Resolución sancionatoria N° 46666 de 2022

(Julio 22 de 2022) Radicación 20-193255 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 69804 de 28 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A., identificada con Nit.890.900.608 -9, de CIENTO CINCUENTA Y DOS MILLONES CUATROCIENTOS NOVENTA Y TRES MIL SEISCIENTOS PESOS M/CTE ($ 152.493.600) [sic], equivalente a (4.200 UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

( )"

SEGUNDO. Que mediante escrito radicado bajo el No. 20-193255-38 de 26 de noviembre de 2021, la sociedad ALMACENES ÉXITO S.A. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 69804 de 28 de octubre de 2021.

TERCERO. Que mediante la Resolución No. 13538 de 18 de marzo de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 69804 de 28 de octubre de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó reconsiderar la decisión que se tomó mediante la Resolución No. 69804 de 28 de octubre de 2021, con base en los siguientes argumentos: “( ) 1. Falta de proporcionalidad en la graduación de la sanción No podemos desconocer que la facultad sancionatoria de la Superintendencia tiene una función importante correspondiente a evitar que conductas gravemente lesivas del ordenamiento y del régimen legal de protección de datos [sic] personales sigan ocurriendo.

Ese poder sancionatorio de la Superintendencia de Industria y Comercio, como autoridad de protección de datos, tiene unos límites trazados, unos definidos por la norma, y otros por la propia entidad administrativa. Como se observa, resulta fundamental para una correcta aplicación de la HOJA Nº norma, de manera tal que sirva para el propósito con que fue concebida, que la autoridad a cargo de vigilar su cumplimiento, sea ponderada y aplique siempre un criterio de proporcionalidad en el momento de valorar la conveniencia de aplicar una sanción o de tasarla.

( ) Se desprende de lo anterior que la multa de cuatro mil doscientas (4.200) Unidades de Valor Tributario (UVT) impuesta a Almacenes Éxito no ha sido proporcional a los hechos presentados para este caso y que en el evento de que este Despacho aún considerase que existió una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares. 2.

No valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta La Dirección incurre en una clara falta al valorar la conducta, pues en ninguna parte de la Resolución recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta. No se trata únicamente de determinar si la conducta existió o no, sino, además, de acuerdo a la norma y los criterios de proporcionalidad arriba desarrollados y traídos a colación por la propia Superintendencia, de determinar la dimensión bien del daño, si este ocurrió, o del peligro que la conducta generó para los derechos de la titular.

Para la tasación del monto de la multa se debe exponer los argumentos que la llevan a establecer la dimensión del daño y luego sí, hecha esa evaluación, podrá tasar una posible multa. Si la Dirección hubiera llevado a cabo dicho procedimiento, debería haber hecho una valoración completa sobre los distintos elementos que subyacen al tratamiento de datos, en los términos en que lo obliga la norma.

Dichos elementos incluyen haber hecho una valoración: (i) Sobre el tipo de tratamiento efectuado (el envío de mensajes de texto publicitarios a un titular cliente de Almacenes Éxito, que anteriormente y de manera voluntaria había autorizado dicho tratamiento); (ii) Sobre la naturaleza de los datos objeto del caso (el número de celular asociado al nombre y cédula del titular); y (iii) Sobre los riesgos que implica para el titular dicho tratamiento (ninguno diferente a las posibles molestias de recibir mensajes de texto publicitarios);

(iv) Las evidencias que demuestran que en la base de datos de clientes Almacenes Éxito no reposa el número celular del titular Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, y no en una afirmación de plano de la ocurrencia de la conducta y de un actuar “negligente” como afirma este despacho, sin un sustento diferente a la valoración de una prueba técnica concreta a partir de un análisis técnico que no demuestra la dimensión del daño. Cualificación de “negligente” que excede a los hechos demostrados con las evidencias que ha entregado la sociedad frente a la respuesta dada al titular, y al no tratamiento de su número celular en la base de datos de clientes y el sistema de mensajería, evidencias que fueron entregadas indicando claramente su procedencia, denominación y campo (número celular) objeto del análisis, contrario a lo que afirma el informe técnico.

