(Julio 27 de 2022) Radicación 20-135203 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante la Resolución No. 69443 de 26 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió:
SEGUNDO. Que mediante escrito radicado bajo el No. 20-135203-25 de 23 de noviembre de 2021, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. – AIRES S.A Y/O LATAM AIRLINES COLOMBIA S.A. (en adelante “LATAM Airlines Colombia”) presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 69443 de 26 de octubre de 2021.
TERCERO. Que mediante la Resolución No. 3572 de 2 de febrero de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, modificando en su artículo primero la Resolución 69443 del 26 de octubre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria, así: HOJA Nº CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 69443 de 26 de octubre de 2021, con base en los siguientes argumentos: “( ) Sobre la aplicación del criterio previsto en el literal a del artículo 24 de la Ley 1581 de 2012 “la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley A través de la Resolución No. 69443 de 2021, el Director de Investigación de Protección de Datos Personales encontró responsable a LATAM Airlines Colombia de la vulneración del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 de la misma Ley [sic].
Para fijar el monto de la sanción, la Superintendencia se refirió a los criterios de graduación del artículo 24 de la Ley 1581, pero sólo aplicó al caso concreto el previsto en el literal a) “la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley” y se abstuvo de analizar los otros como atenuantes de la sanción. El sustento de la Superintendencia para aplicar este criterio fue únicamente que LATAM Airlines Colombia “actúo negligentemente al dar respuesta extemporánea en aproximadamente 2 años, 1 mes y 21 días a las peticiones de febrero/marzo de 2017 presentada por la red social Facebook y del 26 de marzo de 2017 a través del formulario web de la empresa razón por la que tasó la multa en 2.000 UVT.
Al respecto, si bien la respuesta extemporánea por parte de LATAM Airlines Colombia a las peticiones del quejoso significó una afectación a su derecho al habeas data, particularmente a que su petición hubiera sido atendida en los términos señalados en la Ley, consideramos que la dimensión real que tuvo esta afectación permite a la Superintendencia fijar una multa de menor valor a la impuesta.
( ) De acuerdo con los hechos que la Superintendencia encontró probados, en las peticiones que no fueron atendidas en el término el quejoso solicitó, entre otros, que: (i) se le entregara la Política de Tratamiento de la Información de la empresa; y (ii) se le informara el correo del Oficial de Tratamiento de Datos Personales de la compañía. Cómo se expuso en el escrito de descargos, la Política de Tratamiento de datos de LATAM Airlines Colombia siempre estuvo disponible en la página principal de la página web de la compañía www.latam.com, y en ésta se indica de manera expresa quien es el Responsable y cuál es el canal y trámite para para interponer quejas o reclamos asociados a esta materia.
En este sentido, la información consultada por el quejoso a través de sus peticiones ya estaba disponible de manera pública en otros medios, en los que podía consultarla para hacer exigible su derecho. En otras palabras, las peticiones constituían un mecanismo al que el quejoso tenía derecho para acceder a la información, pero no era el único.
Ello es relevante en cuanto a que, bajo el carácter instrumental de la garantía establecida en el literal j) del artículo 17 de la Ley 1581 de 2012, el incumplimiento habría sido mucho más gravoso y generado un daño mayor al si hubiera sido la única vía a su disposición para acceder a la información requerida para la hacer exigible su derecho al habeas data.
Adicionalmente, el incumplimiento de los términos para atender la reclamación que se presentó en este caso es una situación aislada que no representa la práctica común de la compañía, tal como se deriva de lo que se encontró probado en el expediente y del hecho que de que es la primera investigación y primera sanción que recibe LATAM Airlines Colombia por esta causa.
En este sentido, no existió una afectación o daño masivo, plural o reiterado del bien jurídico tutelado. Por lo anterior, consideramos que, si bien el hecho de que la información solicitada siempre hubiera estado disponible en la página web no controvierte de ninguna manera del incumplimiento que encontró la Superintendencia en la Resolución No. 69943, sí permite concluir que el peligro o afectación que sufrió el bien jurídico tutelado tuvo una dimensión menor que justificaría graduar la sanción en un valor inferior al que fue impuesto.
