(Agosto 28 de 2023) Radicación 20-97192 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que con ocasión de la queja presentada por el señor Xxxx Xxxx Xxxxxxx Xxxxxxx, mediante Resolución No. 55739 del 22 de agosto de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación administrativa adelantada en contra de CAJA COLOMBIANA DE SUBSIDIO FAMILIAR - COLSUBSIDIO (en adelante COLSUBSIDIO) resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO, identificada con el NIT. 860.007.336-1, CUARENTA Y CINCO MILLONES TREINTA Y CUATRO MIL SETECIENTOS CUARENTA PESOS M/CTE ($45.034.740) equivalentes a MIL CIENTO OCHENTA Y CINCO (1185) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por el incumplimiento a lo dispuesto en: (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y los artículos 2.2.2.25.2.2., 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;
(ii) Literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la Ley 1581 de 2012, y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015; (iii) Literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4 y el artículo 14 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015”.
SEGUNDO. Lo anterior, en la medida que la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que COLSUBSIDIO vulneró las normas contenidas en la Ley 1581 de 2012, pues no allegó la autorización previa al tratamiento de los datos del quejoso, tampoco le informó sobre la finalidad de este y adicionalmente, no dio respuesta dentro del término establecido en la Ley a los diferentes reclamos presentados por el señor Xxxxxxx Xxxxxxx.
TERCERO. Que COLSUBSIDIO a través de su apoderado especial (en adelante el RECURRENTE), interpuso recurso de reposición y en subsidio apelación1 contra la Resolución No. 55739 del 22 de agosto de 2022, cuyos argumentos son los señalados en el escrito obrante en el consecutivo 38 del radicado No. 20-97192 del 6 de septiembre de 2022.
CUARTO. Que mediante Resolución No. 83155 del 25 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 55739 del 22 de agosto de 2022.
QUINTO. Que este despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto a la presentación oportuna, el cumplimiento y 1 La Resolución No. 55739 del 22 de agosto de 2022 fue notificada de manera electrónica a COLSUBSIDIO el 23 agosto de 2022. RESOLUCIÓN NÚMERO 51089 DE 2023 satisfacción de los requisitos del recurso objeto de estudio, así como en lo que concierne a la competencia de esta Superintendencia.
SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este despacho confirmará el acto administrativo recurrido de acuerdo con lo que pasa a exponerse: 1. Respecto del Deber de Solicitar y Conservar la autorización previa por parte del titular, así como de informar la Finalidad por la cual es recolectada la Información. 1.1.
En lo que tiene que ver con la autorización previa otorgada por el titular de la línea celular XXXXXXXXXX, el RECURRENTE manifestó lo siguiente: “En el presente caso, Colsubsidio, con quien mantuvo interacción para la recolección de los datos personales cuyo tratamiento motiva la presente sanción, fue con el señor Xxxx Xxxxx Xxxxxx Xxxx. El señor Xxxxxx fue quien indicó ser el titular del dato personal representado en el número de celular XXXXXXXXXX, lo suministró y previamente consintió su tratamiento, tal como se observa en el formulario allegado al expediente.
Como puede observarse, Xxxx Xxxxx Xxxxxx Xxxx fue quien, con su puño y letra, diligenció y autorizó el tratamiento de los datos personales, y quien además indicó ser el titular del número de celular antes señalado. Este formulario fue diligenciado por el mismo titular, lo cual se desprende de la equivalencia de la letra utilizada y la firma plasmada.
Este formulario fue radicado ante Colsubsidio bajo el número M1126101176649. A través del formulario, el titular, el señor Xxxx Xxxxx Xxxxxx, autorizó el tratamiento de la información diligenciada, entre la que se encontraba el número de celular referenciado. En este orden de ideas, el titular expresa y previamente consintió el tratamiento de la información contenida en el formulario, para las finalidades allí informadas, (…) Colsubsidio, de forma legítima y confiando en la buena fe del titular que radicó el formulario de diligenciamiento y autorización de uso de la información, procedió de conformidad con lo autorizado a almacenar dentro de sus bases de datos el número de celular suministrado, quien además en el formulario declaró, bajo la gravedad del juramento, que la información suministrada era “exacta” a efectos de las funciones que adelanta Colsubsidio.
Por ello, resulta innegable que, a diferencia de lo afirmado por la Dirección, Colsubsidio sí contó con la autorización previa, expresa e informada para el tratamiento del número de celular XXXXXXXXXX, la cual fue dada en su momento por el señor Xxxx Xxxxx Xxxxxx Xxxx, quien manifestó ser su titular y haber dado datos “exactos” conforme el formulario diligenciado y radicado ante Colsubsidio.
Si la información suministrada a Colsubsidio por parte del señor Xxxxxx finalmente no resultó ser de él o fue inexacta desde su entrega, lo cual se desprende por los hechos traídos a colación en la denuncia del señor Xxxx Xxxxx Xxxxxxx y la confusa digitación por parte del titular, ambas situaciones no pueden ser reprochadas a Colsubsidio, quien confió en la buena fe del señor Xxxxxx y creyó de manera legítima que dicho número de celular era de él y que la digitación allí consignada correspondía con el número de celular XXXXXXXXXX.
