REPÚBLICA DE COLOMBIA (Abril 21 de 2021) Radicación No. 19-125765 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y, CONSIDERANDO:
PRIMERO: Que mediante oficio radicado con el número 19-125765 de fecha 5 de junio de 2019, el señor Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx, presentó ante esta Superintendencia queja contra la sociedad COOPERATIVA BELÉN, AHORRO Y CRÉDITO identificada con NIT. 890.909.246-7, y la sociedad COBROACTIVO S.A.S. identificada con NIT. 900.591.2228 por presunta vulneración a las normas de protección de datos personales contenidas en la Ley 1581 de 2012.
SEGUNDO: Que una vez efectuado el análisis de los documentos que obran en el expediente, la Dirección de Investigación de Protección de Datos Personales mediante Resolución No. 70712 del 6 de noviembre de 2020, frente a la sociedad COOPERATIVA BELÉN, AHORRO Y CRÉDITO, resolvió lo siguiente: RESOLUCIÓN NÚMERO 23194 DE 2021 TERCERO: Que mediante escrito del 2 de diciembre de 2020 la sociedad COOPERATIVA BELÉN, AHORRO Y CRÉDITO, a través de su apoderado, interpuso recurso de reposición y en subsidio el de apelación contra la Resolución No. 70712 del 6 de noviembre de 2020, solicitando se revoque parcialmente la decisión basada en los siguientes argumentos: “Dichas sanción (sic) y órdenes administrativas se sustentaron, básicamente, en que “[s]e comprobó que la sociedad COOPERATIVA BELEN, AHORRO Y CREDITO en su calidad de responsable del tratamiento infringió abiertamente las normas sobre protección de datos personales consagradas el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley, en tanto, se demostró de manera fehaciente que no fue contestado el reclamo presentado por el denunciante del 29 de enero de 2019, dentro del término establecido.” (Resaltado no original, p. 25).
Dentro de los criterios tenidos en cuenta para la imposición de la sancion(sic) a mi representada, se tuvo en cuenta “el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria”.
Asimismo, se indica en el acto impugnado que el “criterio de atenuación señalado en el literal f) del artículo citado [24 de la Ley 1581 de 2012] no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.” (p. 25, ordinal 10.1.2.). 3.- FUNDAMENTACIÓN JURÍDICA Y FÁCTICA DE LA IMPUGNACIÓN 1.- Con el acostumbrado respeto y acatamiento debo iniciar por reiterar lo expuesto desde el escrito de descargos, en el sentido de que, si bien es cierto que el aquí quejoso formuló un reclamo que fue enviado, en cuanto a mi representada, al correo protecciondedatos@cobelen.com, el día 29 de enero de 2019, no menos cierto es que - según se demostró a lo largo de esta actuación administrativa- aún teniendo la cooperativa otros canales de comunicación (p. ej., la cuenta de correo electrónico servicioalasociado@cobelen.com, dada a conocer al público mediante el portal web www.cobelen.com, la solicitud sólo fue remitida al primero de los correos mencionados y a tres cuentas de correo de la firma COBROACTIVO, que era la casa de cobro que había recibido de la cooperativa toda la documentación pertinente para gestionar el cobro de la obligación pendiente del señor Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx. 2.- También conviene insistir en que la entidad que represento reconoció claramente que, en cuanto a la cuenta de correo electrónico protecciondedatos@cobelen.com, infortunadamente, por una falla humana que la alta dirección de la cooperativa sólo vino a detectar con ocasión de la presente actuación, dicha cuenta llevaba varios años desadministrada Por eso se dio inicio de inmediato a la actuación administrativa tendiente a identificar a las personas responsables, para tomar los correctivos del caso.