HOJA Nº Sobre la aplicación de los criterios de graduación previstos en los literales b), c), y e) como atenuantes de la multa Como se reconoció en la Sentencia C-748 de 2011, el legislador previó en el artículo 24 de la Ley 1581 de 2012 los criterios que debe aplicar la autoridad de protección de datos para graduar las sanciones, encontrándose los primeros cinco literales del artículo 24, circunstancias de agravación de la sanción, de que se desprende que cuando estas no ocurran, la autoridad puede fijar una sanción menor.
Sin embargo estos criterios no fueron tenidos en consideración de la autoridad para atenuar la sanción por su no concurrencia, como se expone a continuación: El literal b) del artículo 24 de la Ley 1581 de 2012 establece como criterio de graduación de la sanción “b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción”.
En el caso concreto, el haber presentado una respuesta tardía a un peticionario no le reportó ningún beneficio económico a LATAM Airlines Colombia, y, de hecho, es una conducta que no tiene la potencialidad de generarlo. En efecto, así lo consideró expresamente en la Resolución objeto de recurso, en la que se afirmó que “dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción. Esta consideración permite a la autoridad fijar una multa menor a la impuesta.
El literal c) del artículo 24 de la Ley 1581 de 2012 establece como criterio de graduación de la sanción “c) La reincidencia en la comisión de la infracción”. Frente a este punto es importante enfatizar que la presente sanción y órdenes administrativas son las primeras que recibe LATAM Airlines Colombia por protección de datos personales, lo que demuestra nuestro compromiso constante por atender sus obligaciones en esta materia, y que los hechos que motivaron a la sanción son excepciones y no corresponden a la práctica general de LATAM Airlines Colombia.
Lo anterior fue reconocido expresamente por la Superintendencia en la resolución recurrida, en la que se establece que “no se encuentra que la entidad sancionada haya sido sancionada anteriormente por el incumplimiento del mismo deber estudiado en este acto administrativo.” De hecho, LATAM Airlines Colombia demostró en la investigación haber tomado medidas afirmativas y mejores prácticas en relación con los hechos que dieron origen a esta investigación, en procura del derecho la habeas data de sus usuarios.
Dentro de estas se encuentra la eliminación desde 2017 del correo electrónico pasantelan@gmail.com del cual se contactó inicialmente al quejoso; la creación de uno con el dominio de LATAM; y las distintas medidas de responsabilidad demostrada adoptada tales como los cursos y capacitaciones en materia de protección de datos que reciben los empleados a través de la Academia Corporativa, y las políticas internas de la compañía en esta materia obligatorias para todos los colaboradores.
En este sentido, encontramos que las anteriores consideraciones permiten a la Superintendencia graduar y fijar una multa inferior a la que fue impuesta en la Resolución No. 69443 de 2021. El literal d) del artículo 24 de la Ley 1581 de 2012 establece como criterio de graduación de la sanción “d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la colaboró con la autoridad en el marco de la investigación y no existió ninguna conducta renuente u obstructiva.
Esto se reconoció expresamente en la Resolución objeto de recurso en la que se afirma que “no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia”. De este modo, encontramos que, en atención al criterio mencionado, la Superintendencia podría graduar y fijar una multa inferior a la que fue impuesta en la Resolución No. 69443 de 2021.
(iv) El literal e) del artículo 24 de la Ley 1581 de 2012 establece como criterio de graduación de la sanción “la renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio”. En el presente caso, LATAM Airlines Colombia siempre cumplió con las órdenes impartidas por la esta Superintendencia en el marco de la investigación. Esto se evidencia con la orden proferida en la Resolución No. 10207 de 2019 en la que se ordenó dar respuesta completa y de fondo al pasajero en los términos indicados por la autoridad, la cual se cumplió el 15 de mayo de 2019, conforme se encontró probado en el expediente.
HOJA Nº Por lo anterior, en la Resolución recurrida se reconoció que “tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad”, por lo que consideramos que en atención a este criterio es posible que se gradúe la multa impuesta y se fije un menor valor. La sanción no es proporcional a la infracción Conforme lo ha dispuesto esta Superintendencia, el ejercicio de su potestad sancionatoria por infracción al régimen de protección de datos debe ser conforme al principio de proporcionalidad, “de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción la sanción aplicada.”.