Desde los descargos, Colsubsidio ha sido claro con la Dirección, la Compañía ha se ha comportado según los estándares exigidos por la regulación. El dato personal representado en el número XXXXXXXXXX fue recabado contando con la autorización de un titular que, de forma libre y bajo la gravedad del juramento, había otorgado su consentimiento a Colsubsidio.
Lo anterior hacía abiertamente innecesario que Colsubsidio obtuviera una autorización del tratamiento de este mismo dato respecto de cualquier otro titular”. (…) Con el fin de pronunciarnos frente a este aspecto del recurso, considera el Despacho necesario referirse sobre la queja presentada por el señor Xxxx Xxxxx Xxxxxxx Xxxxxxx el día 22 de abril de 2020 radicada con el número 20-97192, mediante la cual informa a esta Superintendencia lo siguiente: (i) Desde el mes de octubre de 2019, el señor Xxxxxxx Xxxxxxx empezó a recibir mensajes de texto de carácter promocional por parte de COLSUBSIDIO a su número celular XXXXXXXXXX, sin embargo, nunca ha dado autorización para el tratamiento de sus datos personales.
(ii) El día 21 de octubre de 2019, presentó un reclamo ante COLSUBSIDIO, mediante el cual informaba la novedad relacionada anteriormente y solicitaba la siguiente información: “a) La relación de la información que a nombre de XXXX XXXXX XXXXXXX XXXXXXX reposa en las bases de datos automatizadas y manuales, así como en los archivos físicos y digitales de COLSUBSIDIO. b) Remitir copia del mecanismo a través del cual COLSUBSIDIO recolectó los datos personales de XXXX XXXXX XXXXXXX XXXXXXX. c) Copia de la autorización de tratamiento de la información otorgada por XXXX XXXXX XXXXXXX XXXXXXX y conforme a la ley 1581 de 2012 en la cual se detalle que autoricé el envío de promociones y ofertas a mi número personal”.
RESOLUCIÓN NÚMERO 51089 DE 2023 (iii) El día 24 de octubre de 2019, mediante correo electrónico COLSUBSIDIO, frente al reclamo presentado, le informó que la petición había sido recibida y a la cual se le daría respuesta de 10 a 15 días hábiles, plazo que se venció el día 12 de noviembre de 2019 sin que haya recibido respuesta alguna. (iv) No obstante haber informado a COLSUBSIDIO sobre su situación desde el 21 de octubre de 2019, para los días 15, 26, 30, y 31 de diciembre de 2019, recibió nuevamente a su número de celular XXXXXXXXXX mensajes de texto de carácter promocional.
(v) Mediante correo electrónico del 9 de marzo de 2020, 4 meses después de haber vencido el plazo, la Coordinación de Servicio al Cliente de COLSUBSIDIO, da respuesta al reclamo presentado, indicando que el número XXXXXXXXXX no se encuentra registrado en su base de datos. (vi) Finalmente, a pesar de la respuesta brindada el 9 de marzo de 2020, el día 15 de abril de 2020, nuevamente recibió un mensaje de texto promocional por parte de COLSUBSIDIO.
Ahora bien, indica el RECURRENTE que, respecto del número celular XXXXXXXXXX relacionado por el señor Xxxxxxx Xxxxxxx en su queja y de cuyo tratamiento se desprende la presente actuación administrativa, COLSUBSIDIO sí cuenta con la autorización previa, en la medida que el citado abonado fue el relacionado por el señor Xxxx Xxxxx Xxxxxx Xxxx, en el Formulario de Afiliación No. XXXXXXXXXXXXXX, veamos: Igualmente, el RECURRENTE, respecto del citado formulario indicó lo siguiente: (…) Tal como fue comunicado a la Dirección, esto se debió a un error de digitación en el que se incurrió al momento de diligenciar el formulario de suministro de información, ya que el señor Xxxx Xxxxx Xxxxxx Xxxx, al llenarlo, invirtió el número 9 de su celular por un 7, haciéndole incurrir a Colsubsidio en error, y, por consiguiente, en una imprecisión al momento de almacenar y usar el número de contacto suministrado.
El número celular del que en verdad es titular el señor Xxxx Xxxxx Xxxxxx Xxxx es el XXXXXXXXXX, más no de XXXXXXXXXX, que fue el que finalmente suministró y sobre el que previamente otorgó de forma expresa e informada la autorización para su tratamiento. Asegura que, respecto del número de celular escrito en el formulario, el señor Xxxx Xxxxx Xxxxxx Xxxx, (persona que lo suscribió) invirtió el número 9 por un 7, en sus últimos dos dígitos, interpretándose como XXXXXXXXXX, sin embargo, en primer lugar, no allega una prueba con la que este Despacho pueda determinar que efectivamente se trató de un error de quien diligenció el formulario y no de quien sistematizó la información. Lo anterior, teniendo en cuenta que, de acuerdo con el mismo formulario, la información allí indicada sería sujeta a verificación. En segundo lugar, en la comunicación de fecha 9 de marzo de 2020, el Coordinador de Atención al Cliente de COLSUBSIDIO le informa al señor Xxxxxxx Xxxxxxx, que el número celular xxxxxxxxxx no se encuentra registrado en sus bases de datos, situación que no corresponde con los argumentos esgrimidos por el RECURRENTE en su escrito.