Esa circunstancia permitió explicar el por qué la Cooperativa NO TUVO CONOCIMIENTO DEL DERECHO DE PETICIÓN DEL SEÑOR XXXXXXXXX XXXXXXXX para la fecha en que el mismo fue presentado y, por ende, era imposible que la entidad diera oportuna respuesta a la referida petición. Luego, si bien es cierto que la respuesta al peticionario fue tardía, pues sólo vino a remitírsele cuando, ya en el curso de esta investigación administrativa, se tuvo conocimiento de la petición, no pueden soslayarse las circunstancias anotadas, el momento de evaluar el grado de culpabilidad de la entidad que represento. 3.- En el anterior orden de ideas, si la COOPERATIVA BELÉN AHORRO Y CRÉDITO – COBELÉN, desconocía la existencia de la petición aludida, tanto por encontrarse desadministrada la cuenta de correo a la que el ciudadano remitió su solicitud dirigida a la cooperativa; como por la falta de diligencia de la sociedad COBROACTIVO S.A.S. para satisfacer el pedido del señor XXXXXXXXX XXXXXXXX, la sanción pecuniaria que se le está RESOLUCIÓN NÚMERO 23194 DE 2021 imponiendo, por una situación OBJETIVA, no se compadecería con el mandato constitucional previsto en el artículo 29 de la Carta Política, en cuanto proscribe toda forma de responsabilidad objetiva.
En efecto, conforme al citado mandato constitucional, en nuestro ordenamiento jurídico no puede haber responsabilidad sin culpa. Dice en el mencionado artículo: “ Toda persona se pre- sume inocente mientras no se la haya declarado judicialmente culpable ”. Es decir, está prohibida o proscrita toda forma de responsabilidad objetiva, de tal manera que las faltas sólo son sancionables, a título de dolo o culpa. 4.- Para el caso que nos ocupa, tal como lo hemos venido sosteniendo desde el escrito de descargos, por las circunstancias ya anotadas al responder a los hechos que sustentan la formulación del cargo, si bien objetivamente hubo una tardía respuesta a la petición mencionada por el señor Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx, atinente a su solicitud de copia de la autorización otorgada para el manejo y entrega de su información personal a la casa de cobro COBROACTIVO S.A.S., ello no obedeció a ni a una deliberada omisión de la COOPERATIVA BELÉN AHORRO Y CRÉDITO – COBELÉN, ni siquiera a una conducta negligente del gerente o de cualquiera otro empleado de la entidad, sino a la circunstancia de que la COOPERATIVA BELÉN AHORRO Y CRÉDITO no recibió la aludida petición; es decir, desconocía de la existencia de tal pedimento del Titular, señor XXXXXXXXX XXXXXXXX y, por esa razón, sólo vino a generar la respuesta y remitírsela al peticionario, cuando realmente tuvo conocimiento del correo electrónico enviado por éste a una cuenta que -como se dijo antes- por razones que son materia de investigación interna, se encontraba desadministrada.
Ningún empleado actual de la Cooperativa tuvo acceso a la cuenta de correo electrónico protecciondedatos@cobelen.com y, por ende, al no tener conocimiento de la petición, resultaba imposible atenderla. 5.- Por otra parte, en cuanto a la sanción pecuniaria impuesta, es importante resaltar que, conforme se indica en la resolución impugnada, si la sanción “tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros” (p. 23), resultaría desproporcionada la sanción que se le está imponiendo a mi representada por la sola circunstancia objetiva de haber dado tardía respuesta al peticionario de habeas data, sin valorar subjetivamente la conducta de la entidad, es decir, sin un análisis sobre la justificación dada por la entidad para no haber dado oportuna respuesta, pues si desconocía la aludida petición, era imposible que le diera oportuna respuesta. 6.- Ahora bien, en cuanto atañe a los criterios tenidos en cuenta para la graduación de la sanción, se indica que el “criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones” (p. 25, apartado 10.1.2.), no puede soslayarse el hecho de que, desde el escrito de descargos, la entidad sí reconoció la comisión objetiva de la conducta, pues no sólo señaló que dio tardía respuesta al paticionario(sic); pero explicó que ello obedecía al desconocimiento que se tenía de la referida petición, la cuál sólo vino a conocerse en la entidad después de la notificación del inicio de esta actuación administrativa.