En el mismo sentido, la Corte Constitucional ha dispuesto que la facultad sancionatoria de las Superintendencias debe ser desarrollada “en forma razonable y proporcionada, tomando en consideración la finalidad de la misma, esto es, que las sanciones deben ser proporcionadas a la gravedad de las faltas”. En el mismo sentido la Corte Constitucional también ha indicado que el principio de proporcionalidad “exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma” y “que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”.
Ahora bien, sobre las sanciones en materia de habeas data, esta Superintendencia reconoció en la propia Resolución objeto de recurso que, “tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales.” En el caso concreto, la conducta objeto de sanción consistió en que LATAM Airlines Colombia respondiera de fondo dos peticiones presentadas por un pasajero a través de Facebook en relación con la política de tratamientos de datos de la empresa, por fuera del término indicado en el numeral 3 del artículo 17 de la Ley 1581 de 2012.
Por esta sola conducta se impuso una sanción de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000). Por lo anterior, además de los argumentos relacionados con los criterios de graduación expuestos, se observa que el monto de la multa impuesto no es proporcional a la gravedad y naturaleza de la infracción. Lo anterior, toda vez que la suma es alta en relación con el peligro que pudo sufrir el derecho al habeas data del quejoso como consecuencia de la conducta sancionada, que como se caracterizó en los acápites anteriores, no fue grave o irremediable toda vez que contaba con otros mecanismos para acceder a la información objeto de la petición y se trató de un hecho aislado de la compañía. En el mismo sentido, considerando que la proporcionalidad de la multa debe procurar por el cumplimiento de la finalidad de la norma infringida, en este caso, la protección del derecho a la protección de datos personales; reiteramos que LATAM Airlines Colombia tomó distintas medidas afirmativas para hacer frente a los hechos que originaron la investigación, y que, conforme a lo probado en el expediente, estos no son una práctica reiterada de la compañía. De esta manera, la finalidad de la norma se encuentra garantizada, por lo que una multa de un valor menor al impuesto resultaría proporcional. 1.4.
El valor de la multa no es proporcional a la infracción teniendo en cuenta otras multas interpuestas por la Superintendencia Finalmente, observamos que en otros casos en los que la Superintendencia ha impuesto sanciones por infracciones a algunos de los deberes contemplados en el artículo 17 de la Ley 1581 de 2012, las multas han sido inferiores a la impuesta en la Resolución No. 69443 de 2021, incluso cuando, incluso cuando sí han concurrido circunstancias de agravación. Veamos: A través de la Resolución No. 34889 del 8 de agosto de 2019, esta Superintendencia impuso una sanción a la compañía HTURIS LTDA. de VEINTE MILLONES SETECIENTOS DOS MIL NOVECIENTOS PESOS M/CTE ($20.702.900), esto es, menos de un tercio de la impuesta a LATAM Airlines Colombia, por una conducta idéntica: haber respondido una petición por fuera del término previsto en el artículo 15 de la Ley 1581 de 2012.
HOJA Nº A través de la Resolución No. 19012 del 31 de mayo de 2019, esta Superintendencia impuso una sanción a COLOMBIA TELECOMUNICACIONES S.A. E.S.P. de VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHETNA PESOS M/CTE ($24.843.480) por incurrir en la violación del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma Ley y el artículo 2.2.2.25 del Decreto único Reglamentario 1074 de 2015.
En este caso, además, se encontró configurada la causal de agravación de la reincidencia en la comisión de la infracción. A través de la Resolución No. 35959 de 2019, esta Superintendencia impuso una sanción a la sociedad AMERICAN BUSSINES S.A.S. de TRES MILLONES TRESCIENTOS DOCE MIL CUATROCIENTOS SESENTA Y CUATRO PESOS M/CTE ($3.312.464) por la infracción simultanea de varios de los deberes previstos en el artículo 17 de la Ley 1581 de 2012, a saber, en los literales b), k), y o) de esta disposición. ( ) Consideraciones sobre el impacto de la pandemia del Covid-19 en el sector aeronáutico El 12 de junio de 2020, la Superintendencia de Sociedades reconoció en Colombia como un proceso extranjero principal el proceso de reorganización del Capítulo 11.