RESOLUCIÓN NÚMERO 51089 DE 2023 De conformidad con lo anteriormente indicado, concluye el Despacho que, si el número celular xxxxxxxxxx (equivocado o no), correspondía al señor Xxxxxx Xxxx, de acuerdo con el Formulario de Afiliación allegado y que fuera “diligenciado con su puño y letra” como lo indica el RECURRENTE, dicho abonado se hubiera encontrado registrado en la base de datos de COLSUBSIDIO, por lo que la respuesta dada al reclamo presentado por el señor Xxxxxxx Xxxxxx hubiera sido, bajo la tesis del RECURRENTE, que su número de celular se encontraba relacionado a nombre del señor Xxxxxx Xxxx.
Así las cosas, contrario a lo indicado por el RECURRENTE para el caso que nos ocupa, COLSUBSIDIO debía contar con la autorización previa, expresa e informada para el tratamiento de la información del señor Xxxx Xxxxx Xxxxxxx Xxxxxxx. Para el efecto, los literales b) y c) del artículo 4 de la Ley 1581 de 2012, disponen: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES.
En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)” La Corte Constitucional mediante Sentencia C-748 de 2011, frente a los citados principios se pronunció de la siguiente manera: (…) 2.6.5.2.2. Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.
La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. (…) Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.
Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse RESOLUCIÓN NÚMERO 51089 DE 2023 datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular.
(…) 2.6.5.2.3. Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.
También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. (Negrilla del texto original) Así, los literales b) y c) del artículo 17 la Ley 1581 de 2012 le imponen a los Responsables del Tratamiento de Datos Personales como deberes, entre otros, los siguientes: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
(…) Respecto de la autorización para el tratamiento de datos personales, y el deber de informar su finalidad los artículos 92 y 123 de la mencionada Ley, disponen: ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
(…) “ARTÍCULO
12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. (Énfasis añadido) De las citadas normas concluye el Despacho que los deberes de solicitar la autorización previa al tratamiento de los datos y de informar la finalidad para la cual son recolectados, se encuentran estrechamente relacionados, en la medida que el titular autoriza el tratamiento de su información de acuerdo con la finalidad que se le va a dar a la misma.
Así pues, tanto las normas como las jurisprudencias citadas anteriormente toman un sentido aún más fuerte y serio cuando un Responsable realiza el tratamiento de la información de un titular, sin contar con su autorización previa, expresa e informada, bajo la excusa de tratarse de un error, que en el caso particular le esta haciendo atribuible a un tercero, situación que, para el Despacho de por sí va en contravía de las normas constitucionales y legales que protegen el derecho de Habeas Data.
Por lo anterior se aclara que, COLSUBSIDIO no puede excusar el incumplimiento de las normas en un tercero, en la medida que, por su naturaleza, entiende el Despacho que cuenta con todos los mecanismos humanos y técnicos para corroborar que la información que está siendo incorporada a un formulario de afiliación corresponde efectivamente a la persona que lo está diligenciando.
Así las cosas, para el Despacho se encuentra suficientemente demostrado que la sociedad investigada infringió las normas de protección de datos personales establecidas en los literales b) y c) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales c) y b) del artículo 4 de la misma norma, por cuanto no logra probar que el tratamiento dado al número celular xxxxxxxxxx del 2 El artículo 2.2.2.25.2.4 del Decreto 1074 de 2015 establece el modo en que el Responsable puede obtener la autorización del titular para el tratamiento de los datos, así mismo el artículo 2.2.2.25.2.5 de la misma norma, determina que el Responsable debe conservar prueba de la autorización. 3 El artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 dispone que, en desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.
RESOLUCIÓN NÚMERO 51089 DE 2023 señor Xxxxxxx Xxxxxxxx fue debidamente autorizado por él, razón por la cual se confirmará la sanción impuesta a COLSUBSIDIO. 1.2. Respecto del Eximente de Responsabilidad alegado. Indicó el RECURRENTE en su escrito lo siguiente: “Dada la restricción en firme en cabeza de los revisores de no modificar, de ninguna manera, el contenido de los formularios objeto de procesamiento, frente al caso del señor Xxxxxx, su formulario procedió a ser digitalizado y automatizado en el archivo plano, que tomó el número de celular transcrito para traducirlo en un dato electrónico.
(…) si el número de celular que fue suministrado por el señor Xxxxxx no correspondía a un dato que le perteneciese o fue mal diligenciado dentro del formulario de afiliación, lo cierto es que dicha conducta no le es imputable a Colsubsidio, quien de buena fe confió en la exactitud de la información inicial que dicho titular le suministró. Por ello, si de dicha confianza y buena fe surge una situación reprochable, como lo sería que en la realidad el dato suministrado y frente al cual manifestó su autorización, no le pertenecía, quien faltó a su deber en la veracidad de la información en inobservancia a una manifestación juramentada frente a su exactitud no es Colsubsidio, sino quien lo diligenció. (…) Esta actuación no le es imputable a Colsubsidio, configurándose un eximente de responsabilidad pues el reproche surge del hecho imputable única y exclusivamente a un tercero, de tal forma que resulta improcedente la sanción en contra de Colsubsidio por una supuesta desatención de los deberes de autorización e información sobre las finalidades y derechos aplicables al tratamiento de la información (…)”.