( ) 3. Hecho aislado y no sistemático Almacenes Éxito S.A. es una organización comprometida con la protección de los datos personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.

En dicho sentido, la Compañía cuenta con un programa integral de protección de datos personales acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares. Dentro de sus elementos estructurales se encuentra el desarrollo de HOJA Nº un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales.

En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción en el presente caso a partir de la valoración probatoria que hace este despacho, no puede afirmarse que existe un actuar negligente.

Por el contrario, Almacenes Éxito ha demostrado la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial, incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos. 4. Despliegue de un programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo ( ) El programa de protección de datos de Almacenes Éxito se presenta como un vivo reflejo del compromiso que posee la compañía frente a la protección de la información personal.

Vale la pena resaltar, que este programa ha tenido una implementación continua y obedece al principio de mejora continua, además se sustenta en la normativa vigente sobre la materia y en el modelo consagrado por la Superintendencia de Industria y Comercio en lo dictaminado en su Guía para la Implementación del Principio de Responsabilidad Demostrada.

( ) Conclusiones Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Almacenes Éxito, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: (i) La Dirección no tuvo adecuadamente en cuenta la dimensión del daño y peligro de la conducta y en consecuencia no disminuyó la multa de manera sustancial.

(ii) La Dirección no tuvo en cuenta la colaboración de Almacenes Éxito durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial. (iii) Aun si se afirmara que la valoración probatoria de las evidencias técnicas estuvo acorde para dar cuenta de una posible infracción, la Dirección no tuvo en cuenta el carácter excepcional y no sistemático de la situación objeto de análisis.

(iv) La Dirección no tuvo en cuenta la creación y despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y que se ha ajustado a las dinámicas del negocio en armonía con las disposiciones legales vigentes en la materia y a lo estipulado por la Dirección. ( ) Pretensiones Mediante el presente recurso se solicita a la Dirección de Investigación de Protección de Datos, en sede de reposición, y al Superintendente Delegado de Protección de Datos, en sede de apelación, que revoque y/o modifique la orden impartida y la multa impuesta a Almacenes Éxito S.A. ( ).

( )”.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, HOJA Nº CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo siguiente: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal”3 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 2 Artículo 23.

Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 3 Corte Constitucional.

Sentencia C-748 de 2011. HOJA Nº En el mismo sentido, y en relación con los principios4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001; C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”.

Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la transgresión de las normas que amparan el Derecho Fundamental 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº de Habeas Data. Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del Derecho Fundamental de Habeas Data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el Derecho Constitucional de Habeas Data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad corresponde a un total de CIENTO CINCUENTA Y DOS MILLONES CUATROCIENTOS NOVENTA Y TRES MIL SEISCIENTOS PESOS M/CTE ($152’493.600) [sic], equivalente a (4.200 UVT) Unidad de Valor Tributario.

La cual representa aproximadamente el 8,39% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. DIMENSIÓN DEL DAÑO O PELIGRO A LOS INTERESES JURÍDICOS TUTELADOS Con fundamento en la ley, la Dirección de Investigación de Protección de Datos resolvió imponer una sanción pecuniaria a la compañía Almacenes Éxito S.A. La cual, con lo que aduce en el recurso bajo examen, pareciera tratar de restarle importancia no solo a su conducta omisiva, sino también al derecho de especial protección constitucional.

Adicionalmente, contrario a lo aludido por la recurrente, esta Superintendencia sí valoró totalmente y en conjunto todos los elementos probatorios, incluidos los allegados por su parte. Los cuales, dicho sea de paso, sirvieron como fundamento para imponer la sanción. Así las cosas, en todo momento se cumplió a cabalidad con la verificación precisa de la existencia y comisión de la infracción, así como el retardo prolongado en la eliminación de la información del Titular de la información por parte de ALMACENES ÉXITO S.A. Este Despacho no comparte la postura de la recurrente, la misma trata de restarle importancia no solo a los Derechos Humanos sino también a las situaciones particulares de personas que se sienten agobiadas o fastidiadas de ser receptoras de comunicaciones comerciales.

