(Agosto 28 de 2023) “Por la cual se resuelve un recurso de apelación” Radicación 20-43267 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, mediante Resolución No. 53733 del 11 de agosto de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra de CRC OUTSOURCING S.A.S, resolvió lo siguiente: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad CRC OUTSOURCING S. A. S identificada con el Nit. 830.109.862-3 de SETENTA Y DOS MILLONES DOSCIENTOS SIETE MIL SEISCIENTOS PESOS M/CTE (72.207.600) equivalente a MIL NOVECIENTAS (1.900) Unidades de Valor Tributario- UVT, por la violación a lo dispuesto en: (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
(ii) Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.”
SEGUNDO. Lo anterior, en la medida que la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que CRC OUTSOURCING S.A.S vulneró las normas contenidas en la Ley 1581 de 2012, pues trató los datos personales de la señora XXXX XXXXXX XXXXXX XXXXXX XXXXXXX para una finalidad que no le fue informada, así mismo, compartió con terceros no autorizados los datos personales de la titular a través de un correo electrónico el 20 de febrero de 2020.
De otro lado, no se encontró mérito para imponer una sanción respecto del Cargo Primero por el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012.
TERCERO. Que CRC OUTSOURCING S.A.S, a través de su apoderado especial (en adelante el RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 39 del radicado 20-43267 remitido el 7 de septiembre de 2022.
CUARTO. Que, mediante Resolución No. 83115 del 25 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 53733 del 11 de agosto de 2022.
QUINTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y las conclusiones respecto al cumplimiento oportuno, presentación y satisfacción de los requisitos del recurso objeto de estudio, así como en lo que concierne a la competencia de esta Superintendencia. la Resolución No. 53733 del 11 de agosto de 2022 fue notificada por aviso el 24 de agosto de 2022.
RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación”
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este despacho modificará el acto administrativo recurrido conforme a los argumentos que pasan a exponerse: 1. Respecto de la aplicación de la Ley 1581 de 2012 1.1. Frente a la presunta violación por aplicar la Ley 1581 de 2012 cuando el caso corresponde a la Ley 1266 de 2008 Comienza el RECURRENTE por explicar que la Ley 1581 de 2012 no es la Ley aplicable para el caso señalando lo siguiente: “(…) se afirma en la resolución sancionatoria que la información personal de la denunciante compartida a terceros no autorizados hace parte del ámbito de aplicación de la Ley 1.581 de 2.012.
Ello no es cierto. La información supuestamente compartida es de naturaleza comercial, crediticia y financiera, por lo que debe aplicarse la Ley 1.266 de 2.008, que regula el tratamiento de esta clase de información y no la Ley 1.581 de 2.012.” Al respecto, La Ley 1581 de 2012 en su artículo 3 establece el ámbito de aplicación y señala que el Régimen de Protección de Datos Personales no será de aplicación a las bases de datos y archivos regulados por la Ley 1266 de 2008, tal como se evidencia a continuación: “Artículo 2°.
Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.
El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley; b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008; f) A las bases de datos y archivos regulados por la Ley 79 de 1993.
Parágrafo. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” (resaltado fuera del texto) En ese sentido, la Corte en sentencia de control de constitucionalidad C-748 de 2011 indicó: “Una lectura conjunta del inciso tercero y del parágrafo permite concluir que el primero prevé una serie de casos exceptuados de las reglas del proyecto de ley, debido a que requieren reglas especiales, como las que se introdujeron en la Ley 1266 para datos personales financieros y comerciales destinados a calcular el riesgo crediticio.
Estas hipótesis requieren una regulación especial, por cuanto son ámbitos en los que existe una fuerte tensión entre el derecho al habeas data y otros principios constitucionales (como el derecho a la información, la seguridad nacional y el orden público), tensión que para ser resuelta requiere reglas especiales y complementarias. Sin embargo, de conformidad con la primera parte del parágrafo, estas hipótesis no están exceptuadas de los principios, como garantías mínimas de protección del habeas data.
En otras palabras, las hipótesis enunciadas en el inciso tercero son casos exceptuados –no excluidos- de la aplicación de las disposiciones de la ley, en virtud del tipo de intereses involucrados en cada uno y que ameritan una regulación especial y complementaria, salvo respecto de las disposiciones que tienen que ver con los principios. (…) En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad.” (resaltado fuera del texto) Por lo anterior, se encuentra que la Ley 1581 de 2012 es el Régimen General de Protección de Datos Personales y, en este, se establecen unos casos en los cuales se puede exceptuar la aplicación de una o varias de sus disposiciones de acuerdo con los intereses involucrados.