En lo que tiene ver con el procedimiento para la automatización y sistematización de la información que es diligenciada en un formulario de afiliación, si bien es cierto el mismo es estricto, también lo es que COLSUBSIDIO como Responsable del tratamiento de datos personales, en virtud de los deberes y principios que protegen el derecho de habeas data establecidos en la Ley 1581 de 2012, debió verificar que los datos personales ingresados en el ya citado formulario correspondían efectivamente a la persona que los informó. Ahora bien, en lo que tiene que ver con el eximente de responsabilidad relacionado con el Hecho Exclusivo de un Tercero, alegado por el RECURRENTE, considera este Despacho pertinente traer a colación lo que sobre este tema en particular, ha dicho el Consejo de Estado4: “(…) Cabe señalar que la jurisprudencia del Consejo de Estado ha sostenido que las causales eximentes de responsabilidad como la fuerza mayor, el caso fortuito, el hecho exclusivo de un tercero o la culpa también exclusiva de la víctima, conforman un conjunto de eventos que impiden la imputación, jurídicamente hablando, de la responsabilidad de la Administración por hechos constitutivos de daño, de tal suerte que para su configuración se hace necesario la presencia de 3 elementos: a) la irresistibilidad; b) la imprevisibilidad; c) la exterioridad respecto del demandado.
La irresistibilidad consiste en la imposibilidad del obligado a determinado comportamiento o actividad, es decir, el daño debe resultar inevitable para que pueda hablarse de la configuración de una causa extraña. A su turno, la imprevisibilidad se refiere a aquella situación que no es posible prever anticipadamente, es decir, que el hecho causante del daño no resulte imaginable antes de su ocurrencia, pero también cuando a pesar de haber sido imaginado con anticipación, resulta súbito o repentino. Finalmente, la exterioridad que se exige de la causa del daño para que pueda ser considerada extraña a la entidad demandada es una exterioridad jurídica, en el sentido de que ha de tratarse de un suceso o acaecimiento por el cual no tenga el deber jurídico de responder la accionada.
(Negrilla fuera de texto) Conforme a lo anterior, para que se configure una causal eximente de responsabilidad, resulta necesario -para quien la alega-, explicar sí se presentan los tres elementos necesarios para ello, estos son: a) la irresistibilidad, b) la imprevisibilidad y c) la exterioridad. Al respecto, se evidencia que al verificar el escrito de apelación, frente a dichos aspectos que no fueron acreditados por parte del RECURRENTE, se limitó a manifestar que la imprecisión del número celular escrito en el formulario de vinculación es suficiente per se para que este Despacho pueda concluir que efectivamente la conducta investigada en la presente actuación administrativa no puede ser imputada a COLSUBSIDIO.
Por lo anterior, encuentra el Despacho que el citado argumento no está llamado a prosperar. 1.3. Respecto a la corrección del dato personal incluido en el Formulario de Afiliación. 4 Sentencia proferida dentro del Expediente No. 66001233100019980024101 de fecha 26 de enero de 2011. Consejera Ponente: Dra. Gladys Agudelo Ordóñez. RESOLUCIÓN NÚMERO 51089 DE 2023 Indicó el RECURRENTE en su escrito lo siguiente: (…) “(…) una vez Colsubsidio se percató del error de digitación en el formulario de afiliación, procedió a eliminar la información alusiva al dato personal del señor Xxxxxxx, bloqueando igualmente el envío de mensajes a su línea de celular.
Lo anterior, no habría podido haber sido realizado con antelación, dado que dada la gravedad de juramento con la que el señor Xxxx Xxxxx Xxxxxx Xxxx, Colsubsidio de buena consideraba que este dato personal le pertenecía a este titular y no a otro. Frente este aspecto del recurso, este Despacho considera que el mismo no tiene asidero, si se tiene en cuenta que, como se ha dicho a lo largo del presente acto administrativo, desde el 21 de octubre de 2019, el señor Xxxxxxx Xxxxxxx informó a COLSUBSIDIO respecto del tratamiento que estaban realizando a su información sin que existiera de por medio una autorización previa, expresa e informada.
Sólo hasta el 9 de marzo de 2020, que dio respuesta al reclamo presentado, COLSUBSIDIO le indicó que su número celular xxxxxxxxxx no se encontraba registrado en su base de datos. Sin embargo, el día 15 de abril de 2020, es decir, más de un mes después de haber recibido la respuesta, COLSUBSIDIO envió nuevamente información publicitaria a su abonado, vulnerando de esta forma el derecho de habeas data del quejoso.
Aunado a lo anterior, resulta necesario recordarle al RECURRENTE que la veracidad de la información que haya sido recolectada por su representada no fue objeto de investigación en la presente actuación administrativa. 2. Respecto del Deber de Tramitar las Consultas y reclamos Formulados por los titulares. 2.1. Afirma el RECURRENTE en su escrito, lo siguiente: “(…) Colsubsidio reconoció que existió una demora en los tiempos de respuesta, no por negligencia de parte de Colsubsidio, sino por las dificultades que experimentaron sus sistemas al tener que buscar información sobre un sujeto con el que no se había tenido vínculo alguno. Colsubsidio indagó acerca de la existencia de la autorización del señor Xxxxxxx para el tratamiento de su información; no obstante, como Colsubsidio no ha tenido relación con dicho sujeto, la atención de la petición involucró para la organización buscar en todas sus bases de datos una información que era inexistente, lo cual le significó la utilización de un tiempo atípico dado lo igualmente extraño de la situación. La información por la que indagó el señor Xxxxxxx hacía alusión a unos datos personales que, en principio, no habían sido entregados por él sino por otra persona que dijo ser su titular.
