REPÚBLICA DE COLOMBIA (10 FEBRERO 2021) VERSIÓN PÙBLICA Radicación 20-80994 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas en el literal b) del artículo 21 de la Ley 1581 de 2012 y el numeral 9 del artículo 17 del Decreto 4886 de 2011, y CONSIDERANDO:
PRIMERO: Que mediante Resolución 37552 del 13 de julio de 2020 este Despacho resolvió abrir investigación y formular pliego de cargos en contra del BANCO COMERCIAL AV VILLAS S.A. (en adelante EL BANCO) identificado con el Nit. 860.035.827-5 por la presunta contravención de lo dispuesto en (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma norma y (ii) el artículo 15 de la Ley 1581 de 2012, de acuerdo con la denuncia presentada por la señora GABRIELA GUTIERREZ SERPA, de la cual se extrae lo siguiente: “El día 16 de enero de 2020 me dirigí a la sucursal del banco Av Villas ubicado en el Centro Comercial UNICENTRO en la ciudad de Cali, con el fin de aperturar una cuenta de ahorros de nómina con ocasión a las instrucciones dadas en mi puesto de trabajo. 1.
Es así como me hice titular de una cuenta de ahorros del banco Av Villas No. 147962091 y, por ende me convertí en cliente del mismo pues nunca había activado productos financieros con dicha entidad en el pasado. 2. Debido a problemas que se me presentaron en el uso de la aplicación del banco “Av Villas App”, motivo por el cual me dirigí a la misma sucursal del banco en la que abrí mi cuenta de ahorros el día 13 de febrero de 2020 a las 10:30 a.m. y fui atendida por el señor ALEJANDRO ALVARADO SANCHEZ, quien estaba atendiendo en la casilla No. 3 de asesores del banco. 3.
Cuando fue mi turno de atención, le manifesté al señor Alejandro que tenía problemas con ingresar a la plataforma del banco por medio de la aplicación, dijo que podía brindarme ayuda, me pidió que le entregara mi cédula y mi tarjeta del banco y me dirigió al cajero automático ubicado en la sucursal para llevar a cabo el procedimiento de activación. 4.
Estando en el cajero automático, llevó a cabo el procedimiento de activación. Una vez concluido el mismo, el asesor del banco empezó a salirse del tono profesional y laboral, empezó a coquetear y me pidió mi número personal de teléfono, a lo cual respondí negándome, luego me preguntó que si tenía novio, y procedí a indicarle que sí y a retirarme inmediatamente de la sucursal del banco. 5.
Luego de retirarme de la instalación, me dirigí hacia un restaurante del centro comercial Unicentro para almorzar. Posteriormente recibí un mensaje a mi cuenta de Whatsapp del un número desconocido “+57 310 459 5999”, el cual decía: “De todas formas tome tú números”. 6. Cuando pulsé en la imagen de perfil de ese número para ampliar la información de contacto veo que aparece el nombre de “Alejandro Alvarado” y en la foto de perfil veo al mismo hombre que me atendió en la sucursal del banco Av Villas, en una foto acompañado por una mujer. 7.
En aquel momento me sentí tan acosada e incomoda que decidí comentarle a mi novio mientras me dirigía nuevamente a la sucursal del banco para presentarle una queja al gerente por el actuar que había tenido el banco por medio de su personal, toda vez que NUNCA he autorizado al Banco Av Villas para que por medio de sus dependientes me contacte a mi número personal con fines distintos a los relativos de los servicios o productos financieros que adquiera con dicha entidad. 8.
Nuevamente en la sucursal del banco, me dirigí a la oficina de gerencia, buscando al gerente de dicha sede, el señor WILMAR VALENCIA, pero lamentablemente por ser hora de almuerzo no se encontraba en su puesto de trabajo. 9. Sin embargo, fui atendida por la subgerente de la sede, a la cual le manifesté mi inconformidad y le mostré la conversación en mi celular.
Ante esta situación, me pidió el favor de que le dejara por escrito VERSIÓN PÙBLICA lo ocurrido y que le comentaría el caso al gerente. Cuando terminé de pasar mi informe escrito y estaba por retirarme la subgerente me ofreció disculpas y me manifestó “que el chico es así, es un poco inmaduro”. Esto último me generó un desasosiego aún mayor, porque me dio a entender que las mismas directivas de la sede tienen conocimiento de su comportamiento y no han tomado los adecuados correctivos para salvaguardar la información personal de los clientes del banco. 10.
Posteriormente, a las 12:10 p.m. recibí un mensaje del mismo número desconocido perteneciente al señor Alejandro Alvarado, en el cual se lee “Le ofrezco mil disculpas no sucederá de nuevo”. Ante esto sentí nuevamente un gran malestar al saber que habían vulnerado mi intimidad personal desde el banco y se lo manifesté por escrito al señor Alvarado, por lo que a las 12:15 p.m. respondí a ese mensaje con otro en el cual manifesté “Usted no tiene porque sacar mis datos personales del sistema de la empresa”. 11.
