(25 NOVIEMBRE 2022) “Por la cual se impone una sanción administrativa” Radicación 20-276779 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que el señor XXXXXXXXXXXXXXXXXX, identificado con la cédula de ciudadanía número XXXXXXX (en adelante el “Denunciante”), presentó denuncia radicada ante esta Superintendencia con el número 20-276779-0 del 06 de agosto de 2020, en la cual advierte sobre una presunta vulneración a su derecho fundamental de habeas data. A partir de dicha denuncia, este Despacho realizó dos requerimientos de información al Titular, los cuales fueron respondidos por el mismo mediante comunicaciones con radicados 20-276779-8 y 20-276779- 11 del 30 de abril de 2021 y 28 de junio de 2021 respectivamente, y permitieron determinar mediante la información y documentación aportada por el Denunciante que, el evento preliminarmente acreditado que resulta relevante para evaluar una posible vulneración al Régimen General de Protección de Datos Personales, gira en torno a la presunta remisión a terceros no autorizados de una información dirigida al Denunciante, por parte quien en su momento fungía como “Consejera y Presidenta del Consejo” de la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL identificada con NIT 901.395.894-0 (en adelante la “Investigada”), descrito por el Denunciante en la comunicación con radicado 20- 276779-8 del 30 de abril de 2021 de la siguiente manera: Adicionalmente, en respuesta al requerimiento del 21 de junio de 2021 con radicado 20-276779- 10 realizado por este Despacho, el Denunciante allegó copia del documento presuntamente remitido por la copropiedad, mediante comunicación 20-276779-11 del 28 de junio de 2021.
“1.3 Evento 3: el 26/10/2020 un tercero identificado en e-mail con el nombre “XXXXXXXXXXX XXXXXXXX”, quien para la época fungió como integrante del Consejo de Administración, remitió un comunicado dirigido al suscrito con información sensible y carácter privado; pero este comunicado no se entregó al suscrito, se envió a diferentes cuentas de correo, como se ilustra en la siguiente imagen.
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el En el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley se inició la presente investigación administrativa, HOJA N 2, “Por la cual se impone una sanción administrativa” mediante la expedición de la 12441 del 21 de enero del 2022, por medio de la cual se formuló un CARGO ÚNICO a la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL, identificada con Nit. 901.395.894-0.
TERCERO: Que la Resolución 1244 del 21 de enero de 2022, fue notificada electrónicamente al señor XXXXXXXXXXXXXXXXXXXXXXX, en representación de la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL el día 24 de enero del 2022, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 20-276779- 25 del 25 de enero del 2022.
CUARTO: Que por conducto de su apoderado general la copropiedad encontrándose dentro del término establecido para el efecto, mediante escrito de fecha 11 de febrero del 2022 radicado bajo el número 20-276779-27, presentó los respectivos descargos, con las pruebas que pretende hacer valer en la presente actuación administrativa. manifestando lo siguiente: “Manifiesto que se reconoce y acepta que se cometió la infracción, pero debido a un error humano, existiendo la buena fe, nunca se pretendió generar daño alguno. En consecuencia, solicito respetuosamente se tenga en cuenta el literal F artículo 24 de la Ley 1581 de 2012 como criterio de atenuación de la responsabilidad al momento de la graduación de las sanciones a imponer; e igualmente considerar que el Club Residencial Vizta Propiedad Horizontal, NIT: 901395894-0 es persona jurídica sin ánimo de lucro.”
QUINTO: Que mediante Resolución 31316 de 23 de mayo del 2022, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-276779-29 En el mismo acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
SEXTO: Que la Resolución 31316 de 23 de mayo del 2022, fue notificada al señor ALFONSO CARRILLO CASTILLO en representación de la copropiedad investigada el 24 de mayo del 2022, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 20-276779-34 del 3 de junio del 2022.
SÉPTIMO: Que mediante escrito radicado bajo número 20-276779-35, el apoderado de la copropiedad, doctor señor ALFONSO CARILLO CASTILLO, presentó alegatos de conclusión, en los cuales reiteró lo expresado en sus descargos.
OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. 1 Resolución 49523 del 24 de agosto de 2020 radicada bajo el número 19-139735-0007-0 del 28 de agosto de 2020. 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
HOJA N 3, “Por la cual se impone una sanción administrativa” El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…) Artículo 4. Principios: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) principio de acceso y circulación restringida: El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la constitución. En este sentido, el tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley, Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;
(…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…)”. Es preciso citar la sentencia C-748/11 que realizó el control de constitucionalidad de la Ley Estatutaria 1581 de 2012, que frente a la seguridad que deben ostentar los Responsables de la información del dato personal, argumentó que: “(…) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato ( ) siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.
(…)” HOJA N 4, “Por la cual se impone una sanción administrativa” Asimismo, en la misma sentencia, la Corte Constitucional indicó que frente al principio de acceso y circulación restringida: “(…) En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.
Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) La norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa, es decir, lo que la jurisprudencia ha denominado el principio de individualidad del dato.
Como consecuencia de lo anterior, queda prohibido generar efectos jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos. (…) Debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.
De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. (…) En aras del principio de acceso y circulación restringida, seguridad y confidencialidad, el Titular tiene derecho a exigir que su información sea tratada de conformidad con los límites impuestos por la Ley y la Constitución. (…)”.
En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales. Retomando el caso objeto de estudio, se encuentra que, el señor XXXXXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, a través de denuncia radicada bajo el número 20276779-0 del 06 de agosto de 2020, que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: “(…) 3.
Las circustancias (sic) que rodearon el asunto materia de la demanda se concretan en: El 3 de enero de 2020, el personal de vigilancia contratado por la Constructora Vizkaya Tolima, expuso a tercero situacion (sic) consdierada(sic) como de reserva a terceros ajenos al pleito; en ese momento el personal de vigilancia, expuso a personas que el suscrito adeudaba una cifra y por ese motivo no permitiria(sic) el ingreso de las personas que ingresarian (sic) al predio.” De acuerdo con los argumentos de la investigada, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL no demostró conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
En consecuencia, este Despacho formuló un cargo mediante la Resolución 1244 del 21 de enero del 2022, sustentada en las siguientes consideraciones: “Al respecto, esta Dirección pudo verificar de manera preliminar en la documentación aportada por el Denunciante y la Investigada (referida en los numerales 2.2, 2.5 y 2.6) que el 26 de. octubre de 2020, mientras fungía como “Consejera y Presidenta del Consejo” de la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL, la señora XXXXXXX XXXXXXXXXXXXXXXX, les remitió a terceros no autorizados una comunicación del Consejo de Administración de la copropiedad dirigida al Denunciante.
HOJA N 5, “Por la cual se impone una sanción administrativa” Del estudio de la información aportada por la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL, se tiene que, pese a que esta declara contar con diversas medidas de seguridad implementadas al interior de la misma, para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales recolectados, la persona que en su momento fungía como “Consejera y Presidenta del Consejo” de la copropiedad, remitió un comunicado que contenía datos personales del Denunciante a terceros no autorizados, de manera que dichos datos resultaron expuestos, generando un posible uso o acceso no autorizado frente a los datos personales del Denunciante.
Lo anterior presuntamente se traduce en un indebido tratamiento por parte de la Investigada en su calidad de Responsable del Tratamiento, adicionalmente, evidencia preliminarmente que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL no conservó la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones y por otra parte, que no dio cumplimiento al principio de circulación restringida al presuntamente divulgar los datos personales del Denunciante a terceros no autorizados.
Por lo anterior, se advierte, un presunto incumplimiento por parte de la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL en calidad de Responsable del Tratamiento, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley ” Frente al único cargo, manifiesta la copropiedad investigada en su escrito de descargos radicado bajo el número 20-276779-27 del 11 de febrero del 2022, lo siguiente: “(…) Manifiesto que se reconoce y acepta que se cometió la infracción, pero debido a un error humano, existiendo la buena fe, nunca se pretendió generar daño alguno. En consecuencia, solicito respetuosamente se tenga en cuenta el literal F artículo 24 de la Ley 1581 de 2012 como criterio de atenuación de la responsabilidad al momento de la graduación de las sanciones a imponer; e igualmente considerar que el Club Residencial Vizta Propiedad Horizontal, NIT: 901395894-0 es persona jurídica sin ánimo de lucro.” Ahora bien, para claridad de la copropiedad investigada, las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos técnicos de acceso no autorizado o fraudulento por parte de terceros que pueden hacer uso no autorizado de los datos personales de los Titulares.
Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.
Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales. Ahora bien, una vez revisado el material probatorio obrante en el expediente se encuentra que la que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL no conservó la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones, así mismo, no dio cumplimiento al principio de circulación restringida al presuntamente divulgar los datos personales del Denunciante a terceros no autorizados., tal como se evidencia en la siguiente prueba aportada por el denunciante: HOJA N 6, “Por la cual se impone una sanción administrativa” Así mismo, la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL mediante escrito de descargos como anexo allegó documento denominado “PROTOCOLO DE GESTIÓN DE INCIDENTES DE SEGURIDAD”, como se evidencia a continuación: Respecto lo anterior, en el documento anexado como prueba, junto con los descargos, se evidencia que el documento denominado “PROTOCOLO DE GESTIÓN DE INCIDENTES DE HOJA N 7, “Por la cual se impone una sanción administrativa” SEGURIDAD” fue implementado con posterioridad a los hechos que se investigan, pues el correo con datos de carácter semiprivado del Titular fue enviado a terceros no autorizados el 26 de octubre del 2020 y el protocolo de gestión de incidentes de seguridad fue implementado el 6 de mayo del 2021.
Ahora bien, es importante precisar que, para cualquier tratamiento de datos personales, incluido el procesamiento de datos de carácter semiprivado, el Responsable está obligado a adoptar las medidas técnicas y organizativas que eviten, de manera efectiva, la adulteración, pérdida o, según la naturaleza del dato, la consulta, uso o acceso no autorizado.
Así, por ejemplo, entre ellas, establecer controles que impidan el uso de cuentas electrónicas que no hayan sido autorizadas directamente por sus titulares para recibir mensajes o que preserven la confidencialidad de los destinatarios de los mensajes. De igual forma, se evidencia que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL, en calidad de Responsable del tratamiento, al momento en que ocurrieron los hechos investigados carecía de protocolos de seguridad necesarios para prever o minimizar el riesgo en el tratamiento de información personal. respecto del envío de datos semiprivados a través de comunicaciones electrónicas3.
Así las cosas, para este Despacho la conducta desplegada por la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL al enviar un correo electrónico con los datos del denunciante a terceros no autorizados, exponiendo información sensible y semiprivada del titular claramente puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Pues vulneró el derecho fundamental a la protección de datos personales. En este punto, es importante señalar que el literal f) del artículo 4 de la Ley 1581 de 2012 establece lo siguiente: "los datos personales, salvo la información pública, no podrán estar disponible en Internet u otros medios de divulgación o comunicación masiva, salvo que acceso sea técnicamente controlable para un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley" (Principio de acceso y circulación restringida).
Por otro lado, el literal g) del citado artículo indica que "la información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento".
Con base en estos principios, la Corte Constitucional precisó que "el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella"4 Igualmente, la investigada reitera los mismos argumentos en los alegatos de conclusión, afirmando que “(…) Manifiesto que se reconoce y acepta que se cometió la infracción, pero debido a un error humano, existiendo la buena fe, nunca se pretendió generar daño alguno. En consecuencia, solicito respetuosamente se tenga en cuenta el literal F artículo 24 de la Ley 1581 de 2012 como criterio de atenuación de la responsabilidad al momento de la graduación de las sanciones a imponer; e igualmente, considerar que el Club Residencial Vizta es persona jurídica sin ánimo de lucro.” Por lo anterior, reitera esta Dirección como Autoridad de Protección de Datos que el deber que le asiste a la investigada como responsable del tratamiento, es el de garantizar la seguridad de la información, deber que se materializa a través de la implementación de procedimientos documentados, con medidas reales y efectivas, y en el caso sub examine es evidente que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL no contaba, para la fecha de la denuncia, con procedimientos efectivos ni medidas técnicas, humanas y administrativas, para salvaguardar la información que administra; así como para controlar cuál es la información que se encuentra asociada a cada uno de los titulares cuyos datos trata. 3 Ley 1266 de 2008, articulo 3 “Dato semiprivado.
Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.” 4 Corte Constitucional, Sentencia C-748 de 2011.
M.P. Jorge Ignacio Pretelt Chaljub. HOJA N 8, “Por la cual se impone una sanción administrativa” Una vez revisado el material probatorio y lo expuesto por la investigada, esta Dirección concluye que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL no conservó la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones así mismo, divulgó los datos personales del Denunciante a terceros no autorizados.
Razón por la cual, se impondrá la respectiva sanción pecuniaria.
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional5.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 9, “Por la cual se impone una sanción administrativa” términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT. Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional6 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”7 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de 6 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 7 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
HOJA N 10, “Por la cual se impone una sanción administrativa” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros8. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la copropiedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”9.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia10. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. 8 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 9 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 10 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 11, “Por la cual se impone una sanción administrativa” Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados12.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL en su calidad de responsable del tratamiento de manera negligente incumplió el precepto normativo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, toda vez que, vulnerando así el derecho fundamental de habeas data del denunciante al no conservar la información personal bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones y tampoco dio cumplimiento al principio de circulación restringida al presuntamente divulgar los datos personales del Denunciante a terceros no autorizados.
De acuerdo con lo anterior, es claro que la copropiedad investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de UN MILLÓN NOVECIENTOS MIL DOSCIENTOS PESOS M/CTE ($1.900.200) equivalentes a CINCUENTA (50) Unidades de Valor Tributario 13 10.1.2 La aceptación de la comisión de la conducta vulneratoria El criterio de atenuación señalado en el literal f) del artículo citado se aplica por cuanto, la copropiedad investigada admitió, tanto en descargos como en los alegatos de conclusión, la comisión de la infracción de los hechos materia de investigación, razón por la cual se procederá a disminuir la 11 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 12 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.
En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 13 Mediante la Resolución 000140 de noviembre 25 de 2021, la Dian fijó el valor de la unidad de valor tributario –UVT– aplicable para el año gravable 2022 en $38.004 HOJA N 12, “Por la cual se impone una sanción administrativa” sanción del cargo único en un valor equivalente a VEINTE (20) UVT Unidades de Valor Tributario, por lo tanto, el valor total de la sanción será de TREINTA (30) UVT. 10.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
DÉCIMO PRIMERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL infringió abiertamente las normas sobre protección de datos personales consagradas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, al no conservar la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones mediante correo electrónico el 26 de octubre del 2020.
DÉCIMO SEGUNDO: Que con el fin de garantizar los derechos fundamentales de contradicción de la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL identificada con NIT. 901.395.894- 0, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su Representante Legal vinculado al correo electrónico de notificación judicial de la copropiedad clubresidencialvizta@gmail.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la copropiedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la copropiedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL identificada con NIT. 901.395.894- 0, de UN MILLÓN CIENTO CUARENTA MIL CIENTO VEINTE PESOS M/CTE ($1.140.120) equivalentes a TREINTA (30) Unidades de Valor Tributario vigentes por la violación a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución HOJA N 13, “Por la cual se impone una sanción administrativa” sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución a la copropiedad CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL identificada con NIT. 901.395.894- 0 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO TERCERO: COMUNICAR el contenido de la presente decisión al señor XXXXXXX XXXXXXXXXXXX, identificado con C.C. XXXXXXXX.
ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 No. 31ª - 36 Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUNOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUNOZ Fecha: 2022.11.25 14:23:34 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: CLUB RESIDENCIAL VIZTA PROPIEDAD HORIZONTAL Identificación: 901.395.894-0 Representante Legal: ALFONSO CARRILLO CASTILLO Identificación: C.C. 14.276.154 Correo electrónico: CLUBRESIDENCIALVIZTA@GMAIL.COM Dirección: CALLE 61 C Nº 19 – 13 Ciudad: IBAGUÉ, TOLIMA, COLOMBIA COMUNICACIÓN: Nombre: XXXXXXXXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXXX Correo electrónico: XXXXXXXXXXXXXX Dirección XXXXXXXXX Ciudad: XXXXXXXX