Esto representó para Colsubsidio tener que llevar una búsqueda exhaustiva de un dato y autorización dada por un sujeto con quien no ha tenido relación, lo cual generó problemas en sus sistemas de búsqueda (…) En lo que tiene que ver con el deber de dar Trámite a las consultas que presenten los titulares ante un Responsable del Tratamiento, el literal j) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” En concordancia con lo anterior, el artículo 14 de la misma norma establece: “ARTÍCULO 14.
CONSULTAS. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.
La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
PARÁGRAFO. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal”. (negrilla fuera de texto) La Corte Constitucional en sentencia T-814 de 2005 precisó que el derecho de petición “conlleva la posibilidad de que las personas puedan dirigirse a las autoridades públicas u organizaciones privadas, en interés particular o general con el fin de presentar solicitudes respetuosas y esperar una RESOLUCIÓN NÚMERO 51089 DE 2023 respuesta clara y precisa del asunto presentado a su consideración en el término legalmente establecido.
En virtud de lo anterior, la esencia del derecho de petición comprende algunos elementos: (i) pronta resolución, (ii) respuesta de fondo, (iii) notificación de la respuesta al interesado”. (negrilla fuera de texto). Por su parte, mediante Sentencia C – 748 del 6 de octubre de 2011 respecto del artículo 14 antes transcrito, manifestó lo siguiente: “Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución tanto en el inciso primero como en el segundo, por cuanto el primero señala que todas las personas tienen derecho a presentar peticiones respetuosas ante las autoridades por motivos de interés general o particular, hecho que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades públicas, peticiones para establecer qué información o datos poseen sobre ellos.
En el segundo inciso del mencionado artículo 23 señala que el legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales. Es precisamente esta regulación la que hace el artículo 14, al estipular que los responsables y/o encargados del tratamiento de datos, en este caso los privados, deben atender en los precisos términos las consultas que eleven ante ellos los titulares del derecho al habeas data, como una forma de hacer exigibles el derecho consagrado en el literal a) del articulo 8 del proyecto en revisión, específicamente el de conocer.
En este orden de ideas, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data. Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.
En ese sentido, el legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.
Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del tratamiento del dato, el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares. Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente.
En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional272 ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.
(Negrilla fuera de texto) Conforme a lo anterior, no responder de manera respetuosa, completa y de fondo, dentro del término legal establecido, un reclamo hecho por un titular, vulnera su derecho fundamental de hábeas data. Así las cosas, de acuerdo con la línea de tiempo establecida por este Despacho, el señor Xxxxxxx Xxxxxxx, elevó una consulta ante COLSUBSIDIO el día 21 de octubre de 2019, posteriormente, el día 24 del mismo mes y año, se le informó al titular que su petición había sido recibida de manera satisfactoria y que en un término de 10 a 15 días se le daría respuesta, es decir a más tardar el 12 de noviembre de 2019, sin embargo, durante ese término no hubo pronunciamiento alguno. Ahora bien, frente a las afirmaciones efectuadas por el RECURRENTE respecto a que se presentaron diferentes obstáculos que impidieron dar respuesta dentro del término establecido a la consulta presentada por el titular, se le aclara que, esto debió informárselo al señor Xxxxxxx Xxxxxx, por lo que guardar silencio respecto de este aspecto, vulnera claramente el derecho de habeas data del titular y de paso el derecho de petición. Y aunque finalmente dio respuesta a la consulta elevada por el titular desde el 21 de octubre de 2019, ésta se produjo casi 4 meses después de vencido el RESOLUCIÓN NÚMERO 51089 DE 2023 plazo estipulado (12 de noviembre de 2019), tal y como quedó establecido por la Dirección de Investigación de Protección de Datos Personales en el acto administrativo que se revisa.
En este orden de ideas, considera el Despacho que los argumentos presentados por el RECURRENTE sobre este punto particular no están llamados a prosperar. 2.2. Frente a la configuración de un Hecho Superado. Considera el RECURRENTE que en la presente actuación administrativa se presenta un hecho superado, que no amerita la imposición de una sanción, para sustentar su dicho afirma lo siguiente: “(…) Colsubsidio procedió con la modificación de la información personal del titular que había suministrado el número de celular del señor Xxxxxxx, al tiempo que bloqueó dentro de sus bases de datos el envío de cualquier comunicación con destino a la línea celular antes mencionada.
Frente a ello, le pedimos a la Dirección que tenga en cuenta las evidencias acerca del proceso de búsqueda de la información personal del señor Xxxx Xxxxx Xxxxxxx, el cual arroja que ni su número de cédula ni su línea de celular son objeto de tratamiento por parte de Colsubsidio. Estos hechos dan muestra de que Colsubsidio finalmente solucionó la problemática descrita frente a los datos del reclamante, así lo que de fondo hubiese existido haya sido el suministro de información inexacta y confusa por parte de un tercero ajeno a la investigación. Por ello, consideramos que existe un hecho superado que incluso fue remediado mucho antes de que iniciara la presente investigación. Al concurrir un hecho superado frente a los reclamos del señor Xxxxxxx, respetuosamente manifestamos que, en el presente caso, no concurren elementos de proporcionalidad que ameriten la imposición de una multa en contra de Colsubsidio, sino, a lo sumo, una amonestación por lo ocurrido.