Dicho reconocimiento se dio en los términos del Título III de la Ley 1116 de 2006. Por lo anterior, el principal reto es la recuperación del sector aéreo, y por ende, para LATAM Airlines Colombia, continuar su estrategia de crecimiento en el mercado colombiano, en el marco de un país y una demanda que continúa afectada por la pandemia del COVID-19 y que la confianza del usuario depende en gran parte del plan de vacunación y efectividad del mismo.
( ) PETICIÓN ÚNICA. - Con fundamento en lo expuesto, solicito al Director de Investigación de Protección de Datos Personales reponer la Resolución No. 69443 de 2021 y modificar la multa impuesta en el Artículo Primero de la misma, fijando un valor inferior al allí establecido. ( )”.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO
1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.
Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).
2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. HOJA Nº Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad 23.
Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.
Sentencia C-748 de 2011. 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor.
Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 2 Artículo HOJA Nº dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”. Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.
Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.
Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental de Habeas Data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.
En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.
Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad, corresponde a un total de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($72’616.000) equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT La cual, representa aproximadamente el 4% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012. 6 Ramón Parada Vásquez.
Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº
3. DEBIDO PROCESO La Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de un lado respetar el debido proceso en cabeza de la recurrente, y del otro respetar el Derecho Fundamental de Habeas Data del ciudadano que interpuso la renuncia que dio inicio a este proceso administrativa. En línea con lo anterior, tanto la investigación administrativa como la sanción impuesta se hicieron observando lo que ordena la regulación colombiana.
Al respecto, este Despacho advierte que en ningún momento los actos o actuaciones de esta Delegatura, en el curso del proceso, han estado en contravía del derecho, como erróneamente lo afirma la recurrente. Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta entidad aplicó y respetó las garantías procesales necesarias, y en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar.
Los que, en ninguna circunstancia fueron arbitrarios. Por el contrario, lo que sí hizo la Superintendencia de Industria y Comercio, fue propender por la correcta aplicación de las normas y los principios que las fundamentan. Igualmente, no es posible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública.
Así, en todas las etapas respectivas se emitieron las resoluciones y actos administrativos a que hubo lugar. Estos, en ninguna circunstancia fueron injustos, ilegales, parciales, o en general arbitrarios. Adicionalmente, este proceso administrativo está compuesto de una serie de actos o actuaciones con un orden de continuidad establecido.
En el que los tiempos y etapas que en él se fijan, son disposiciones de orden público y de obligatorio cumplimiento. Tal como está el expediente, es posible verificar que, en todo el camino de la actuación administrativa, la Superintendencia de Industria y Comercio ofreció las garantías que le permitieran a la recurrente evaluar las condiciones de transparencia y seguridad jurídica que caracterizan estos procesos, como por ejemplo la publicidad del proceso (notificaciones en debida forma); derecho a presentar pruebas; recursos; etc.
Al respecto, por medio de la Sentencia T-051 de 2016, la Corte Constitucional manifestó: “a) El derecho a la jurisdicción, que a su vez implica los derechos al libre e igualitario acceso ante los jueces y autoridades administrativas, a obtener decisiones motivadas, a impugnar las decisiones ante autoridades de jerarquía superior, y al cumplimiento de lo decidido en el fallo. b) El derecho al juez natural, identificado este con el funcionario que tiene la capacidad o aptitud legal para ejercer jurisdicción en determinado proceso o actuación de acuerdo con la naturaleza de los hechos, la calidad de las personas y la división del trabajo establecida por la Constitución y la ley. c) El derecho a la defensa, entendido como el empleo de todos los medios legítimos y adecuados para ser oído y obtener una decisión favorable.