En las explicaciones rendidas, adicionalmente, se indicaron las acciones emprendidas por la COOPERATIVA BELÉN AHORRO Y CRÉDITO para que hechos como éste no se vuelvan a presentar. 7.- Finalmente, en punto a la dosificación de la sanción pecuniaria, no puede dejarse de lado el hecho de que, para el efecto, la Superintendencia requirió a la entidad para que presentara los estados financieros de COBELÉN correspondientes a los años 2017, 2018 y 2019, teniendo en en cuenta que para la dosificación de la sanción, se considera, entre otros, “el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria”.
Pues bien, es un hecho notorio que, por causa de la pandemia del COVID19 y las decisiones adoptadas por el Gobierno Nacional para afrontarla, el año 2020 ha sido particularmente difìcil para amplios sectores de la economía. COBELÉN no ha sido la excepción y, para el presente año, sus ingresos operacionales se han visto disminuidos significativamente.
En este contexto, aplicar la dosificación de la sanción con sustento en la información financiera de los años 2017, 2018 y 2019, desconocería una realidad insoslayable, que es la precaria situación financiera de la COOPERATIVA para la presente vigencia. Adicionalmente, no puede perderse de vista que, por tratarse de una entidad sin ánimo de lucro, el impacto de la sanción pecuniaria como la RESOLUCIÓN NÚMERO 23194 DE 2021 impuesta en la resolución impugnada, frente a una situación objetiva, podría resultar no sólo desproporcionada sino que, adicionalmente, afectaría directamente al conjunto de asociados de la Cooperativa y a las comunidades a quienes benefician las actividades sociales de la misma.” Como consecuencia solicita lo siguiente: “PRINCIPAL: REVOCAR PARCIALMENTE la resolución impugnada para ABSOLVER a la COOPERATIVA BELÉN AHORRO Y CRÉDITO -COBELÉN, del cargo único que se le formulara, atendiendo a que, si bien objetivamente se presentó la tardía respuesta a la petición formulada por el señor Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx, existió una circunstancia eximente de responsabilidad subjetiva.
Consecuentemente, disponer el archivo de las diligencias, en cuanto respecta a mi representada. SUBSIDIARIA: De no accederse a la petición anterior, de manera subsidiaria solicito se REVOQUE o DISMINUYA la sanción pecuniaria impuesta, teniendo en cuenta las circunstancias ya anotadas, particularmente, las atinentes a la real situación financiera de la COOPERATIVA para el año 2020.”
CUARTO: Que mediante Resolución No. 8363 del 25 de febrero de 2021 la Dirección de Investigación para la Protección de Datos Personales, resolvió el recurso de reposición interpuesto por la COOPERATIVA BELÉN, AHORRO Y CRÉDITO, confirmando en todas sus partes la Resolución No. 70712 del 6 de noviembre de 2020 y concediendo el recurso de apelación interpuesto de manera subsidiaria.
QUINTO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver el recurso de apelación interpuesto por la sociedad COOPERATIVA BELÉN, AHORRO Y CRÉDITO, a través de su apoderado, contra la Resolución No. 70712 del 6 de noviembre de 2020 y con base en lo expuesto por la sociedad, se harán las siguientes: CONSIDERACIONES DEL DESPACHO
1. COMPETENCIA DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.
(…)”
2. DEL DEBER DE RESOLVER LAS PETICIONES FORMULADAS POR EL TITULAR DEL DATO PERSONAL Y DE LA OBLIGACIÓN DE ADOPTAR MEDIDAS EFECTIVAS PARA DICHO EFECTO. El artículo 17 literal j) de la Ley Estatutaria 1581 de 2012, dispone lo siguiente: 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.
RESOLUCIÓN NÚMERO 23194 DE 2021 “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley”.
