Sanción 36236 de 2024 — SIC

(08 de julio de 2024) “Por la cual se impone una sanción” VERSIÓN ÚNICA Radicación 21-95670 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la Dirección de Investigación de Protección de Datos Personales en virtud de la función de vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen de Protección de Datos Personales otorgada por el artículo 19 de la Ley 1581 de 2012, y conforme a la función de administración del Registro Nacional Público de Bases de Datos – en adelante RNBD- consagrada en el literal h) del artículo 21 ibidem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, advirtió que la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., con Nit. 890.319.797-1, llevó a cabo el Registro Nacional de Base de Datos según lo establecido por el artículo 25 de la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015.

No obstante, la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. reconoció durante el proceso de registro de sus bases de datos, que no ha adoptado ninguna medida de seguridad para proteger los datos personales de los Titulares, ya que frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” respondió que NO había implementado ninguna de las medidas requeridas en el formulario del RNBD en 11 de las bases de datos inscritas.

SEGUNDO: Que mediante Resolución N.° 15939 del 23 de marzo de 2021, expedida por esta Dirección a través del Grupo de Investigación de Protección de Datos Personales, se ordenó con carácter preventivo, lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.” 1 Resolución N.° 15939 del 23 de marzo de 2021. Folio 3. “Por la cual se impone una sanción”

TERCERO: Que, la investigada tenía la obligación de acreditar el cumplimiento de las órdenes impartidas por la Resolución N.° 15939 del 23 de marzo de 2021, remitiendo a esta Superintendencia una certificación suscrita por el representante legal de la COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., que acreditara que se habían implementado las medidas ordenadas como se indicó en el artículo segundo así: “ARTÍCULO SEGUNDO: La sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas.” 2 CUARTO: Que la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., con Nit. 890.319.797-1, fue notificada de la Resolución N.° 15939 del 23 de marzo de 2021, mediante aviso número 5549 el 7 de abril de 2021, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia.

QUINTO: Que, vencido el término establecido en el artículo segundo de la Resolución N.° 15939 del 23 de marzo de 2021, la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., con Nit. 890.319.797-1 no acreditó el cumplimiento de las órdenes impartidas ante este Despacho.

SEXTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 3 de octubre de 2022 se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 68537 por medio de la cual, se formuló cargos en contra de la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., con Nit. 890.319.797-1, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 de la misma norma.

SÉPTIMO: Que, la Resolución N.° 68537 de 3 de octubre de 2022 le fue notificada mediante aviso N.º 26591 el día 13 de octubre de 2022; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 21-95670- -13 de fecha 18 de octubre de 2022.

OCTAVO: Que transcurrido el término de quince (15) días hábiles concedido en la Resolución Nº. 68537 de 3 de octubre de 2022, la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. presentó escrito de descargos bajo los radicados números 21-95670- -14, 21-95670- -15, 21-95670- -16 y 21-95670-17 de fecha de 2 de noviembre de 2022, el 21-95670- -18 de fecha de 3 de noviembre de 2022, el 21-95670- -19, 21-95670- -20 y 21-95670- -21 de fecha de 10 de noviembre de 2022, y el 21-95670- -22 de fecha de 16 de noviembre de 2022.

En su escrito de descargos RECICLADORA S.A.S.: la sociedad COMPAÑÍA COLOMBIANA 1. Aceptó que “no se aportó la certificación suscrita por el Representante Legal que indicaba el parágrafo primero del artículo segundo”3 de la Resolución N°. 15939 del 23 de marzo de 2021, y que “La falta de atención al requerimiento contenido en la Resolución número 15939 del 23 de marzo de 2021 y respuesta negativa al cuestionario del acápite denominado “Seguridad de la Información” contenido en el Registro Resolución N.° 15939 del 23 de marzo de 2021.

Folio 3. Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 3. “Por la cual se impone una sanción” Nacional de Base de Datos, se presentó por errores humanos de colaboradores que hacían parte de la entidad” 4. 2. Sin embargo, la sociedad manifestó que “lo anterior no puede ser determinante para concluir que Colrecicladora es una sociedad no cumplidora de sus obligaciones y cargas legales, (…) esta sociedad cuenta con políticas y parámetros robustos y claros tendientes a lograr la documentación, implementación y monitoreo de una política de seguridad de la información que contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”5. 3.