De este derecho hacen parte, el derecho al tiempo y a los medios adecuados para la preparación de la defensa; los derechos a la asistencia de un abogado cuando se requiera, a la igualdad ante la ley procesal, el derecho a la buena fe y a la lealtad de todas las demás personas que intervienen en el proceso. d) El derecho a un proceso público, desarrollado dentro de un tiempo razonable, lo cual exige que el proceso o la actuación no se vea sometido a dilaciones injustificadas o inexplicables. e) El derecho a la independencia del juez, que solo tiene efectivo reconocimiento cuando los servidores públicos a los cuales confía la Constitución la tarea de administrar justicia, ejercen funciones separadas de aquellas atribuidas al ejecutivo y al legislativo. f) El derecho a la independencia e imparcialidad del juez o funcionario, quienes siempre deberán decidir con fundamento en los hechos, de acuerdo con los imperativos del orden HOJA Nº jurídico, sin designios anticipados ni prevenciones, presiones o influencias ilícitas”[21] (énfasis añadido) (…) en la Sentencia C-980 de 2010, la Corte señaló que el debido proceso administrativo ha sido definido jurisprudencialmente como: “(i) el conjunto complejo de condiciones que le impone la ley a la administración, materializado en el cumplimiento de una secuencia de actos por parte de la autoridad administrativa, (ii) que guarda relación directa o indirecta entre sí, y (iii) cuyo fin está previamente determinado de manera constitucional y legal”[22].
Ha precisado al respecto, que con dicha garantía se busca “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”[23]. En la misma providencia, se determinó que las garantías establecidas en virtud del debido proceso administrativo, de acuerdo a la jurisprudencia sentada por este alto Tribunal, son las siguientes: “(i)ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”.
Se reitera que, las decisiones tomadas por parte de este Despacho, tienen justificación en las pruebas allegadas al proceso, así como en la valoración de los hechos y argumentos de cada una de las partes. Además, este acto administrativo explica los motivos por los cuales la decisión se ajusta a la realidad de la normatividad legal y constitucional.
En vista de todo lo anterior, y luego de la plena evaluación de los argumentos comprendidos en los alegatos de conclusión remitidos por la recurrente, es indiscutible concluir por este Despacho que ninguno de ellos logra desvirtuar las razones que fundamentaron la imposición de la sanción ni las órdenes impartidas por parte de la Dirección de Investigación de Protección de Datos Personales a la investigada.
4. DEL DEBER DE TRAMITAR LOS RECLAMOS Y CONSULTAS ELEVADAS POR LOS TITULARES DE LA INFORMACIÓN EN EL TÉRMINO LEGAL Los derechos de los Titulares de los Datos personales deben ser siempre respetados y garantizados por quien trate esa información. Es imperativo -no facultativo- que los Responsables o Encargados garanticen oportuna y debidamente los derechos constitucionales y legales de las personas.
Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva pues, ello es una parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.
Frente a ese argumento, basta una simple observación para tener que insistir y reiterar que la Autorización otorgada por el Titular del Dato al Responsable y/o Encargado del Tratamiento, no es perpetua. De lo contrario, sería aceptar que los administradores de los Datos pasarían de ser meros tenedores de la información, a ser dueños de una “patente de corso” que les permitiría hacer un ejercicio ilimitado de un derecho fundamental, que además de ser abusivo es de titularidad de un tercero. “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento y circulación de datos se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido HOJA Nº 10 recopilada por una central de información”.
Este control, no sólo se predica de la autorización previa para el Tratamiento del dato, sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato.
Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular.
En cada una de estas decisiones se ha planteado “que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático, descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal.” Por otro lado, la Corporación ha señalado que el derecho al habeas data otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos personales.
(…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos”9.
(Énfasis añadido) De manera que, no es posible ni correcto desconocer las solicitudes que en varias oportunidades envió el quejoso a la investigada. Aceptar esto, no solo desatiende las disposiciones legales que imponen la obligación al Responsable y/o Encargado del Tratamiento de Datos de resolver la solicitud en el término legal establecido, sino que también vulnera indiscriminadamente los derechos de los Titulares.
Adicionalmente, obviar el cumplimiento estricto de la ley generaría el fortalecimiento de una reprochable “cultura empresarial” caracterizada por la perseverancia de los Titulares de los Datos en presentar reiteradamente la misma solicitud a fin de lograr la protección y respeto de su derecho. Especialmente porque si se cuenta con políticas al respecto, basta una sola petición al Responsable del Tratamiento para que ampare el derecho de manera efectiva.