En el caso de los datos personales financieros y comerciales destinados a calcular el riesgo crediticio, se encuentra que, la Ley 1266 de 2008, es la que regula el tratamiento de estos datos. En el caso bajo estudio se evidencia que la sociedad CODENSA S.A ESP, el 17 de septiembre del 2005, celebró un contrato de financiación y otorgó un producto financiero a la señora XXXX XXXXXX XXXXXX XXXXXX XXXXXXX, posteriormente la titular incumplió el pago de la obligación adquirida.
El 24 de noviembre del 2010, CRC OUTSOURCING S.A.S, compró la cartera conocida como CRÉDITO FÁCIL CODENSA, dentro de la cual se encontraba la obligación a cargo de la señora XXXXXX XXXXXXX, adquiriendo así la calidad de responsable frente al tratamiento de los datos personales de los titulares (deudores de la cartera comprada). Respecto de la obligación adquirida, la sociedad recurrente, el 20 de febrero de 2020, mediante correo electrónico, utilizó los datos personales de la señora XXXXXX XXXXXXX para una finalidad no informada a la titular y permitió que terceros no autorizados accedieran a sus datos personales.
Por lo anterior, es claro que inicialmente los datos personales fueron recolectados por el acreedor originario con el fin de calcular el riesgo crediticio, y en consecuencia, la Ley aplicable era la Ley 1266 de 2008, no obstante, en el momento en que el RECURRENTE trató los datos personales de la titular para un objetivo diferente al cálculo del riesgo crediticio y no conservó estos datos con las medidas de seguridad necesarias y suficientes para evitar el acceso de los mismos por parte de terceros no autorizados, excedió el ámbito de aplicación de la Ley especial 1266 de 2008 y por lo tanto le es aplicable el Régimen General de Protección de Datos Personales, Ley 1581 de 2012.
Por lo mencionado es claro que contrario a lo que manifiesta la sociedad recurrente la Ley aplicable al caso en concreto es la 1581 de 2012. 1.2 Respecto de la “vigencia temporal” de la Ley 1581 de 2012 De otro lado, la sociedad recurrente señala que no es aplicable la Ley 1581 de 2012 en la medida en que “la recolección de los datos y la autorización concedida por parte de la denunciante se llevó a cabo el 17 de septiembre de 2.005, esto es, con anterioridad a la vigencia de la ley 1.581 de 2.012.
Posterior a ese momento no se recogió información adicional de la titular”. Y concluye que “Dado que la recopilación de la información se efectuó cuando no estaba aún vigente la ley 1.581 de 2.012, resulta claro que se dio una aplicación retroactiva e indebida de la misma al presente asunto. De esta manera se desconoció el inciso 2 del artículo 29 de la Constitución Nacional que prevé “nadie podrá ser juzgado sino conforme a leyes prexistentes al acto que se le imputa (…)”.
Frente a esto, se encuentra que la sociedad pretende señalar que la conducta vulneratoria ocurrió el 17 de septiembre de 2005, fecha en la que recolectó el acreedor originario los datos personales de la titular y, que por lo tanto, la Ley 1581 de 2012 no es aplicable, sin embargo se debe aclarar que la conducta vulneratoria ocurrió el 20 de febrero de 2020, fecha en la cual la sociedad recurrente procedió a tratar los datos personales de la titular para una finalidad no informada y compartiendo con terceros no autorizados los datos personales bajo su custodia.
En consecuencia, es claro que no se esta dando una aplicación retroactiva de la Ley 1581 de 2012 pues los hechos sancionados ocurrieron posteriormente a la entrada en vigencia de la misma. 2. Respecto del deber de informar las finalidades específicas del tratamiento, establecido en el literal c) del artículo 17 de la Ley 1581 de 2012 2.1 Presunta falta instantánea ocurrida en 2005 RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” Respecto al Cargo Segundo sancionado por el incumplimiento del deber de informar las finalidades específicas del tratamiento de manera previa a la recolección, la sociedad recurrente señaló lo siguiente: “Cabe señalar que la obligación de obtener la autorización informada debe realizarse previo al tratamiento de datos, por lo que su omisión constituye una infracción instantánea, entendiéndose por tal, los ilícitos que se consuman en un solo momento, a diferencia de aquellos que se conocen como continuados por prolongarse su ejecución en el tiempo.
Teniendo en cuenta que la falta de cumplimiento de lo dispuesto en el literal c) del artículo 17 de la ley 1.581 del 2.012, es una falta instantánea que se consuma cuando la fuente procede a tratar los datos, sin haber previamente obtenido la autorización informada por parte del titular, y considerando que CRC OUTSOURCING SAS, no ostentaba la calidad de responsable para cuando presuntamente se llevó cabo dicho tratamiento (recaudo de la información) (septiembre 17 de 2005), debe concluirse forzosamente que la investigada no pudo haber violado la norma, conforme a lo endilgado.