No se puede tratar de un hecho aislado y omitir el incumplimiento del Régimen General de Protección de Datos Personales. En todo caso, la investigada debe tener claro que no puede desconocer la grave vulneración a los derechos fundamentales de los Titulares de la información. No importa si es solo una persona la que se ve afectada con estas situaciones, los derechos de todos son igual de importantes ante la ley y ante esta autoridad.

Es probable que a algunas personas no les moleste ser destinatarios de comunicaciones publicitarias, pero ello no quiere decir que sea un tema menor o irrelevante para los que están cansados o molestos de recibir ese tipo de comunicaciones. Por eso, es necesario que los Responsables y Encargados del Tratamiento: a) solo contacten a personas respecto de las cuales posean prueba de la Autorización previa, expresa e informada que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus Datos personales –privados, semiprivados o sensibles- para fines publicitarios o de marketing; b) respeten y garanticen el derecho de supresión de los Datos personales de contacto cuando son utilizados para fines de marketing o prospección comercial, y c) suspendan el uso los Datos para fines publicitarios y comerciales, cuando así lo requiera o solicite el Titular de dichos Datos personales.

Al respecto, la Corte Constitucional se ha referido al “derecho a la tranquilidad” en los siguientes términos: “Ahora bien, uno de los derechos que deben ser garantizados por el Estado, y que ha ido cobrando importancia dentro de la doctrina constitucional, es el derecho a la tranquilidad, inherente a la persona humana, que le permite al individuo desarrollar una vida digna y HOJA Nº sosegada.

El derecho a la tranquilidad, lo ha dicho esta Sala, asume el carácter de fundamental por su estrecha relación con la dignidad humana que, necesariamente, conlleva a la paz individual la cual es necesaria para vivir adecuadamente. Sobre el derecho a la tranquilidad, la Corte se ha referido en estos términos: “Es evidente que el ser humano tiende a la tranquilidad en su vida.

Se trata de una tendencia inherente al ser personal, y por ello constituye un bien jurídicamente protegido como fundamental, ya que la dignidad humana conlleva la natural inviolabilidad del sosiego necesario para vivir adecuadamente, y es así cómo la tranquilidad es uno de los derechos inherentes a la persona humana a que se refiere el artículo 94 superior” (Cfr. Corte Constitucional.

Sala Novena de revisión. Sentencia T-028 del 31 de enero de 1994. M.P.: doctor Vladimiro Naranjo Mesa). Como derecho inherente a la persona, el derecho a la tranquilidad debe ser protegido por el Estado de tal forma que permita un ambiente propicio para la convivencia humana, de manera que los individuos puedan realizar sus actividades en un ambiente sano y exento de cualquier molestia que tienda a vulnerar la paz y el sosiego.”9 En suma, este Despacho no comparte que la recurrente demerite el derecho que tiene el Titular a su tranquilidad10, y a exigir que sus Datos personales no sigan siendo usados para contactarlo con fines comerciales o publicitarios por parte de ALMACENES ÉXITO S.A.

4. DEL DEBER DE GARANTIZAR EL EJERCICIO DEL DERECHO DE HABEAS DATA La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos [sic] personales.

(…) 11. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.

Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”12 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.

El Responsable y/o el 9 Corte Constitucional, Sentencia T-459 de 1998. 10 Sentencia T-343 de 2015 “(…) en la Sentencia T-028 de 1994, la Sala Novena de Revisión reconoció “la tranquilidad como bien jurídico protegido”, afirmando que una vida tranquila hace parte del ámbito de protección del derecho a la vida digna contemplado en el artículo 94 de la Constitución: “Si bien es cierto que la tranquilidad tiene una dimensión subjetiva, indeterminable, y por lo tanto imposible de ser objeto jurídico, también es cierto que existen elementos objetivos para garantizar ese bienestar íntimo de la persona, dada la influencia del entorno sobre el nivel emocional propio.

A nadie se le puede perturbar la estabilidad de su vivencia sin justo título fundado en el bien común. Y esto obedece a una razón jurisprudencial evidente: el orden social justo parte del goce efectivo de la tranquilidad vital de cada uno de los asociados, de suerte que, al no perturbar el derecho ajeno, se logra la común unidad en el bienestar, es decir, la armonía perfeccionante de los individuos que integran la sociedad organizada, bajo el imperio de la ley, en forma de Estado”. 11 Sentencia C-748 de 2011.

Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012). 12 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. HOJA Nº Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley.

La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales. Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada.

En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo ha sido recopilada por una central de información”.

Este control, no sólo [sic] se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)13.

(Énfasis añadido) Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”14. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “ (…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización y/o supresión del dato [sic]”.

“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 14 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012. 13 Sentencia C-748 de 2011.

Control constitucional HOJA Nº Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].

El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Así las cosas, es evidente que en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201215 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.

Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado. Esto, se reitera, es censurable e inadmisible. En este caso en particular, la recurrente vulneró indiscriminadamente el derecho del Titular.

A lo largo de la actuación administrativa se evidenció que a pesar de que el ciudadano remitió la copia de los correos electrónicos enviados a la recurrente con fecha de 17, 23 y 30 de abril de 2019 en donde solicitaba la supresión de su número celular de la Base de Datos y así evitar seguir recibiendo comunicaciones de tipo comercial, ALMACENES ÉXITO S.A., esta no lo hizo.

Al respecto esta autoridad solicitó el análisis técnico a su laboratorio de informática forense, con el propósito de verificar la información remitida por la investigada: Página 1 del Acta radicada bajo el No. 20-193255-20 de 28 de julio de 2021 15 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” HOJA Nº 10 En dicha acta se concluyó que la recurrente no logró verificar el momento preciso en el que se adelantó la eliminación de los Datos del Titular (ver numeral 1).

Página 8 del Acta radicada bajo el No. 20-193255-20 de 28 de julio de 2021 Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.

5. CARGA DE LA PRUEBA La jurisprudencia colombiana en general, ha reasignado la responsabilidad de la prueba a quien esté en mejores condiciones para probar dentro del proceso. Por lo que, la carga probatoria no actúa en función de la parte que se limita a alegar el hecho que se pretende probar. Al respecto, la Corte Constitucional ha señalado: “Esta institución pretende que quien concurre a un proceso en calidad de parte asuma un rol activo y no se limite a refugiarse en la diligencia del juez ni se beneficie de las dificultades probatorias o mala fortuna de su contraparte.

En otras palabras, ‘las partes en el proceso HOJA Nº 11 deben cumplir con el deber de diligencia en lo que pretenden probar. Ninguna debe obrar con inercia porque ello causa que las consecuencias adversas de la decisión sean deducidas en su contra. El proceso no premia la estrategia sino la solución del conflicto con la participación de las partes”16 En correspondencia con lo anterior, este Despacho considera importante resaltar que la investigada, en ningún momento, aportó la prueba esperada en esta actuación administrativa.

Pues, no logró demostrar que atendió de manera oportuna la petición de eliminación del Titular de los Datos. En orden a desatar el recurso, vale la pena puntualizar algunas disposiciones normativas al respecto. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. (…) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Dicho esto, resulta útil mencionar algunos de los artículos relevantes del régimen procesal aplicables a este asunto administrativo en particular, i) el artículo 167 señala que “Incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen (…)”; ii) en cuanto a la declaración sobre documentos, el artículo 185 dispone, “Quien pretenda reconocer un documento privado deberá presentarlo e identificarse ante la autoridad respectiva (…)”; iii) a su vez, el artículo 241 se refiere a que “El juez podrá deducir indicios de la conducta procesal de las partes” 17; iv) el artículo 245 en cuanto a la aportación de documentos señala que “Las partes deberán aportar el original del documento cuando estuviere en su poder, salvo causa justificada.”18 La jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan.”19 Así las cosas, es inocultable el actuar de la recurrente, en el sentido de no haber aportado la prueba que demostrara, en qué momento realizó la eliminación de los Datos del quejoso.