De esta forma, la sociedad solicitó a esta Dirección “a no solo tener en consideración lo documentado, tanto en el Registro Nacional de Base de Datos, como el hecho de no haber atendido el requerimiento en el marco de la Resolución 15939 del 23 de marzo de 2021, si no a darle prioridad a los documentos adjuntos como pruebas que dejan en evidencia el desarrollo e implementación de nuestra política de seguridad de la información” 6 4.

Por último, la sociedad aseguró que actualizó las respuestas de las preguntas de “Seguridad de la Información” de las bases de datos registradas en el Registro Nacional de Bases de Datos, en aras de confirmar que sí se han implementado políticas y lineamientos relacionados con la Seguridad de la Información7, y allegó una certificación suscrita por el Representante Legal8 tendiente acreditar el cumplimiento de lo ordenado en la Resolución N.° 15939 del 23 de marzo de 2021.

NOVENO: Que mediante Resolución N.º 85284 de 30 de noviembre de 2022, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 9.1.

Comunicaciones con radicados números 21-95670-14,15,16 y 17 del 02 de noviembre de 2022, 21-95670-18 del 03 de noviembre de 2022 y 2195670-19, 20 y 21 del 10 de noviembre de 2022, a través del cual el Representante Legal de la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., presento escrito de Descargos, junto con los siguientes medios de prueba: 9.1.1.

Certificado de existencia y representación legal colrecicladora9. 9.1.2. Correo mediante el cual se notifica por aviso10. 9.1.3. Copia de los estados financieros específicamente, el balance general y estado de pérdidas y ganancias de los últimos tres (3) años.11 9.1.4. Certificación suscrita por el representante legal tendiente acreditar que colrecicladora ha documentado, implementado y monitoreado una política de seguridad de la información robusta.12 9.1.5.

Constancia de actualización de base de datos relacionado con seguridad de la información. 13 Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 4. Expediente digital 21-95670. Consecutivo número 18. Página 3. Folios 3 a 4. Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 4. Expediente digital 21-95670.

Consecutivo número 18. Página 3. Folio 4. Expediente digital 21-95670. Consecutivo número 18. Página 8. Expediente digital 21-95670. Consecutivo número 18. Página 4. Expediente digital 21-95670. Consecutivo número18. Página 10. Expediente digital 21-95670. Consecutivo número 18. Páginas 5, 6 y 7. Expediente digital 21-95670. Consecutivo número 18.

Página 8. Expediente digital 21-95670. Consecutivo número 18. Página 9. “Por la cual se impone una sanción” 9.1.6. Marco de políticas y procedimientos de seguridad de la información sk.pdf.14 9.1.7. Procedimiento para el acceso a los recursos informáticos – nacl15 9.1.8. Declaración de confidencialidad terceros y/o departamento de información y tecnología16 9.1.9.

Procedimiento de monitoreo de logs de sistemas - itlm17 9.1.10. Procedimiento de respaldo y restauración de servidores windows y aix - bupr18 9.1.11. Procedimiento para el acceso remoto a la red de la compañía - rmac19 9.1.12. Procedimiento para el manejo de cambios - chpl20 9.1.13. Procedimiento para la destrucción de información21 9.1.14.

Procedimiento para notificar incidentes de seguridad de información risb22 9.1.15. Dbsp 6.0 database security policy.pdf23 DÉCIMO: Que, la Resolución N.º 85284 de 30 de noviembre de 2022 le fue comunicada el día 1 de diciembre de 2022 al Representante Legal de la sociedad investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 21-95670- -26 de fecha de 6 de diciembre del 2022.

DÉCIMO PRIMERO: Que, la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. presentó alegatos de conclusión bajo radicados números 21-95670- -27, 21-95670- -28, de fecha de 14 y 16 de diciembre de 2022 reiterando lo manifestado en el escrito de descargos y aportando el siguiente cuadro: “1.1. Frente a la existencia de una política de seguridad de la información y su debía implementación y monitoreo, contentiva de medias técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales de la Compañía. Con la finalidad de sustentar la afirmación antes indicada se incluye la siguiente tabla que deja en evidencia (i) el bien jurídico tutelado por el ordenamiento jurídico en relación con la obligación de implementación y monitoreo de una política de seguridad de la información de datos personales y (ii) el documento o procedimiento adoptado por Colrecicladora tendiente a observar la mencionada obligación: Bien Jurídico Tutelado Ordenamiento Jurídico por el Documento o Política implementada y monitoreada por la Compañía. Marco de políticas y procedimientos de seguridad de la información SK.pdf.