Para serle atribuible la falta ha debido ostentar la condición de responsable para el momento del recaudo de la información.” Por lo anterior, entiende este Despacho que el RECURRENTE considera un eximente de su responsabilidad señalando que el deber de informar debe cumplirse antes de la recolección del tratamiento y, los datos de la titular fueron recolectados en 2005, entonces, concluye que para esa fecha no ostentaba la calidad de Responsable.
Frente a esto, este Despacho coincide con lo expuesto por la Dirección de Investigación de Protección de Datos Personales, cuando al resolver el recurso de reposición señaló: “Como ya se estableció anteriormente, la sociedad investigada es Responsable del tratamiento y la comisión de la conducta vulneratoria data del 20 de febrero de 2020 es decir que la vulneración que incumple los deberes establecidos en la Ley 1581 de 2012 son de casi 8 años después de expedida la Ley.
De igual manera, el hecho de haber compartido los datos personales de la titular el 20 de febrero de 2020 mediante el derecho de petición enviado a la sociedad RHS ALIANZA HOMECARE IPS S.A.S., independientemente de que la fecha de recaudo de estos se llevó a cabo en 2005, toda vez que el acto que se reprocha ocurrió posteriormente a la entrada en vigencia de la Ley 1581 de 2012 y porque cualquier tipo de tratamiento que se realice con los datos personales de los titulares está regulado para garantizar la protección de su derecho fundamental de habeas data, de manera que no están excluidos los datos que hayan sido recopilados con anterioridad a la entrada en vigencia de dicha Ley.” Cabe resaltar que en el presente caso el deber incumplido no se predica respecto del momento de la recolección de los datos personales de la titular en septiembre de 2005, como lo señala la sociedad recurrente, en la medida en que, como ya se ha indicado previamente, en el momento en que la sociedad, mediante comunicación del 20 de febrero de 2020, procedió a realizar tratamiento de los datos personales de la titular para una finalidad no informada y permitió que terceros no autorizados accedieran a los mismos, vulneró el derecho fundamental de habeas data del titular y puso en peligro el derecho fundamental de todos los titulares cuyos datos personales obran bajo su custodia.
Por lo anterior, encuentra el Despacho que el citado argumento no está llamado a prosperar. 2.2 Respecto de la responsabilidad personal no transferible Indicó el RECURRENTE en su escrito lo siguiente: “No puede pasarse por alto que, en materia sancionatoria, incluido el derecho administrativo sancionatorio, se responde de manera personal ante las faltas, sin que tal responsabilidad se extienda a hechos de terceros.
La responsabilidad en este ámbito tampoco es transferible. La imputación personal de las faltas se fundamenta de una parte en el artículo 6 de la Constitución Nacional que establece que “Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes” ( ) ( ) Comoquiera que CRC OUTSOURCING SAS, no tenía la calidad de responsable para cuando se efectuó el recaudo de la información mal puede responder por violación del artículo 17 literal c) de la ley 1.581 del 2.012.” Frente a lo expuesto, concuerda este Despacho con lo afirmado por la sociedad recurrente respecto a que la responsabilidad en materia sancionatoria es personal, por lo que un sujeto únicamente puede ser sancionado por actos u omisiones propias, sin embargo, se debe aclarar que la Dirección no realizó una “extensión” de la responsabilidad a hechos de terceros, en la medida en que se encontró demostrado que la sociedad CRC OUTSOURCING S.A.S. fue RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” sancionada por haber obrado de manera negligente en el tratamiento de los datos personales de la señora XXXXXX XXXXXXX.
En efecto, la sociedad recurrente utilizó los datos personales de la titular, compartiendo con terceros los siguientes datos personales: nombre completo, cédula, el estado de su obligación, la entidad a la que adeuda y adjuntando carta de cesión que contiene su información personal. Por lo tanto, se encuentra demostrado que el RECURRENTE trató los datos personales de la titular para una finalidad que no le fue informada de manera previa al tratamiento que realizó y, en consecuencia, vulneró su derecho fundamental de habeas data incumpliendo lo establecido en el artículo 12 de la Ley 1581 de 2012, que señala: “Artículo 12.
Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” (resaltado fuera del texto) Lo anterior se puede evidenciar en la comunicación del 20 de febrero de 2020 enviada por la sociedad recurrente a la dirección de correo analista.thumano@maplerespiratroy.co: En virtud de lo expuesto, y contrario a lo que afirma la sociedad, respecto a que no actuaba en calidad de Responsable, se encuentra demostrada la negligencia en el cumplimiento del deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, al tratar los datos personales de la titular para finalidades que no le fueron informadas.
RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” Así las cosas, considera el Despacho que los argumentos relacionados con la extensión de la responsabilidad por hechos de terceros y que para la fecha de los hechos no ostentaba la calidad de responsable, no están llamados a prosperar. 3. Respecto de la anfibología de los cargos que se pretende subsanar en la resolución sancionatoria De otro lado, señala el RECURRENTE que: “Consideramos que se vulnera el derecho de contradicción y defensa debido a la anfibología de los cargos adicionales, que posteriormente y con desconocimiento del derecho de defensa se pretende subsanar en la resolución sancionatoria.
Las atribuciones sancionatorias en un caso específico presentan dos limitantes: por un lado, el acto de formulación de cargos, y, por el otro el principio de legalidad de las faltas y las sanciones, concretado en el de la tipicidad de la infracción. Por un lado, la formulación de cargos delimita fáctica y jurídicamente las faltas atribuidas al investigado, respecto de las cuales le corresponde ejercer su defensa.
Como puede evidenciarse, la claridad y exactitud del cargo es un requisito sine qua non para el adecuado ejercicio del derecho de defensa. Solo mediante cargos inequívocos y entendibles podrá ejercerse eficazmente la actividad de contradicción. Es por ello, por lo que la ley ha exigido precisión, exactitud, claridad, y minuciosidad en la atribución de los hechos constitutivos de la infracción y de la determinación de las normas vulneradas con la conducta.
Dice el artículo 47 inciso 2 del CPACA que “concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo en el que se señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.”(Negrillas fuera del texto) Consideramos que la minuciosidad y detalle en la determinación de los hechos además cobra relevancia, si de otra parte se tiene en cuenta que la sanción solo es viable cuando la conducta enjuiciada ha sido prevista como infracción, a través de “tipos” integrados por diversos elementos (sujeto activo, sujeto pasivo, verbo rector, elementos normativos y subjetivos del tipo.)”.
Al respecto se encuentra que la sociedad señala que los “cargos adicionales” formulados desconocen el derecho de defensa y resalta que las atribuciones sancionatorias tienen “dos limitantes: por un lado, el acto de formulación de cargos, y, por el otro el principio de legalidad de las faltas y las sanciones, concretado en el de la tipicidad de la infracción”.
Por lo que se analiza de la siguiente manera: 3.1 Respecto del cargo adicional y el derecho de defensa Frente a esto, debemos aclarar que mediante Resolución No. 6399 de 17 de febrero de 2021 se formularon dos cargos a la sociedad CRC OUTSOURCING S.A.S. por la presunta vulneración del deber de solicitar y conservar copia de la autorización previa y expresa y del deber de informar las finalidades específicas de manera previa al tratamiento, de conformidad con los establecido en: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Posteriormente, mediante Resolución No. 56783 de 2 de septiembre de 2021, se amplían los cargos inicialmente formulados a la sociedad CRC OUTSOURCING S.A.S., en la medida en que se encontró que presuntamente trasgredió el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Por lo anterior se formuló un Tercer Cargo por la presunta contravención de lo establecido en: • El literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012. Se debe resaltar que la Resolución No. 56783 de 2021, por la cual se amplían los cargos, fue expedida de conformidad con lo establecido en el artículo 47 del CPACA, en la medida en que se señaló, (i) en el numeral OCTAVO de la parte motiva, con precisión y claridad los hechos que RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” originan el cargo y la persona jurídica objeto de la investigación;
(ii) en el numeral NOVENO de la parte motiva, las disposiciones presuntamente vulneradas; y, (iii) en el numeral DÉCIMO de la parte motiva, las sanciones o medidas que serían procedentes. Así mismo, este acto administrativo fue debidamente notificado concediendo el término legal para presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer.
Finalmente, para concluir el analisis de este argumento, se adhiere este Despacho a lo señalado por la Dirección, al indicar: “En este orden de ideas, la administración puede corregir en el curso de la investigación los errores que se hayan cometido, o hacer los cambios que sean necesarios para realizar el estudio del caso completo, teniendo en cuenta todos los factores que lleven a tomar una decisión a favor o en contra de la investigada.