Tal como se puede verificar con lo manifestado en el escrito de descargos en el cual remite el estado actual de la casilla 16 Corte Constitucional, Sentencia T-733 de 2013. 17 “(…) Las partes tienen derecho y libertad de elegir sus comportamientos procesales, porque “gobiernan su vida y dirigen sus acciones” pero tendrán que asumir las consecuencias de su elección, responsabilizándose por lo actuado, porque sus “propios actos” tienen un efecto o valor “vinculante” (…) La calificación que aquí se dispone implica un juicio o valoración de las conductas desarrolladas por las partes, sus representantes o apoderados, que deben considerarse como un solo sujeto, frente a los comportamientos esperados.

El análisis tendrá que hacerse bajo una óptica esencialmente axiológica, de acuerdo con los principios, los valores superiores que informan el proceso, entre ellos los de solidaridad y los deberes, también el de contribuir al establecimiento de la verdad, además de los dictados de la ética, de la lealtad, la probidad, la buena fe y la honradez, que se encuentran consagrados en la Constitución y la ley para que los procesos judiciales cumplan su finalidad (…)”.

Recuperado el 26 de marzo de 2019 de http://jurisuniandes2012.blogspot.com/2012/07/11-articulo-pruebas-codigo-general-del.html. Autor: Ulises Canosa Suárez. CÓDIGO GENERAL DEL PROCESO. ASPECTOS PROBATORIOS. Publicado vía web el 31 de julio de 2012 el blog http://jurisuniandes2012.blogspot.com 18 Diligencia que no fue desplegada por el recurrente en ninguna etapa del proceso administrativo. 19 Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010.

Exp. 23001-31-10-002-1998-00467-01.M.P. Edgardo Villamil Portilla. HOJA Nº 12 “teléfono celular” del Titular en su sistema informático, pero en ningún momento la fecha de la eliminación: De conformidad con lo expuesto, los argumentos presentados, y la valoración de las pruebas entregadas por la investigada, resulta notorio que su actuación dentro de este trámite no significó una colaboración determinante.

Por lo menos en cuanto al aporte de pruebas conducentes, pertinentes y suficientes que demostraran la realidad del contexto que pretendía revelar.

6. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN HOJA Nº 13 Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”20. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su Cfr. Corte Constitucional, sentencia C-818 del 9 de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm agosto de 2005.

MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº 14 cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado. Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia; ni, Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. En la Resolución No. 69804 de 28 de octubre de 2021 mediante la cual se impuso la sanción recurrida se tuvo en cuenta el criterio de graduación contenido en el literal c) mencionado en virtud de la reincidencia en el incumplimiento de los deberes previstos en el Régimen General de Protección de Datos Personales: HOJA Nº 15 Así, al momento de imponer la sanción no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió, la reincidencia en el incumplimiento, y el tamaño empresarial de la recurrente.

HOJA Nº 16 Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas En segundo lugar, es claro que la Resolución No. 69804 de 28 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de la Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

En cuarto lugar, es relevante tener presente que ALMACENES ÉXITO S.A., de acuerdo con la información que reportó en el Registro Nacional de Bases de Datos, trata información de 29’957.549 de ciudadanos., lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos.

Adicionalmente, una vez revisada la información relacionada con la compañía Almacenes Éxito S.A. se pudo verificar que ya había sido sancionada por infracciones a la regulación sobre tratamiento de datos personales: Resolución 17182 de 29 de marzo de 2021 Valor de la sanción $ 257’786.800 Motivo Incumplimiento del numeral 1 del artículo 8 de la Ley 1266 de 2008, en conexión con el numeral 1 del artículo 4 de la misma ley; ii) numeral 5 del artículo 8 de la Ley 1266 de 2008; iii) artículo 12 de la Ley 1266 de 2008, en conexión con el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015.

Incumplimiento del literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015 68369 de 28 de octubre de 2020 $ 145’846.272 44019 de 31 de julio de 2020 $ 145’810.665 Incumplimiento del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la misma ley y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma norma 44026 de 25 de junio de 2018 $70’311.780 Incumplimiento del literal a) del artículo 17 en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 36863 de 30 de mayo de 2014 $36’960.000 Incumplimiento de los literales a) y j) del artículo 17 de la Ley 1581 de 2012 Razón adicional y suficiente para no acoger la petición de la recurrente, consistente en revocar la Resolución No. 69804 de 28 de octubre de 2021.