(Negrilla fuera de texto) (…) En desarrollo de lo anterior, el artículo 15 regula el procedimiento que debe seguirse respecto de los reclamos, así: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término”. La Corte Constitucional en sentencia T-814 de 2005 precisó que el derecho de petición “conlleva la posibilidad de que las personas puedan dirigirse a las autoridades públicas u organizaciones privadas, en interés particular o general con el fin de presentar solicitudes respetuosas y esperar una respuesta clara y precisa del asunto presentado a su consideración en el término legalmente establecido.
En virtud de lo anterior, la esencia del derecho de petición comprende algunos elementos: (i) pronta resolución, (ii) respuesta de fondo, (iii) notificación de la respuesta al interesado”. (negrilla fuera de texto). En la misma línea, la sentencia T-129 de 2010, señaló que “(l)a relación de los derechos al buen nombre y hábeas data con el derecho fundamental de petición resulta inescindible en la medida que este último se transforma en el mecanismo idóneo para la materialización de los dos primeros”.
En consecuencia, la materialización de los derechos al buen nombre y hábeas data, mediante el ejercicio del derecho de petición, implica que se dé una respuesta RESOLUCIÓN NÚMERO 23194 DE 2021 de fondo y oportuna de acuerdo con los términos señalados en la ley y sea notificada al interesado2. Por su parte, mediante Sentencia C – 748 del 6 de octubre de 2011, la Corte estableció, entre otras, lo siguiente respecto del artículo: “(…) En este orden de ideas, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data.
Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.
(…) En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.
(Negrilla fuera de texto) Por lo tanto, no responder de manera respetuosa, completa y de fondo, dentro del término legal establecido, un reclamo hecho por un titular de información, no sólo es un incumplimiento del deber legal establecido en el literal j) del artículo 17 de la Ley Estatutaria 1581 de 2012, sino que vulnera el derecho fundamental de hábeas data, impidiendo que el Titular del dato conozca, actualice o rectifique la información que sobre él se tenga en una base de datos o archivo.
En el presente caso, la COOPERATIVA BELÉN, AHORRO Y CRÉDITO reconoce lo siguiente3: 2 Cfr. Corte Constitucional, Sentencia T-350 de 2006. M.P. Jaime Cordoba Triviño. “La jurisprudencia constitucional de esta Corporación ha señalado que el núcleo esencial del derecho de petición comprende los siguientes elementos o características: (i) la posibilidad cierta y efectiva de presentar, de manera respetuosa, solicitudes ante las autoridades, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas;
(ii) la facultad de obtener una respuesta oportuna, esto es, dentro de los términos previstos en el ordenamiento jurídico; (iii) el derecho a recibir una respuesta de fondo o contestación material, lo que supone que la autoridad analice la materia propia de la solicitud y se pronuncie sobre la totalidad de los asuntos planteados, es decir, la correspondencia entre la petición y la respuesta, excluyendo fórmulas evasivas o elusivas y;
(iv) la pronta comunicación al peticionario sobre la determinación adoptada, con independencia de que su contenido sea favorable o desfavorable. Si no se cumple con estos requisitos se incurre en una vulneración del derecho fundamental de petición”. 3Radicado 19-125765, Consecutivo 17-2. RESOLUCIÓN NÚMERO 23194 DE 2021 Como se observa, la COOPERATIVA BELÉN, AHORRO Y CRÉDITO admite que es correcta la dirección de correo electrónico a la cual le enviaron una petición. Adicionalmente, la misma estaba señalada en la Política de Tratamiento y Protección de Datos Personales de la sociedad.
Menciona la recurrente que debido a una falla humana esa cuenta estaba “desadministrada”, razón por la cual respondió extemporáneamente. En el expediente obra copia de la petición presentada por el quejoso ante la COOPERATIVA BELÉN, AHORRO Y CRÉDITO, sobre la cual sólo obtuvo respuesta 10 meses después, cuando esta Superintendencia había intervenido, razón por la cual y de acuerdo con las anteriores precisiones al existir una vulneración al derecho de habeas data del titular de información, la sanción impuesta por parte de la Dirección de Investigación de Protección de Datos Personales, se encuentra ajustada a derecho.