Es por esto, que el análisis de las pruebas debe ser minucioso porque son las que conducen a la decisión de formular ciertos cargos, a sancionar a la sociedad investigada o archivar el proceso. En este caso se consideró pertinente imputar un cargo adicional porque las pruebas arrojaban indicios de un presunto incumplimiento del deber de seguridad y circulación restringida, así mismo, con el fin de garantizar los derechos de la investigada, en el acto administrativo que amplió cargos, se notificó a la investigada y se le concedió nuevamente el término de 15 días hábiles para que presentara descargos y/o aportara las pruebas que pretendía hacer valer, solo que la sociedad investigada guardó silencio y vencido el término establecido para presentar descargos no ejerció sus derechos.” Por lo expuesto es evidente que contrario a lo que pretende señalar el RECURRENTE, respecto del Tercer Cargo, se obró de conformidad con lo establecido en la Ley garantizando en todo momento el derecho de contradicción y defensa de la sociedad. 3.2 Frente al principio de tipicidad respecto del Cargo Tercero Retomando el otro argumento expuesto por la sociedad recurrente, se encuentra que afirmó que las atribuciones sancionatorias tienen “dos limitantes: por un lado, el acto de formulación de cargos, y, por el otro el principio de legalidad de las faltas y las sanciones, concretado en el de la tipicidad de la infracción.” Frente a la potestad sancionatoria del Estado, la Corte en sentencia C-748 de 2011 indicó: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. De igual manera, en la misma sentencia, respecto de la tipicidad de la infracción, la Corte señaló: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.”.
Por lo tanto, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal. En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”2.
Sentencias C-827 de 2001 y C-343 de 2006 RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” Se concluye entonces que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los responsables o Encargados del Tratamiento de la información. Ahora bien, en el caso bajo estudio se encuentra que la sociedad recurrente fue sancionada por la negligencia en el cumplimiento de los deberes detallados y establecidos en los literales c) y d) del artículo 17 de la Ley 1581 de 2012 que establecen: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” En consecuencia, se encuentra demostrado que, contrario a lo que señala la sociedad, al momento de ejercer la potestad sancionatoria, se cumplió con el principio de tipicidad.
Ahora bien, de otro lado el RECURRENTE señaló que: “(…) al momento de indicar la información indebidamente compartida solo se menciona el nombre y el número de documento de identidad de la titular, que dista de ser información privada o semiprivada. Se indica que con la comunicación del 20 de febrero del 2.020 se allegó documento de cesión de crédito que contiene información financiera de la denunciante, pero tampoco precisa dicha información. Al dejarse de establecer la supuesta información indebidamente compartida, no se pudo determinar si se trata de información privada o semiprivada, y por ende reservada, o, si, por el contrario, es de carácter público, por lo que tampoco se puede establecer la subsunción de la conducta en un tipo de prohibición.” Frente a lo expuesto se encuentra que la sociedad pretende indicar que no se determinó la clase de dato personal tratado y resalta que la información de la titular es de carácter público, por lo que “no se establecer la subsunción de la conducta en un tipo de prohibición”.
Al respecto, se debe señalar que la sociedad no solo realizó tratamiento de datos personales de naturaleza pública, como el nombre completo y la cédula de la titular, sino que además, trató datos personales financieros de la titular y estos son de naturaleza semiprivada, por lo que contrario a lo que manifiesta el RECURRENTE, no solo trató datos públicos.
No obstante lo anterior, es importante aclarar que el artículo 10 de la Ley 1581 de 2012 establece los casos en que no es necesaria la autorización y, señala como una de las excepciones, los datos de naturaleza pública, sin embargo, este mismo artículo establece que: “Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.”.
Por lo tanto, el hecho de que una sociedad pueda realizar tratamiento de los datos sin que previamente deba solicitar la autorización del titular, como en el caso de los datos públicos, no lo exime de cumplir con las demás disposiciones establecidas en la Ley 1581 de 2012. En este sentido es necesario analizar la calidad de los datos personales respecto a cada uno de los cargos sancionados: • El Cargo Segundo se sancionó en la medida en que se demostró la negligencia al realizar tratamiento de los datos personales de la titular para una finalidad que no le fue informada previamente.
Este deber es de obligatorio cumplimiento para todos los sujetos que actúen en calidad de responsables del tratamiento, y no tiene contemplada ninguna excepción por la naturaleza o calidad de los datos, por lo que la sociedad debía cumplir con el mismo y, en consecuencia, no es de recibo lo argumentado por el RECURRENTE. RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” • El Cargo Tercero se sancionó en la medida en que se demostró la negligencia al permitir que terceros no autorizados accedieran a los datos personales: nombre completo, cédula, el estado de su obligación, la entidad a la que adeuda y adjuntando carta de cesión de Codensa a CRC Outsourcing S.A.S que contiene información de la titular, a través de comunicación del 20 de febrero de 2020.
Este deber establece la obligación de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; y es de obligatorio cumplimiento independientemente de la naturaleza de los datos a tratar y, por lo tanto, no es de recibo lo argumentado por el RECURRENTE. 4.
Frente a la caducidad de la acción El RECURRENTE señala que, frente a la infracción del deber de informar las finalidades del tratamiento, correspondiente al Cargo Segundo, operó la caducidad de la facultad sancionatoria, en la medida en que afirma que el deber de informar se debe cumplir al momento de recolectar los datos personales del titular y solicitar su autorización, hecho que sucedió el 17 de septiembre de 2005.