Colsubsidio lamenta en gran medida lo que pasó con la línea celular del señor Xxxxxxx, pero solicitamos de forma encarecida a la Dirección que, al momento de juzgar los comportamientos de Colsubsidio, tenga en cuenta que todo se debió a la inexactitud de una información que le fue suministrada por un tercero externo a Colsubsidio, frente a lo cual finalmente actuó superando cualquier circunstancia que le haya podido generar un agravio al señor Xxxxxxx.
(…) Pues bien, en primer lugar para el Despacho es importante señalar que, frente a la infracción de las normas de protección de datos personales establecidas en la Ley 1581 de 2012, para el Responsable del tratamiento no desaparece su responsabilidad, como tampoco lo hace la facultad sancionatoria de esta Superintendencia que se pueda derivar de dicho incumplimiento, aun cuando éste haya cesado a favor del titular.
El hecho superado5 tiene lugar cuando en el curso de la actuación administrativa o incluso antes de iniciada la misma, desaparece la amenaza o cesa la vulneración del derecho fundamental de habeas data, que motivó al titular de información para solicitar su protección, evento en el cual las órdenes impartidas por la administración encaminadas a salvaguardarlo resultarían innecesarias.
Sin embargo, una investigación administrativa sancionatoria va encaminada a verificar el cumplimiento de los deberes y exigencias de la Ley, independientemente de que desaparezca o no continúe la vulneración. En este orden de ideas, si bien es cierto que COLSUBSIDIO, informó al señor Xxxxxxx Xxxxxxx que su número de celular no se encontraba registrado en ninguna de sus bases de datos, independientemente de las labores internas que haya tenido que hacer, también lo es que, dicha respuesta se produjo, como se dijo en líneas anteriores, por fuera del término establecido en la norma, vulnerando de esta manera el régimen de protección de datos personales, razón por la que la sanción impuesta es a todas luces procedente.
Razones más que suficientes para determinar que contrario a lo indicado por el RECURRENTE no se configura un hecho superado en los términos por él descritos. 3. Respecto a la Imposición de la Sanción. 3.1. Aplicación de los Criterios de Graduación establecidos en el artículo 24 de la Ley 1581 de 2012. la figura del “hecho superado”, la Corte Constitucional mediante sentencia T-086 del 2 de marzo de 2020, Magistrado Ponente: Alejandro Linares Cantillo, manifestó: “La Corte ha interpretado la disposición precitada en el sentido de que el hecho superado, tiene lugar cuando desaparece la vulneración o amenaza al derecho fundamental invocado[58]5.
Concretamente, la hipótesis del hecho superado se configura “cuando entre la interposición de la acción de tutela y el fallo de la misma, se satisface por completo la pretensión contenida en la acción de tutela, es decir, que por razones ajenas a la intervención del juez constitucional, desaparece la causa que originó la vulneración o amenaza de los derechos fundamentales del peticionario”[59]5 (resaltado fuera del texto)”. 5 Sobre RESOLUCIÓN NÚMERO 51089 DE 2023 Afirma el RECURRENTE que “[e]n ninguna parte de la norma mencionada se establece que los criterios de graduación de la multa son opcionales o que la autoridad tiene discrecionalidad para omitir los que considere.
Por ende, la Dirección debió aplicar todos y cada uno de los criterios o, por lo menos, otorgar una explicación clara y detallada acerca de porqué prefirió aplicar unos criterios frente a otros” Como se ha dicho, en materia de protección de datos personales, el artículo 22 de la Ley 1581 de 2012, establece: “ARTÍCULO 22. TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
(…)” (énfasis añadido) Por su parte el artículo 23, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos, por la vulneración de la normas de protección de datos personales. “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”;
(énfasis añadido) Para la graduación de las sanciones esta Superintendencia cuenta con los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, de los cuales únicamente se tendrán en cuenta aquellos que sean aplicables, de acuerdo la conducta investigada que dio origen a la actuación administrativa de carácter sancionatorio.
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Respecto del citado artículo, la Corte Constitucional mediante sentencia C – 748 de 2011, manifestó lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) De lo anterior se colige que no es necesario hacer una ponderación de cada uno de los criterios de graduación establecidos en la norma, para hacerlo en los términos exigidos por el RECURRENTE es necesario contar con elementos de prueba que indiquen que es posible aplicarlos. En el caso particular, la Dirección de Investigación de Protección de Datos Personales, al momento de determinar la sanción a imponer a COLSUBSIDIO, concluyó que con su conducta había vulnerado el bien jurídico tutelado por la Ley 1581 de 2012, este es, el derecho de habeas data del señor Xxxxxxx Xxxxxxx, al incumplir con los deberes relacionados con la autorización previa al tratamiento, informar la finalidad de este y dar respuesta a la consulta elevada por él. Establecido lo anterior, al momento de graduar la sanción a imponer, consideró la Dirección conforme la conducta investigada y las pruebas allegadas, que sólo le era aplicable el criterio establecido en el literal a) del ya citado artículo 24, y no los establecidos en los literales b), c), d) y e) en la medida que, COLSUBSIDIO: RESOLUCIÓN NÚMERO 51089 DE 2023 (i) No obtuvo un beneficio económico en virtud de la comisión de la infracción. (ii) No reincidió en la comisión de la falta investigada.
