, el siguiente deber “solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada” 12. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Parte inicial del artículo 24 de la ley 222 de 1995. 11 Cfr. Literal b) del artículo 8 de la Ley 1581 de 2012 HOJA Nº,11 • La regulación es neutral porque no exige un mecanismo, proceso o tecnología específica para obtener la autorización del Titular del dato.
No obstante, al margen de la alternativa que utilice el Responsable para dicho propósito, debe estar en capacidad de demostrar que obtuvo una autorización previa, expresa e informada. • OCUPAR TERMPORALES S.A. no logró demostrar que contaba con la autorización de XXXXXX XXXX XXXXXXX XXXXXXXXX. • La creación de un usuario en una plataforma tecnológica no significa, per se, que él Titular de la información autorizó el Tratamiento de sus datos personales. • La multa de $51.194.280 equivale al 3,76 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • La sociedad recurrente no fue sancionada por incumplir el segundo cargo formulado en la Resolución Nº 56816 del 24 de octubre de 2019.
Por este motivo, el Despacho no se pronunció sobre los argumentos expuestos en contra de aquel cargo. • Esta autoridad ya se había pronunciado sobre las pruebas solicitadas por la recurrente en su escrito de apelación. Por tanto, este Despacho no se pronunció nuevamente sobre el tema. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución N°. 45328 del 22 de julio de 2021 En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución N°. 45328 del 22 de julio de 2021, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad OCUPAR TEMPORALES S.A. identificada con el Nit. 800.106.404-0 a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. COMUNICAR la presente decisión a XXXXXX XXXX XXXXXXX XXXXXXXXX identificado con la cédula de ciudadanía número x.xxx.xxx.xxx copia de esta resolución.
ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 24 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES NELSON Firmado digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.24 ANGARITA Fecha: 12:29:44 -05'00' NELSON REMOLINA ANGARITA ALC 12 Cfr. Literal b) del artículo 17 de la Ley 1581 de 2012 Notificación Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: OCUPAR TEMPORALES S.A. NIT. 800.106.404-0 ALEJANDRO NAVARRETE SILVA C.C. 94.410.818 financiera@ocupar.com.co Av. 8 No. 23 Norte 76 Cali, Valle del Cauca República de Colombia COMUNICACIÓN Titular: Identificación: Correo electrónico: Dirección: Ciudad: XXXXXX XXXX XXXXXXX XXXXXXXXX C.C. No. x.xxx.xxx.xxx xxxxxxxxxxxxxxxxxxx Xxxxx xxX XXX # x-xx, xxxx x Xxxxxx X.X. HOJA Nº,12