Al respecto, se encuentra que inicialmente, los datos personales de la titular fueron recolectados por el acreedor originario en septiembre de 2005, posteriormente, la sociedad recurrente adquirió la obligación de la titular y empezó a tratar estos datos personales desde 2011 y finalmente el 20 de febrero de 2020 trató los datos personales de la titular para una finalidad no informada.
En virtud de lo expuesto, es claro que contrario a lo que afirma el RECURRENTE, la conducta vulneratoria no ocurrió al momento en que se recolectaron los datos personales de la titular, sino que sucedió al momento en que la sociedad, de manera negligente, utilizó los datos personales para una finalidad que no le fue informada a la titular y, en consecuencia, el 20 de febrero de 2020 fue el momento en el que se cometió la infracción. Al respecto, el precepto que regula este aspecto es el artículo 52 del CPACA, el cual señala: “Artículo 52.
Caducidad de la facultad sancionatoria. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución.” (resaltado fuera del texto) En el citado artículo se señala que la caducidad de la facultad sancionatoria opera tres (3) años después de ocurrido el hecho, conducta u omisión que da lugar a la sanción y, por lo tanto, de acuerdo con lo expuesto, la decisión de la Dirección fue proferida dentro del término establecido en la Ley. 5.
Respecto a la no especificación de la culpabilidad en la formulación de los cargos Afirma el RECURRENTE que debió incluirse el elemento de la culpabilidad en el acto administrativo que abrió la investigación y formuló cargos, dado que, según sostiene la sociedad, es un aspecto que debe incluirse para poder ser controvertido. Al respecto, el artículo 47 de la Ley 1437 de 20113, norma que regula este aspecto, establece lo siguiente: Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA.
RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” “(…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.
Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.
Contra esta decisión no procede recurso.” (subraya fuera del texto) Por lo tanto, la norma establece cuatro requisitos para que se realice la imputación: 1. Precisión y claridad de los hechos que originan la actuación. 2. Las personas naturales o jurídicas objeto de la actuación. 3. La enunciación de las normas o disposiciones vulneradas. 4.
Las sanciones y medidas que serían procedentes. Como se observa, en ninguno de los mencionados requisitos, se exige el enunciar el tema de la culpabilidad, circunstancia lógica, en la medida en que la culpabilidad es un aspecto propio de la conducta, que solo puede ser abordado una vez se realice el análisis de los aspectos de la infracción, lo que solo puede ser posible cuando se tienen los elementos probatorios para deducir cual fue el comportamiento desplegado por el investigada.
En ese orden de ideas, cuando se expide el acto administrativo que formula cargos, no se tiene plena claridad respecto de la conducta desplegada y, por lo tanto, no tiene sentido exigir que, en tal etapa de la actuación, se le dé a conocer al investigado algo que solo puede concluirse con el trascurrir de la investigación. Por ello, es labor del investigado, dada su condición de profesional, demostrar que su actuación estuvo acorde con la diligencia que se le exige y que, por lo tanto, no existe mérito para que se le impute responsabilidad alguna.
En este orden de ideas, considera el Despacho que los argumentos presentados por el RECURRENTE sobre este punto particular no están llamados a prosperar. 6. Respecto de la presunta vulneración al derecho de defensa y contradicción por no precisar en la formulación de cargos las sanciones aplicables Considera el RECURRENTE que en la formulación de cargos no se señaló de manera precisa y clara, el tema concerniente a la sanción susceptible de ser impuesta al investigado, de modo que se vulneró su derecho de defensa y contradicción, indicando lo siguiente: “Al respecto cabe señalar que la Superintendencia señalo de manera genérica las sanciones procedentes en los casos de vulneración al derecho de habeas data y las medidas que la autoridad podía adoptar ante tales contravenciones o irregularidades.
En este sentido se citaron de manera textual las disposiciones legales que prevén tales sanciones y medidas. No obstante, no se especificó las que serían aplicables al caso concreto que concita nuestra atención. El acto de formulación de cargos tampoco se estableció la supuesta reincidencia como agravante de la sanción.” Al respecto, este Despacho debe señalar que tal y como lo establece el artículo 47 del CPACA, en las Resoluciones (i) No. 6399 de 2021 a través de la cual se formularon cargos y (ii) No. 56783 de 2021 a través de la cual se ampliaron cargos, sí se contempló las sanciones susceptibles de ser impuestas al investigado, tal como se puede evidenciar en el numeral sexto4 y décimo5, de la parte considerativa de las resoluciones mencionadas, en el que se señaló lo siguiente: “Que la presente investigación se realiza con el fin de determinar si es procedente o no imponer una de las sanciones establecidas en el artículo 23 de la ley 1581 de 2012 de conformidad con la función establecida en el literal b) del artículo 21 de la citada Ley o impartir las instrucciones necesarias para la adecuación de las operaciones de los Responsables del Tratamiento de conformidad con la función consagrada en el literal e) del artículo 21 de la norma en mención, que expresamente señalan: De la Resolución No. 6399 de 2021 “Por la cual se inicia una investigación administrativa y se formulan cargos”.