Varias son las razones por las cuales no es admisible la excusa del recurrente para justificar su mora en responder la petición: En primer lugar, “los responsables del tratamiento de datos personales deben ser capaces de demostrar,(…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 “4.
Informar una dirección de correo electrónico para que las personas ejerzan sus derechos y no ser diligente en verificar la utilidad de la misma, ni monitorear su correcto funcionamiento para responder a los Titulares es, precisamente, un ejemplo de todo lo contrario de lo que exige la norma transcrita. Esa medida no fue efectiva porque no sirvió para el propósito que se creó. Tampoco fue útil porque no tuvo la capacidad de lograr el efecto que se desea o se espera.
Que en este caso, era habilitar una dirección de correo electrónico para recibir y responder las peticiones de los Titulares de los Datos Personales. En segundo lugar, y en línea con lo anterior, las políticas internas de las empresas deben ser efectivas. Por eso, nuestra regulación ordena que los Responsables del Tratamiento deben adoptar mecanismos internos “para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación”5.Es insuficiente redactar una política de tratamiento de información si no se cumple lo que allí se dice.
No debe olvidarse que la regulación sobre tratamiento de datos busca que se garantice una protección real y efectiva de los derechos de las personas y no un protección formal o simbólica. En tercer lugar, la negligencia del Responsable del Tratamiento no puede convertirse en justificación para vulnerar los derechos de los Titulares de los Datos personales.
Finalmente, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores de una sociedad deben “obrar de buena fe, con lealtad y con la diligencia Cfr. Artículo 26 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) Cfr. Numeral 2 del artículo 27 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) RESOLUCIÓN NÚMERO 23194 DE 2021 de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) Como se observa, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla en la práctica.
En suma, no basta informar a los titulares que pueden presentar consultas o reclamos a través de una dirección de correo electrónico sino que es indispensable que el Responsable sea diligente en responder oportunamente y de fondo todas las peticiones que se presente mediante ese canal de comunicación. La regulación sobre tratamiento de datos personales exige que sean efectivas las medidas que adopten los Responsables para cumplir lo que ordena la Ley Estatutaria 1581 de 2012 y sus norma reglamentarias.
En virtud de lo anterior, este Despacho procederá a confirmar la decisión contenida en la Resolución No. 70712 del 6 de noviembre de 2020.
3. DE LA GRADUACIÓN Y PROPORCIONALIDAD DE LA SANCIÓN. El artículo 236 de la Ley Estatutaria 1581 de 2012 determina las sanciones que puede imponer esta Superintendencia a los Responsables y Encargados del Tratamiento. Revisado el expediente y el contenido de la resolución recurrida, se encuentra entonces que de los criterios de graduación contenidos en el artículo 24 de la Ley Estatutaria 1581 de 2012, únicamente se tuvo en cuenta aquél que habla de la dimensión del daño o peligro a los intereses jurídicamente tutelados, pues efectivamente se encontró probado que la COOPERATIVA BELÉN, AHORRO Y CRÉDITO, incumplió el deber legal contenido en el literal j) del artículo 17 en concordancia con el artículo 15 de la citada ley.
Respecto del criterio de atenuación establecido en el literal f) del artículo 247 su aplicación fue descartada en la medida que la investigada a lo largo de la actuación no reconoció o aceptó expresamente la comisión de la infracción antes de la imposición de la sanción. En los descargos8 presentados el 31 de diciembre de 2019 manifiesta lo siguiente: 6 “Artículo 23.
Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 7 “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 8 Radicado 19-125765, Consecutivo 17-2.