(iii) No se resistió ni obstruyó la acción investigadora de esta Superintendencia. (iv) No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia. Finalmente, tampoco dio aplicación al único criterio de atenuación de la sanción establecido en el literal f) del citado artículo, pues, no reconoció ni aceptó la comisión de la conducta vulneradora del derecho.
Con lo anterior, se concluye que los criterios de graduación contrario a lo indicado por el RECURRENTE, si fueron valorados por parte de la Dirección, sin embargo, no fueron “aplicados” al momento en que fue graduada la sanción impuesta, recuérdese que como lo dijo a Corte Constitucional, los 5 primeros criterios se utilizan para agravarla y el último para atenuarla.
Así las cosas, este Despacho coincide con la valoración de los criterios de graduación realizada por la Dirección de Investigación de Protección de Datos Personales, la cual se ajusta además con los postulados del principio de legalidad. Ahora bien, el RECURRENTE en su escrito, profundiza sus argumentos frente al criterio de graduación establecido en el literal a) del artículo 24 antes citado, al indicar que: “(…) la Dirección se limitó a enunciar que Colsubsidio “actuó negligentemente al incumplir” con las normas imputadas como infringidas.
No existió ningún otro tipo de análisis al respecto. En ninguna parte de la Ley 1581 de 2012 se expone que la dimensión del daño o peligro a los intereses jurídicos tutelados se debe valorar de forma potencial y no real. La Dirección tampoco expone ningún argumento jurídico, jurisprudencial o fáctico para determinar eso. La Dirección ni siquiera verificó cuantos son los titulares incluidos en la base de datos de Colsubsidio, los cuales ascienden a 1.570.854, para verificar el impacto real generado, incluso, sobre un dato obtenido de buena fe por parte de Colsubsidio.
Con lo anterior, la Dirección infringe los principios de legalidad y tipicidad dentro de un proceso administrativo sancionatorio. La autoridad debe abstenerse de hacer juicios e interpretaciones que, al carecer de fundamentos jurídicos o jurisprudenciales, resultan arbitrarios. La arbitrariedad, en este caso, implica que Colsubsidio está siendo sancionada sin razón y de forma ilegal.
Por demás, en ninguna parte de la Resolución 55739, ni del expediente, obra prueba alguna que le permita a la Dirección afirmar que las conductas en las que presuntamente incurrió Colsubsidio ocasionaron efectos perjudiciales al señor Xxxxxxx. Ahora, es importante aclarar que el hecho de que dicha resolución exponga en su parte motiva las quejas del señor Xxxxxxx, no implica que algún daño se haya consumado, o la proporcionalidad del mismo(…).
Pues bien, pone de presente este Despacho que según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”6. (Negrilla fuera de texto) Quiere decir entonces, que el juicio de antijuridicidad que debe realizar el operador jurídico no recae sobre el daño o perjuicio que se pueda causar, sino en la infracción misma de la norma.
En este punto en particular, resulta necesario traer a colación lo dicho por el Consejo de Estado7 en materia de antijuridicidad. “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico. En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material).
Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia [94]8. Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 7 Consejo de Estado – Subsección C). Radicación número: 05001-23-24-000-1996-00680-01(20738) Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012). Consejero ponente: ENRIQUE GIL BOTERO. 8 [94] RINCÓN CÓRDOBA, Jorge Iván. Derecho Administrativo Laboral.
Bogotá, Universidad Externado de Colombia. Pág. 595. RESOLUCIÓN NÚMERO 51089 DE 2023 situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma [95]9”, de allí que se sostenga que el reproche recae sobre “la mera conducta”. En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración [96]10.” A partir de lo anterior, concluye el Despacho que el procedimiento administrativo sancionatorio como el que nos ocupa no exige la lesión efectiva de un bien particular jurídicamente tutelado para que proceda la sanción, por lo que debe advertírsele al RECURRENTE que, el hecho de que no se consolide un daño en específico respecto del titular, no es óbice para que esta Superintendencia no pueda aplicar su facultad sancionatoria, cuando existen razones de hecho y derecho para hacerlo.
Entonces, al no requerirse la materialización del daño individual, no es necesario que obre prueba de su existencia. Por lo tanto, basta con que se desconozcan las normas de protección de datos personales para que pueda imponerse una sanción. Así las cosas, considera el Despacho que el argumento esbozado en el escrito de apelación relacionado con la exigencia de la materialización de un daño no está llamado a prosperar. 3.2.
Respecto al Valor de la Sanción Impuesta. Sobre este aspecto en particular, consideró el RECURRENTE en su escrito lo siguiente: “La indebida aplicación de los criterios de graduación de la multa que dicta la Ley 1581 de 2012, por parte de la Dirección, hacen que el valor de la sanción impuesta carezca de sustento y sea arbitrario. Al analizar los criterios de graduación de la multa, la Dirección no definió cómo afectaban el valor de la sanción y tampoco determinó si alguno de ellos, por ejemplo, tenía más peso que los otros.