De la Resolución No. 56783 de 2021 “Por la cual se amplían cargos”. RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” “Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
(…) Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.
Por lo anterior, no tiene asidero alguno la argumentación expuesta por el RECURRENTE en este aspecto porque pretende que la definición de tal aspecto sea casi exacta (precisión y claridad), cuando lo que exige la norma, es que el investigado conozca las posibles consecuencias que su conducta infractora le podrían derivar, precisamente con la finalidad de que pueda exponer los argumentos que en su opinión, le permitan controvertir tal aspecto.
En consecuencia, es evidente que en los actos administrativos de formulación de cargos y de ampliación de cargos, sí se incluyeron las sanciones que procederían en caso de probarse la infracción a las normas y por lo tanto, 7. Frente a la presunta vulneración en la aplicación de la reincidencia para agravar la sanción por el Cargo Segundo Finalmente la sociedad recurrente, respecto del monto de la sanción impuesta por el Cargo Segundo, la cual fue agravada en 300 UVT por reincidencia, señaló que no es aplicable este criterio en la medida en que, para la fecha en que presuntamente se cometió la falta, no se había proferido la sanción que pretende tomarse como reincidencia, de acuerdo a lo siguiente: “Indica la Superintendencia que al momento de graduar la sanción se tendrá en cuenta el criterio contenido en el literal c) del artículo 24 de 1a Ley 1.581 de 2.012, en la medida en que con anterioridad la sociedad ha sido sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado una reincidencia en el cumplimiento del deber de informar debidamente al titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, de conformidad con el literal c) del artículo 17 de la mencionada ley.
En realidad, la reincidencia se presenta cuando al momento de cometerse la infracción se había declarado al contraventor responsable de un ilícito mediante decisión ejecutoriada. Es claro que para la fecha en que presuntamente se cometió la falta atribuida a mi representada, no se había determinado mediante acto administrativo su responsabilidad.” Al respecto, para la graduación de las sanciones esta Superintendencia cuenta con los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, de los cuales únicamente se tendrán en cuenta aquellos que sean aplicables, de acuerdo a la conducta investigada que dio origen a la actuación administrativa de carácter sancionatorio, los criterios son: RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Ahora bien, a efectos de graduar la sanción a imponer, la Dirección consideró que conforme la conducta investigada y las pruebas allegadas, respecto del Cargo Segundo, sólo le eran aplicables los criterios establecidos en el literal a) y c) del ya citado artículo 24.
Respecto de la sanción impuesta por el Cargo Segundo se encuentra que el monto de la sanción se calculó por un valor equivalente a ochocientas (800) Unidad de Valor Tributario - UVT y, se aumentó en trescientas (300) UVT en aplicación del criterio agravante establecido en el literal c) “la reincidencia en la comisión de la infracción”. Lo anterior, en la medida en que la sociedad CRC OUTSOURCING S.A.S fue sancionada, mediante la Resolución No. 56699 de 2020, por la misma conducta violatoria de la ley, esto es, por haber realizado tratamiento de datos personales para finalidades que no fueron informadas al titular previamente.
Se debe resaltar que, para determinar si es pertinente aplicar el agravante por reincidencia, es fundamental comprobar si la entidad o individuo en cuestión ha sido sancionado previamente por una infracción similar antes de la ocurrencia de la infracción actual. Sin embargo, en el caso bajo estudio, se encuentra que la sanción de la Resolución No. 56699 fue emitida el 16 de septiembre de 2020, y la fecha de ocurrencia de la infracción actual es del 20 de febrero de 2020, es decir, la sanción que pretende tomarse como agravante se profirió 7 meses después de que se cometiera la conducta infractora.
Por lo anterior, la sanción de la Resolución No. 56699 no se puede tomar como reincidencia. En virtud de lo expuesto, respecto del Cargo Segundo se procederá a eliminar el agravante de la sanción por reincidencia equivalente a trescientas (300) UVT, permaneciendo la sanción por este cargo por el valor inicialmente señalado por la Dirección en un total de ochocientas (800) UVT.
Por lo tanto, el monto de la sanción, por los dos cargos, queda en un total de mil seiscientas (1.600) UVT 6 equivalentes a sesenta millones ochocientos seis mil cuatrocientos pesos m/cte ($60.806.400). Por último, resulta pertinente resaltar lo siguiente: I. La multa impuesta a CRC OUTSOURCING S.A.S ($60.806.400), corresponde al 3.04 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
II. El monto de dicha sanción es el resultado del análisis y del daño y/o puesta en peligro de los intereses jurídicos tutelados por la violación a las disposiciones de la Ley 1581 de 2012 a los responsables del Tratamiento. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.
Fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados. IV. Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales.
Mediante la Resolución 140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004 RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” V. Según la Declaración Universal de los Derechos Humanos7, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.
No debe olvidarse que el respeto a éstos es un elemento esencial de la democracia8. Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Las sanciones no pueden ni deben tratarse como una cuestión insignificante, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
Esto, en razón a que existe de por medio una trasgresión a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
De conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho modificará la Resolución No. 53733 del 11 de agosto de 2022. 8. Conclusiones • Se confirmó que la sociedad CRC OUTSOURCING S.A.S de manera negligente incumplió los deberes de (i) informar debidamente al Titular sobre la finalidad de la recolección de sus datos personales y (ii) conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. • La Ley aplicable en el caso específico es la Ley 1581 de 2012, en la medida en que se demotró que la sociedad realizó tratamiento de los datos personales para un objetivo diferente al cálculo del riesgo crediticio; así mismo, se demostró que la conducta violatoria ocurrió el 20 de febrero de 2020, en vigencia de la Ley en cita. • La responsabilidad en materia sancionatoria es personal y, en el caso bajo estudio, la sociedad fue sancionada por la negligencia al momento de cumplir los deberes analizados y no por hechos de un tercero. • La Resolución No. 6399 del 17 de febrero de 2021, a través de la cual se abrió la investigación y formularon cargos a la sociedad CRC OUTSOURCING S.A.S. y la Resolución No. 56783 del 2 de septiembre de 2021 a través de la cual se ampliaron cargos cumplen con lo establecido en el artículo 47 del CPACA, indicando los aspectos subjetivos de la contravención y las posibles sanciones aplicables al caso en concreto. • La caducidad de la facultad sancionatoria opera tres (3) años después de ocurrido el hecho, conducta u omisión que da lugar a la sanción, en el caso bajo estudio la conducta violatoria ocurrió el 20 de febrero de 2020, por lo tanto, la decisión de la Dirección fue proferida dentro del término establecido en la Ley. • La sanción proferida mediante la Resolución No. 56699 del 16 de septiembre de 2020 no se puede tomar como reincidencia, en la medida en que es posterior a la ocurrencia de la conducta violatoria, por lo que, mediante la presente actuación, se reduce el monto de la sanción por el Cargo Segundo en 300 UVT. • La multa impuesta a CRC OUTSOURCING S.A.S ($60.806.400), corresponde al 3.04 % del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el literal a) del artículo 23 de la Ley 1581 de 2012).
Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. MODIFICAR el ARTÍCULO PRIMERO de la Resolución No. 53733 del 11 de agosto de 2022, de conformidad con lo expuesto en la parte motiva del presente acto administrativo, el cual quedará así: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad CRC OUTSOURCING S. A. S identificada con el Nit. 830.109.862-3 de SESENTA MILLONES OCHOCIENTOS SEIS MIL CUATROCIENTOS PESOS M/CTE ($60.806.400) equivalente a MIL SEISCIENTAS (1.600) Unidades de Valor Tributario- UVT, por la violación a lo dispuesto en: (i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
(ii) Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.”
ARTÍCULO 2. CONFIRMAR en sus demás partes la Resolución No. 53733 del 11 de agosto de 2022, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a sociedad CRC OUTSOURCING S.A.S, identificada con NIT 830.109.862-3, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 4. COMUNICAR a la señora XXXX XXXXXX XXXXXXXXXXXX XXXXXXX, identificada con la cédula No. XX.XXX.XXX, el contenido de la presente decisión.
ARTÍCULO 5. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., agosto 28 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.08.28 15:08:18 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ AVJ NOTIFICACIÓN: Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: CRC OUTSOURCING S.A.S NIT 830.109.862-3 SANDRA FANERY AGUIRRE SANDOVAL C.C. No. 51.721.782 Cra 7 No 155 C - 20 Centro Empresarial North Point Torre E P 26 Bogotá D.C. alex.russo@crc.com.co Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: JUAN MANUEL CASASBUENAS MORALES C.C 79.278.294 Calle 131 N° 19 – 73 apartamento 112 Bogotá D.C juanmacasas@hotmail.com RESOLUCIÓN NÚMERO 51160 DE 2023 “Por la cual se resuelve un recurso de apelación” COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXX XXXXXX XXXXXXXXXXXX XXXXXXX C.C. No. XX.XXX.XXX xxxxx xxxx # xxxx - xx xxxx xxx Bogotá D.C xxxxxxxxxxxxx@gmail.com