HOJA Nº 17 Si bien ALMACENES ÉXITO ha creado y puesto en marcha un programa integral de protección de datos personales, no es menos cierto que las multas anteriores ponen de presente deficiencias en la aplicación del mismo en la práctica. Resulta entonces que se trata es de una responsabilidad administrativa de la que pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental21 a la protección de Datos22.

De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una transgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia24.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho.

7. LA ACTIVIDAD EMPRESARIAL DEBE SER RESPETUOSA DE LOS DERECHOS HUMANOS. El artículo 2 de la Constitución Política de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los Derechos Humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 determina que, “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los Derechos Humanos porque son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene 21 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 22 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 23 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA Nº 18 una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 exige que la realización de cualquier actividad económica garantice, entre otras, los Derechos Fundamentales de las personas. Es por eso que la Constitución Política Nacional pone de presente que la participación en el mercado supone responsabilidades y que, efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

8. RESPONSABILIDAD DE LOS ADMINISTRADORES EN MATERIA DE TRATAMIENTO DE DATOS PERSONALES Ahora, según el artículo 22 de la Ley 222 de 1995 25 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 26 de la Ley 222 de 2995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”27.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” El texto completo del artículo 24 de la Ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Cfr. Parte inicial del artículo 24 de la ley 222 de 1995 HOJA Nº 19 CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.

La sociedad ALMACENES ÉXITO S.A. incumplió el deber previsto en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015;

2. ALMACENES ÉXITO S.A. ha sido sancionado en cinco (5) oportunidades, como consecuencia de infracciones cometidas contra el Régimen Colombiano de Protección de Datos Personales. Si bien dicha sociedad ha creado y puesto en marcha un programa integral de protección de Datos personales, no es menos cierto que esas multas ponen de presente deficiencias en la aplicación del mismo en la práctica. 3.

El monto de la multa impuesta a la sociedad recurrente es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

4. ALMACENES ÉXITO S.A. no demostró que atendió de manera oportuna la petición de eliminación del Titular de los Datos. 5. La sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Datos personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia;

6. ALMACENES ÉXITO S.A., de acuerdo con la información que reportó en el Registro Nacional de Bases de Datos, trata información de 29’957.549 de ciudadanos., lo cual la obliga a ser extremadamente diligente y a garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos; 7. La multa impuesta por parte de esta entidad corresponde a un total de CIENTO CINCUENTA Y DOS MILLONES CUATROCIENTOS NOVENTA Y TRES MIL SEISCIENTOS PESOS M/CTE ($152’493.600) [sic], equivalente a (4.200 UVT) Unidad de Valor Tributario.

La cual representa aproximadamente el 8,39% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012;

8. ALMACENES ÉXITO S.A. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la eximen de cumplir la Constitución Política Nacional y la ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 69804 de 28 de octubre de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 69804 de 28 de octubre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ALMACENES ÉXITO S.A., identificada con Nit. 890.900.608-9, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno. HOJA Nº 20 ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxx Xxxxxxx Xxxxxxx Xxxxx, identificado con la Cédula de Ciudadanía No. x.xxx.xxx.xxx, o a su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final. NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., Julio 22 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES (E), JOHN MARCOS TORRES CABEZAS Firmado digitalmente por JOHN MARCOS TORRES CABEZAS Fecha: 2022.07.22 17:48:17 -05'00' JOHN MARCOS TORRES CABEZAS CGC Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Almacenes Éxito S.A. Nit. 890.900.608-9 Carlos Mario Giraldo Moreno C.C. 71.590.612 Carrera 48 No. 32B Sur 139 Envigado (Antioquia) njudiciales@grupo-exito.com Apoderada: Identificación: Dirección: Ciudad: Correo electrónico: María Natalia Vesga Osorio C.C. No. 52.690.531 Carrera 48 No. 32B Sur 139 Envigado (Antioquia) Notificaciones.judiciales@grupo-exito.com Comunicación Señor: Identificación: Correo electrónico: Xxxx Xxxxxxx Xxxxxxx Xxxxx C.C. x.xxx.xxx.xxx xxxxxxxxxxxxxxxxxxxxxx HOJA Nº 21