En este caso en particular, se evidenció que entre febrero y marzo de 2017 el quejoso presentó la una petición de información consistente en que le hicieran entrega de la Política de Tratamiento de Información de la investigada y que le informaran el correo electrónico del Oficial de Tratamiento de Datos Personales de la misma. 9 Sentencia C-748 de 2011.
Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). HOJA Nº 11 Escrito radicado bajo el No. 20-135203-01 La respuesta que dio la recurrente mediante Facebook se limitó a informarle al Titular el medio a través del cual podía enviar la reclamación formal pero no le dio a conocer que la información que estaba solicitando mediante su petición inicial podía consultarla en el sitio web de la compañía. Luego de lo anterior existieron más comunicaciones, pero en ninguna de ellas la recurrente dio una respuesta de fondo a la petición elevada por parte del Titular.
Así, únicamente hasta el 20 de mayo de 2019 la recurrente envió la respuesta completa a la petición realizada por el quejoso el 26 de abril de 2017. Es decir, tardó más de dos (2) años en resolver la solicitud del Titular. Con fundamento en lo anterior no se acogerán los argumentos invocados por la recurrente, en el sentido de considerar desproporcional la sanción impuesta en comparación con la conducta desplegada.
En vista de esto, no es aceptable que la recurrente deduzca que la primera instancia cometió una falta al omitir valorar íntegramente las pruebas que le fueron presentadas. HOJA Nº 12 De hecho, si se hubiera omitido realizar el análisis anterior, probablemente la decisión de la resolución recurrida no habría sido la imposición de una multa.
Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a LATAM AIRLINES COLOMBIA la cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.
5. DECISIONES DE LA ADMINISTRACIÓN En el escrito del recurso bajo estudio la investigada afirma que: “El sustento de la Superintendencia para aplicar este criterio fue únicamente que LATAM Airlines Colombia “actúo [sic] negligentemente al dar respuesta extemporánea en aproximadamente 2 años, 1 mes y 21 días a las peticiones de febrero/marzo de 2017 presentada por la red social Facebook y del 26 de marzo de 2017 a través del formulario web de la empresa razón por la que tasó la multa en 2.000 UVT.
( ) si bien la respuesta extemporánea por parte de LATAM Airlines Colombia a las peticiones del quejoso significó una afectación a su derecho al habeas data, particularmente a que su petición hubiera sido atendida en los términos señalados en la Ley, consideramos que la dimensión real que tuvo esta afectación permite a la Superintendencia fijar una multa de menor valor a la impuesta”.
( ) El valor de la multa no es proporcional a la infracción teniendo en cuenta otras multas interpuestas por la Superintendencia Finalmente, observamos que en otros casos en los que la Superintendencia ha impuesto sanciones por infracciones a algunos de los deberes contemplados en el artículo 17 de la Ley 1581 de 2012, las multas han sido inferiores a la impuesta en la Resolución No. 69443 de 2021, incluso cuando, incluso cuando sí han concurrido circunstancias de agravación ( ) Asimismo, la recurrente considera que la Dirección de Investigación de Protección de Datos no dio aplicación a criterios de graduación que sí tuvo en cuenta en casos anteriores, y que resultaron en multas sustancialmente menores para casos similares.
De esta manera, hace una relación de tres (3) investigaciones que se adelantaron en contra de otras sociedades. Sobre este particular, es necesario resaltar que el monto de la multa impuesta a la investigada, es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.
Adicionalmente, este Despacho llama a la reflexión a la recurrente para recordarle que, los Derechos Humanos son para respetarlos y garantizarlos en la práctica. Por lo que, bajo ninguna circunstancia las personas deben rogar para que estos se les respeten. No es facultativo sino obligatorio respetar los derechos de todas las personas. Lo anterior debido a que llama la atención de este Despacho cuando de manera desobligante la recurrente considera que el incumplimiento de la ley, fue “únicamente” por dar respuesta extemporánea, por demorarse más de 2 años en contestar las peticiones de un ciudadano. Por último, las decisiones de la administración no necesariamente deben ser iguales en abstracto.
Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador, además se tendrán en cuenta los supuestos fácticos y jurídicos planteados en la queja o denuncia del Titular. Los casos a los que se refiere la recurrente no son idénticos, pues la situación particular de los sujetos, hechos y derechos vulnerados, difieren.
Y estas circunstancias especiales y particulares son las que dan lugar a determinar el monto de la sanción que se pretende imponer, cuando sea el caso.
6. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las HOJA Nº 13 autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”10. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.
En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.
Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.
Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.
Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.
Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.
De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.
Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.
Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 14 (i) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción; (ii) Reincidencia en la comisión de la conducta; (iii) Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, (iv) Renuencia o desacato a cumplir las órdenes e instrucciones de la misma.
Por último, se aclara nuevamente a la recurrente que, al momento de imponer la sanción no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad investigada no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.
Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas En segundo lugar, es claro que la Resolución No. 69443 de 26 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).
Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.
Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental11 a la protección de Datos12. En cuarto lugar, es relevante tener presente que LATAM AIRLINES COLOMBIA trata Datos de cuatro millones quinientos ochenta y cuatro mil cuatrocientos ochenta y seis (4’584.486) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos;
De igual forma, la vulneración del Derecho de Habeas Data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales. 11 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 12 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº 15 Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”13. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia14. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.
7. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.
En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.
8. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Ahora, según el artículo 22 de la Ley 222 de 1995 15 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia 13 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 15 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” HOJA Nº 16 de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.
(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.
Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 16 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”17.
Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones:
1. LATAM AIRLINES COLOMBIA tardó más de dos (2) años en resolver la petición de información presentada por el ciudadano; 2. El literal f) del artículo 24 de la Ley 1581 de 2012, fue analizado y aplicado en debida forma, tal y como se estableció en la Resolución No. 69443 de 26 de octubre de 2021; 3. El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa; 4.
La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Datos personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia; 5.
La multa impuesta por parte de esta entidad corresponde a un total de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($72’616.000) equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT La cual, representa aproximadamente el 4% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012;
El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.
En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.
En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” 17 Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 HOJA Nº 17
6. LATAM AIRLINES COLOMBIA trata Datos de cuatro millones quinientos ochenta y cuatro mil cuatrocientos ochenta y seis (4’584.486) ciudadanos lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos; y, 7. La actividad empresarial de LATAM AIRLINES COLOMBIA no la exime de cumplir la Constitución Política Nacional y la ley.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 69443 de 26 de octubre de 2021. En mérito de lo expuesto, este Despacho
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 69443 de 26 de octubre de 2021, con la modificación realizada en la resolución 3572 del 02 de febrero de 2022, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad AEROVIAS DE INTEGRACION REGIONAL S.A. AIRES S.A. Y/O LATAM AIRLINES COLOMBIA S.A Y/O LATAM AIRLINES COLOMBIA Y/O LAN COLOMBIA AIRLINES S.A. Y/O LAN COLOMBIA AIRLINES, identificada con Nit. 890.704.196-6 a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxxxx Xxxxxx Xxxxxxxx Xxxxxx identificado con la Cédula de Ciudadanía No. x.xxx.xxx.xxx o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., Julio 27 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), digitalmente por JOHN MARCOS Firmado JOHN MARCOS TORRES CABEZAS TORRES Fecha: 2022.07.27 17:46:27 CABEZAS -05'00' JOHN MARCOS TORRES CABEZAS CGC HOJA Nº 18 Notificación Sociedad: AEROVIAS DE INTEGRACION Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: País: Nit. 890.704.196-6 Erika Paola Zarante Bahamon C.C. No. 52326174 erika.zarante@latam.com Av.
El Dorado No.103-08 Entrada 1 - Hangar Bogotá Colombia Comunicación Señor: Identificación: Correo electrónico: Xxxxxx Xxxxxx Xxxxxxxx Xxxxxx C.C. x.xxx.xxx.xxx xxxxxxxxxxxxxxxxxxxxx REGIONAL S.A.