Política de Datos Personales. Seguridad Personal de la Información Procedimiento para el Acceso a los Recursos Informáticos NACL. PDF Declaración de confidencialidad terceros y/o departamento de información y tecnologia.docx Procedimiento de Monitoreo de los Logs Sistema de Gestión de Seguridad de Sistemas - ITLM.pdf de la Información Marco de políticas y procedimientos de seguridad de la información SK.pdf Expediente digital 21-95670.

Consecutivo número 18. Página 11. Expediente digital 21-95670. Consecutivo número 18. Página 14. Expediente digital 21-95670. Consecutivo número 18. Página 15. Expediente digital 21-95670. Consecutivo número 18. Página 17. Expediente digital 21-95670. Consecutivo número 18. Página 18. Expediente digital 21-95670. Consecutivo número 18. Página 19.

Expediente digital 21-95670. Consecutivo número 18. Página 20. Expediente digital 21-95670. Consecutivo número 18. Página 23. Expediente digital 21-95670. Consecutivo número 18. Página 24. Expediente digital 21-95670. Consecutivo número 18. Página 25. “Por la cual se impone una sanción” Seguridad de la Información Procedimiento para el Acceso a los Personal en Torno al Recurso Recursos Humano Informáticos NACL.

PDF Procedimiento para el Acceso a los Recursos Informáticos NACL. PDF. Procedimiento de Respaldo y Control de Acceso a la Información Restauración de Servidores WINDOWS Personal Y AIX – B Procedimiento para el Acceso Remoto a la red de la Compañía - RMAC.pdf Seguridad en los Sistemas Información Personal de Procedimiento para el Acceso Remoto a la red de la Compañía - RMAC.pdf Procedimiento para el Acceso a los Recursos Informáticos NACL.

PDF Procesamiento Personal de Procedimiento para Información Cambios - CHPL.pdf el Manejo de Marco de políticas y procedimientos de seguridad de la información SK.pdf. Procedimiento para la Destrucción de la Información. Procedimiento de Monitoreo de los Logs Gestión de Incidente de Seguridad de Sistemas - ITLM. de la Información Personal Procedimiento para notificar incidentes Auditoria de Seguridad Información Personal de Procedimiento de Monitoreo de los Logs la de Sistemas - ITLM.pdf DBSP 6.0 Database Security Policy.pd”24 DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO TERCERO: Análisis del caso 13.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201125, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: Expediente digital 21-95670. Consecutivo número 27. Página 3. Folios 2 a 3. Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente así como lo argumentado por la sociedad en sus escritos de descargos y de alegatos de conclusión. 13.2 Valoración probatoria y conclusiones 13.2.1.

Respecto del deber de cumplir las instrucciones requerimientos que imparta la Superintendencia de Industria Comercio y y Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el caso objeto de estudio, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N.° 15939 del 23 de marzo de 2021 impartió a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., con NIT 890.319.797-1, las siguientes órdenes administrativas: “ARTÍCULO PRIMERO: ORDENAR a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles. “Por la cual se impone una sanción”

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.

ARTÍCULO SEGUNDO: La sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Advertir que el incumplimiento de la presente orden dar lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias.” 26 La Resolución N.° 15939 del 23 de marzo de 2021 fue notificada a la investigada mediante aviso N.° 5549 el 7 de abril de 2021, según consta en la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia, radicada bajo número 21-95670- -6 de fecha de 8 de abril de 2021.

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 21 de abril del 2021, de modo que la Resolución en cuestión quedó en firme a partir del 22 de abril del 2021. Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a la ejecutoria del acto administrativo para dar cumplimiento a las órdenes impartidas, el plazo para dar cumplimiento vencía el 22 de octubre de 2021.

No obstante, toda vez que la investigada guardó silencio y no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N.º 15939 del 23 de marzo de 2021 dentro del término legal, esta Dirección mediante Resolución N.º 68537 de 3 de octubre de 2022 decidió iniciar la presente actuación administrativa por cuanto evidenció que la sociedad presuntamente trasgredió el deber de cumplir con las instrucciones que imparta la autoridad de control, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 de la norma en mención. Al respecto, la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. presentó escrito de descargos en el cual aceptó que “no se aportó la certificación suscrita por el Representante Legal que indicaba el parágrafo primero del artículo segundo”27 de la Resolución N.° 15939 del 23 de marzo de 2021.

Adicionalmente, la sociedad reconoció que “La falta de atención al requerimiento contenido en la Resolución número 15939 del 23 de marzo de 2021 y respuesta negativa al cuestionario del acápite denominado “Seguridad de la Información” contenido en el Registro Nacional de Base de Datos, se presentó por errores humanos de colaboradores que hacían parte de la entidad” 28.