Es importante recordarle a esta autoridad que dentro de las obligaciones que tiene en el marco de sus funciones de inspección, vigilancia y control, debe tratar a los particulares con base en fundamentos jurídicos y fácticos adecuados, evitando a toda costa la ausencia de una debida y correcta justificación de las sanciones impuestas”. Sobre el principio de proporcionalidad de la sanción, resulta necesario en primer lugar indicar que el artículo 29 de la Constitución Política, dispone que nadie podrá ser juzgado sino conforme a las leyes preexistentes al acto que se le imputa, se traduce este aspecto, en el respeto al principio de legalidad, el cual exige que las infracciones y las sanciones estén contenidas en la norma, y estas, deben ser proporcionales a aquellas.
Sobre este punto en particular, la Corte Constitucional al revisar la constitucionalidad de la Ley 1581 de 2012, manifestó lo siguiente: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.”11 Considera el RECURRENTE que la sanción impuesta por la Dirección no es proporcional, en la medida que, -insiste- no se tuvieron en cuenta todos los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012. 9 [95] Ibídem. 10 [96] BIELSA, Rafael.
Derecho Administrativo. Tomo IV. El Poder de Policía. Limitaciones Impuestas a la Propiedad Privada en Interés Público. Administración Fiscal. Buenos Aires, Depalma. 1956. Pág. 69. 11 Corte Constitucional. Sentencia C-748 de 2011 RESOLUCIÓN NÚMERO 51089 DE 2023 Al respecto, como se dijo en líneas anteriores, la Dirección de Investigación de Protección de Datos Personales, efectivamente valoró cada uno de los criterios de graduación al momento de la imposición de la sanción que se revisa, llegando a la conclusión que sólo se tendría en cuenta, el criterio de agravación establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, por lo que a juicio de este Despacho la sanción impuesta a COLSUBSIDIO se ajusta a los principios de legalidad y proporcionalidad.
Finalmente, es preciso destacar que, para determinar el monto de la sanción, la Dirección consideró diversos factores, como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, los deberes incumplidos. Por lo tanto, se evidencia que todo esto se ha evaluado, en congruencia con los principios de proporcionalidad y razonabilidad.
Se recuerda que las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia de la vulneración de las disposiciones de la citada ley, buscando promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental de Habeas Data12.
Adicionalmente, el artículo 23 de la Ley 1581 de 2012, establece un monto límite que se debe tener en cuenta cuando se imponga una sanción de carácter pecuniario, siendo este de dos mil (2000) salarios mínimos legales mensuales vigentes, por lo que el valor impuesto en el acto administrativo que se revisa corresponde al 4.00% de ese límite dispuesto en la Ley.
Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta a COLSUBSIDIO ($45.034.740), corresponde al 2.25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). ii. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa por el incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables. iii.
La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados. iv.
Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales. Por consiguiente, este Despacho considera que la sanción impuesta es proporcional, en consideración a los hechos que le sirvieron de causa y a la motivación del acto administrativo recurrido encontrando su justificación en la naturaleza de las normas violadas y en el límite dado por el legislador en el artículo 23 de la Ley 1581 de 2012.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución No. 55739 del 22 de agosto de 2022. 4. Conclusiones. a) COLSUBSIDIO incumplió con los deberes establecidos en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma ley y (ii) el literal c) del 12 La Corte Constitucional en sentencia C – 818 del 9 de agosto de 2005, Magistrado Ponente: Dr. Rodrigo escobar Gil, respecto del derecho administrativo sancionador, manifestó: “Es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas. RESOLUCIÓN NÚMERO 51089 DE 2023 artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) de la misma norma, por cuanto realizó el tratamiento de la información del señor Xxxxxxx Xxxxxxx sin contar con la autorización previa, expresa e informada. b) COLSUBSIDIO dio respuesta a la consulta hecha por el señor Xxxxxxx Xxxxxxx por fuera del término establecido en la norma para ello, vulnerando de esta manera el deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 14 de la misma norma. c) La sanción impuesta en la Resolución No. 55739 del 22 de agosto de 2022, cumple con los principios de legalidad y proporcionalidad, en la medida que para su imposición se valoraron cada uno de los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012. d) La multa impuesta a COLSUBSIDIO corresponde al 2.25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
En mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 55739 del 22 de agosto de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR la presente decisión a la sociedad CAJA COLOMBIANA DE SUBSIDIO FAMILIAR - COLSUBSIDIO, identificada con Nit. 860.007.336-1, a través de su representante legal y/o su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR el contenido del presente acto administrativo al señor XXXX XXXXX XXXXXXX XXXXXXX, identificado con la cédula de ciudadanía No. XX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., agosto 28 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.08.28 17:28:39 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ NTL RESOLUCIÓN NÚMERO 51089 DE 2023 NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo Electrónico: CAJA COLOMBIANA DE SUBSIDIO FAMILIAR - COLSUBSIDIO Nit. 860.007.336-1 LUIS CARLOS ARANGO VELEZ C.C. 8.268.605 Calle 26 No. 25 – 50 Piso 9 Bogotá D.C. servicioalcliente@colsubsidio.com Apoderado Especial: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo electrónico: JOSÉ MIGUEL DE LA CALLE RESTREPO C.C. 80.417.606 66.218 del C.S. de la J Avenida Calle 92 No. 11 – 51 Piso 4 Bogotá D.C. jose.miguel.delacalle@garriguez.com alejandro.acevedo@garrigues.com COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXX XXXXX XXXXXXX XXXXXXX C.C. XX.XXX.XXX xxxxxxxxxxxxxxxxxxxxxxxxxx