RESOLUCIÓN NÚMERO 23194 DE 2021 Posteriormente en comunicación presentada el 27 de agosto de 20209 expone: Como allí se observa, tanto en los descargos como en los alegatos, la sociedad recurrente argumentó la ausencia de responsabilidad en los hechos que dieron origen a la resolución objeto de revisión en apelación, justificando el motivo por el cual no se dio respuesta al titular dentro del término establecido.
Pero no reconoció explícito el incumplimiento del deber señalado en el literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012. Se resalta que el literal f) del artículo 24 de la Ley 1581 establece que para su aplicación el reconocimiento o aceptación que haga el investigado sobre la comisión de la infracción debe ser expreso y debe realizarse antes de la imposición de la sanción a que hubiere lugar. 9 Radicado 19-125765, Consecutivo 43-2.
RESOLUCIÓN NÚMERO 23194 DE 2021 Ahora, frente a los argumentos referentes a la situación económica como consecuencia de la pandemia de COVID-19, esta Delegatura coincide con lo expuesto en la Resolución 8363 del 25 de febrero de 2021 y concuerda con que la proporcionalidad de la sanción se mantiene pues no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad COOPERATIVA BELÉN, AHORRO Y CRÉDITO no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución 70712 del 6 de noviembre de 2020.
Así las cosas, se encuentra que el monto de la sanción en el citado acto administrativo, es proporcional, en consideración a los hechos que le sirvieron de causa y la motivación del acto administrativo recurrido. No sobra señalar que la sanción aquí impuesta, tiene como objetivo que COOPERATIVA BELÉN, AHORRO Y CRÉDITO en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.
Finalmente, resulta pertinente resaltar lo siguiente: I. La multa impuesta ($11´607.882) equivale al 0,66% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). II. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados.
IV. Las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos.
V. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
RESOLUCIÓN NÚMERO 23194 DE 2021 Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”10. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia11. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta se ajusta a derecho y obedece a las particularidades propias de esta actuación administrativa.
Aunque las razones anteriores son suficientes para confirmar la Resolución 70712 del 6 de noviembre de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de (i) Responsabilidad Demostrada (Accountability) y Compliance en el Tratamiento de Datos Personales, y (ii) Responsabilidad Personal de los Administradores.
4. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”12.
Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos.
En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2613 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de 10 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 12 Cfr. Corte Constitucional, sentencia T-227 de 2003 13 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos RESOLUCIÓN NÚMERO 23194 DE 2021 Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengas como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (accountability)”14. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012: 1. Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza15 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los Responsables del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 15 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que involucran procesos y procedimientos.
RESOLUCIÓN NÚMERO 23194 DE 2021 En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que “la autorregulación sólo redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”16 (Destacamos) El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.
Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información de manera que por iniciativa propia adopten medidas estratégicas capaces de garantizar los derechos de los titulares de los datos personales y su gestión siempre sea respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los anteriores aspectos mencionados en la guía17, ponemos de presente que el principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que éste hace referencia al “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”18.
También se ha afirmado que “compliance es un término que hace referencia a la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”19. Adicionalmente se precisa que “ya no vale solo intentar cumplir” la ley sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance” 20. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”21 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que 16 Cfr. Red Iberoamericana de Protección de Datos.
Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 18 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018) Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III).
Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hablecorrectamente-de-compliance-iii/ 20 Idem 21 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”. Págs 16-18 RESOLUCIÓN NÚMERO 23194 DE 2021 puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”22.
5. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora, según el artículo 22 de la ley 222 de 199523 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.
Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben 22 Ibid. P 16 23 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 23194 DE 2021 “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos) En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 2424 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”25.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de todo lo anterior se exhortará al Representante Legal de la COOPERATIVA BELÉN, AHORRO Y CRÉDITO para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: a) Respetar y garantizar los derechos de los titulares de los datos. b) Evitar que se repitan hechos como los que dieron origen a la presente investigación. c) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. d) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la 24 El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 25 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 RESOLUCIÓN NÚMERO 23194 DE 2021 del principio de responsabilidad demostrada (accountability)”26.
Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para responder las consultas y reclamos de los titulares de los datos. e) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas. 6. CONCLUSIONES: Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente, por, entre otras, las siguientes razones: 1.
Se confirmó que la COOPERATIVA BELÉN, AHORRO Y CRÉDITO infringió las normas sobre protección de datos personales consagradas en el artículo 17 literal j) en concordancia con el artículo 15 de la Ley 1581 de 2012, pues respondió extemporáneamente la petición del Titular del dato, es decir 10 meses después de su recepción y con ocasión de un requerimiento de esta Superintendencia. 2.
La multa impuesta mediante la Resolución 70712 del 6 de noviembre de 2020 ($11´607.882) equivale al 0,66% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 3. No hay lugar a aplicación del literal f) del artículo 24 de la Ley 1581 pues el reconocimiento o aceptación que haga el investigado sobre la comisión de la infracción debe ser expreso y previo al momento de imposición de la sanción. 4.
“Los responsables del tratamiento de datos personales deben ser capaces de demostrar,(…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 “27. Informar una dirección de correo electrónico para que las personas ejerzan sus derechos y no ser diligente en verificar la utilidad de la misma, ni monitorear su correcto funcionamiento para responder a los Titulares es, precisamente, un ejemplo de todo lo contrario de lo que exige la norma transcrita. 5.
Esa medida no fue efectiva porque no sirvió para el propósito que se creó. Tampoco fue útil porque no tuvo la capacidad de lograr el efecto que se desea o se espera. Que en este caso, era habilitar una dirección de correo electrónico para recibir y responder las peticiones de los Titulares de los Datos Personales. 6. Es insuficiente redactar una política de tratamiento de información si no se cumple lo que allí se dice.
No debe olvidarse que la regulación sobre tratamiento de datos busca que se garantice una protección real y efectiva de los derechos de las personas y no una protección formal o simbólica. En razón de lo expuesto, este Despacho procederá a confirmar lo dispuesto en la Resolución No. 70712 del 6 de noviembre de 2020.
SEXTO: Que analizada la cuestión planteada, y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este El texto de Accountability.pdf la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- Cfr. Artículo 26 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) RESOLUCIÓN NÚMERO 23194 DE 2021 Despacho confirmará la decisión contenida en la Resolución No. 70712 del 6 de noviembre de 2020.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Confirmar en todas sus partes la Resolución No. 70712 del 6 de noviembre de 2020, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a COOPERATIVA BELÉN, AHORRO Y CRÉDITO, identificada con el NIT. 890.909.246-7, a través de su representante legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO: Comunicar la presente decisión al señor Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx, identificado con la cédula de ciudadanía xx.xxx.xxx.
ARTÍCULO CUARTO: Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., abril 21 de 2021 El Superintendente Delegado para la Protección de Datos Personales digitalmente NELSON Firmado por NELSON ANGARITA REMOLINA REMOLINA Fecha: 2021.04.21 ANGARITA 14:49:51 -05'00' NELSON REMOLINA ANGARITA MPM RESOLUCIÓN NÚMERO 23194 DE 2021 NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: COOPERATIVA BELÉN, AHORRO Y CRÉDITO Nit. 890.909.246 - 7 Luz Elena Sierra Monsalve CC. 43.361.208 Calle 30 a No. 77 -60 Medellín - Antioquia gestiondocumental@cobelen.com tatiana.romero@cobelen.com Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: Xxxxxx Xx Xxxxx Xxxxxxx Xxxxxxxx CC. xx.xxx.xxx Xxxxx xx Nºxx-xxx, Xxxxxxx Xxxxxx Xxxxxxxxxx, Xxxxxxx xxxx Xxxxxxxx - Xxxxxxxxx x.xxxxxx.x@xxxxxxxxxxxxxx.xxx COMUNICACIÓN: Nombre: Identificación: Correo electrónico: Xxxxx Xxxxxxx Xxxxxxxxx Xxxxxxxx C.C. No. xx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxx@xxxxx.xxx