Sin embargo, la sociedad manifestó que “lo anterior no puede ser determinante para concluir que Colrecicladora es una sociedad no cumplidora de sus obligaciones y cargas legales, (…) esta sociedad cuenta con políticas y parámetros robustos y claros tendientes a lograr la documentación, implementación y monitoreo de una política de seguridad de la información que contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”29, y estableció que se encuentra en una situación de control por parte de la sociedad “SMURFIT KAPPA GROUP PLC”, Resolución N.° 15939 del 23 de marzo de 2021.

Folio 3 Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 3. Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 4. Expediente digital 21-95670. Consecutivo número 18. Página 3. Folios 3 a 4. “Por la cual se impone una sanción” actuando esta última en la calidad de Matriz, motivo por el cual “ha implementado las políticas robustas en materia de Seguridad de la Información adoptadas por su controlante indirecto” 30.

Para sustentar lo anterior, la sociedad COMPAÑÍA RECICLADORA S.A.S. aportó los siguientes documentos:               COLOMBIANA Política de Protección de Datos31 Data Protection Policy32 Procedimiento para el Acceso a los Recursos Informáticos NACL33 Declaración de confidencialidad terceros y/o departamento de información y tecnología34 Compromiso de confidencialidad35 Procedimiento de Monitoreo de los Logs de Sistemas – ITLM36 Procedimiento de Respaldo y Restauración de Servidores WINDOWS Y AIX – BUPR37 Procedimiento para el Acceso Remoto a la red de la Compañía – RMAC38 Procedimiento para el Manejo de Cambios – CHPL39 Cuadro DPIA Evaluation40 Cuadro Full Scale DPIA41 Procedimiento destrucción de la Información42 Procedimiento para notificar incidentes de seguridad de información RISB 43 IT Policies and Guidelines Explorer44 Además, la sociedad allegó la constancia de la actualización de las respuestas brindadas en el RNBD a las preguntas relacionadas con la seguridad de la Información respecto de sus bases de datos inscritas 45, y la certificación de cumplimiento suscrita por el Representante Legal46 tendiente acreditar que la sociedad documentó e implementó una política de seguridad de la información. Así las cosas, de acuerdo a los documentos aportados por la investigada, este Despacho encuentra probado que la sociedad dio cumplimiento a lo ordenado en la Resolución N.° 15939 del 23 de marzo de 2021 por cuanto: 1) implementó una política de seguridad de la información y procedimientos para salvaguardar la información de los Titulares; 2) actualizó la información registrada en el RNBD, indicando las medidas de seguridad implementadas para todas las bases de datos inscritas.

No obstante, este Despacho evidencia que el cumplimiento de las órdenes y la acreditación del cumplimiento ante esta entidad por parte de la sociedad se dio de manera extemporánea. En efecto, la sociedad solo procedió a acreditar el cumplimiento ante este Despacho, debido a la presente investigación administrativa. De esta manera, se evidencia que la acreditación del cumplimiento de las órdenes impartidas no se dio dentro del término legal establecido en la Resolución N.° 15939 del 23 de marzo de 2021, el cual como ya fue previamente analizado vencía el 22 de octubre de 2021.

Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 5. Expediente digital 21-95670. Consecutivo número 18. Página 12. Expediente digital 21-95670. Consecutivo número 18. Página 13. Expediente digital 21-95670. Consecutivo número 18. Página 14. Expediente digital 21-95670. Consecutivo número 18. Página 15. Expediente digital 21-95670.

Consecutivo número 18. Página 16. Expediente digital 21-95670. Consecutivo número 18. Página 17. Expediente digital 21-95670. Consecutivo número 18. Página 18. Expediente digital 21-95670. Consecutivo número 18. Página 19. Expediente digital 21-95670. Consecutivo número 18. Página 20. Expediente digital 21-95670. Consecutivo número 18. Página 21.

Expediente digital 21-95670. Consecutivo número 18. Página 22. Expediente digital 21-95670. Consecutivo número 18. Página 23. Expediente digital 21-95670. Consecutivo número 18. Página 24. Expediente digital 21-95670. Consecutivo número 18. Página 25. Expediente digital 21-95670. Consecutivo número 22. Página 9. Expediente digital 21-95670.

Consecutivo número 18. Página 8. “Por la cual se impone una sanción” Al respecto, resulta importante destacar que el cumplimiento de las órdenes dadas por la autoridad de control está supeditado a un término legal, por lo que el incumplimiento del mismo, implica el incumplimiento de las órdenes impartidas. Por lo tanto, la sociedad debe tener presente que como fue establecido en el parágrafo segundo del artículo segundo de la Resolución N.° 15939 del 23 de marzo de 2021, el incumplimiento puede dar lugar a multas de hasta dos mil (2000) salarios mínimos legales mensuales, como se evidencia a continuación: “PARÁGRAFO SEGUNDO: Advertir que el incumplimiento de la presente orden dar lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias.” 47 En conclusión, se evidencia que la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., incumplió el deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio por cuanto no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N.° 15939 del 23 de marzo de 2021 dentro del término legal.

Por ende, esta Dirección procederá a imponer una sanción a la sociedad en su condición de Responsable del Tratamiento, por el incumplimiento al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma norma. No obstante, se tendrá en cuenta que la sociedad investigada reconoció expresamente la comisión de la infracción, y dicho reconocimiento se valorará al momento de imponer la sanción como criterio de atenuación de conformidad con el literal f del artículo 24 de la Ley 1581 de 2012.

DÉCIMO CUARTO: CONCLUSIÓN Por lo expuesto, es claro para esta Dirección que la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N.° 15939 del 23 de marzo de 2021 dentro del término legal, incumpliendo así su deber legar de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Sin embargo, toda vez que la sociedad reconoció expresamente la comisión de la infracción se tendrá en cuenta el criterio de atenuación descrito en el literal f del artículo 24 de la ley 1581 de 2012.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 48. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado Resolución N.° 15939 del 23 de marzo de 2021.

Folio 3 “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”53 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional54.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.

(negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 “Por la cual se impone una sanción” Constitucional55 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 56 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros57. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción” insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”58. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia59.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2360 de la misma. Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN SANCIONES DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción” aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)61 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó probado, frente al cargo único sobre por el presunto incumplimiento del deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem, que la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N.° 15939 del 23 de marzo de 2021 dentro del término legal, incumpliendo así su deber legar de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de CIENTO TREINTA (130) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a QUINCE MIL OCHENTA (15.080) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CIENTO SESENTA Y CINCO MILLONES CIENTO CUARENTA Y UN MIL OCHENTA PESOS M/CTE ($165.141.080)62, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 15.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada aceptó que “no se aportó la certificación suscrita por el Representante Legal que indicaba el parágrafo primero del artículo segundo”63 de la Resolución N°. 15939 del 23 de marzo de 2021, y que “La falta Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 3. “Por la cual se impone una sanción” de atención al requerimiento contenido en la Resolución número 15939 del 23 de marzo de 2021 y respuesta negativa al cuestionario del acápite denominado “Seguridad de la Información” contenido en el Registro Nacional de Base de Datos, se presentó por errores humanos de colaboradores que hacían parte de la entidad” 64, este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducido a SESENTA Y CINCO (65) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a SIETE MIL QUINIENTOS CUARENTA (7.540) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a OCHENTA Y DOS MILLONES QUINIENTOS SETENTA MIL QUINIENTOS CUARENTA PESOS M/CTE ($82.570.540), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 15.1.3. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. identificada con NIT. 890.319.797-1, con el correo electrónico de notificación judicial: comunicaciones@colrecicladora.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-95670. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. identificada con NIT 890.319.797-1 de SESENTA Y CINCO (65) SALARIOS MÍNIMOS LEGALES VIGENTES para el Expediente digital 21-95670. Consecutivo número 18. Página 3. Folio 4. “Por la cual se impone una sanción” año 2023 – equivalentes a SIETE MIL QUINIENTOS CUARENTA (7.540) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a OCHENTA Y DOS MILLONES QUINIENTOS SETENTA MIL QUINIENTOS CUARENTA PESOS M/CTE ($82.570.540), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMPAÑÍA COLOMBIANA RECICLADORA S.A.S., identificada con NIT 890.319.797-1, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:   Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 7 No. 31A - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 08 de julio de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.07.08 14:05:24 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COMPAÑÍA COLOMBIANA RECICLADORA S.A.S. NIT. 890.319.797-1 LUIS CARLOS VÁSQUEZ IRIARTE C.C. 79.314.789 Calle 15 # 15 - 351 PTO ISAAC Yumbo - Valle del Cauca comunicaciones@colrecicladora.com.co maría.velasco@smurfitkappa.com.co luis.vasquez@smurfitkappa.com.co

Resolución sancionatoria N° 36236 de 2024

CONSIDERANDO

RESUELVE