Me incomodó enormemente saber que el personal del banco Av Villas manipula los datos personales sin escrúpulo, lo cual fue confirmado por el mismo asesor cuando a las 12:36 p.m. me respondió nuevamente el señor Alvarado diciendo “Si señorita tiene usted la razón nuevamente ofrezco mis disculpas”. 12. Igualmente fue confesado el actuar inescrupuloso por parte del señor Alejandro Alvarado al teléfono de mi novio, el cual es +57 310 676 0564, cuando él, molesto por el actuar del banco, le escribe al asesor reclamándole por el mal manejo de la información de los datos personales, a lo que él respondió a las 12:13 p.m. “Buen día. Nuevamente ofrezco mis disculpas.
Tiene usted razón. No sucederá nuevamente”. 13.Posteriormente el señor xxxxxxxx eliminó de la conversación del chat el mensaje enviado a las 12:10 p.m”. De acuerdo con los hechos narrados anteriormente, la denunciante solicitó lo siguiente: 1. “Se le de inicio a la apertura de una investigación administrativa de carácter sancionatorio al Banco Av Villas por violación a mis datos personales en virtud del indebido y no autorizado tratamiento que se les dio a mis datos y por faltar a la salvaguarda y protección de los mismos. 2.
Se le imponga una sanción ejemplar de carácter pecuniario a la entidad, para prevenir a las demás entidades del interés principal que tiene la protección de datos personales a la luz de la Constitución Política de Colombia”. En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara pruebas que pretendiera hacer valer en la presente actuación.
SEGUNDO: Que la Resolución 37552 del 13 de julio de 2020 se notificó personalmente de manera electrónica a EL BANCO el 18 de agosto de 2020, según consta en la certificación expedida por la Coordinadora del Grupo Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-80994-16 del 19 de agosto de 2020.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 20-80994-17 de fecha 18 de agosto de 2020, el apoderado especial de EL BANCO presentó los descargos, en los siguientes términos: Respecto del primer cargo, el apoderado del Banco Av Villas manifestó: “AV VILLAS sí ha capacitado a sus empleados, por lo cual no ha incurrido en la vulneración del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma normatividad Como bien lo ha reconocido el Despacho en la resolución de apertura de la investigación AV VILLAS “(…) cuenta con Políticas de Tratamiento y Medidas de Seguridad para la protección de los datos personales de sus clientes (…)”.
El interrogante que se formula el Despacho, es si dichas políticas resultaron suficientes en el caso analizado, pues no tiene claro si los empleados del banco fueron objeto de capacitación de las mismas. La respuesta a este interrogante planteado por la Dirección es afirmativa, es decir, que AV VILLAS sí brinda capacitación a todos sus colaboradores.
Así se informó a esa entidad en respuesta del primer requerimiento de información que le fue formulado en la presente actuación y lo ratificamos ahora. En efecto, indagaba el despacho en la pregunta número 4 del oficio de fecha 28 de mayo de 2020 (radicación 20-80994-3-1-), remitido al representante legal de AV VILLAS, ¿si “(…) los funcionarios del Banco en cada una de las sucursales recibieron la debida capacitación sobre su aplicación?, en caso afirmativo remitir evidencia de ellos (…)”.
En la respuesta AV VILLAS manifestaba que, en efecto, “Todos los funcionarios reciben capacitación acerca de estos temas al inicio de su relación laboral con el Banco, adicionalmente reciben un refuerzo VERSIÓN PÙBLICA anual a través de una plataforma virtual llamada “Escuela de formación bancaria” y mensualmente se realizan sensibilizaciones a través de diversos canales de comunicación del Banco”.
Como elemento de prueba se adjuntaron dos anexos: Anexo 3, Capacitación Protección de datos personales y Anexo 4, Sensibilización. En adición a dichos soportes, adjunto al presente escrito se acompaña el documento SOPORTES RECIENTES ACTIVIDADES DE CAPACITACIÓN EN PROTECCIÓN DE DATOS, en el cual se relacionan los soportes de las actividades recientes de capacitación en protección de datos personales ofrecidos a los colaboradores Banco AV Villas, correspondientes al periodo 30 agosto de 2019 – 30 septiembre de 2019.
El mismo incluye el modelo de solicitud de inscripción en el programa de protección de datos personales que se envía al área de formación del banco, para que se divulgue la capacitación a todos los colaboradores. Se muestran, igualmente, los instrumentos de divulgación de la jornada de autoformación protección de datos personales, del 30 de agosto de 2019, la cual se envía a través del buzón “Nuestra Ruta” a todos los empleados, orientada a reforzar la formación de todos los colaboradores del banco.
En este documento se acompaña, adicionalmente, el registro de la evidencia de la inscripción del señor Alejandro Alvarado Sánchez, a la jornada de capacitación en Protección de datos. En adición se incluye el soporte de la “AGENDA DE LA SEMANA”, recordatorio de la jornada de autoformación Protección de datos personales, del 3 de septiembre de 2019, la cual fue enviada a todos los colaboradores del banco.
Así mismo, se adjunta al modelo del recordatorio que envía la herramienta de formación a los colaboradores cada ochos (8) días, para estimular la inscripción en el curso de formación de todos aquellos que no hayan presentado la jornada de capacitación. El señor Alejandro Alvarado Sánchez si ha recibido la capacitación sobre las Políticas de Tratamiento y Medidas de Seguridad de AV VILLAS para la protección de los datos personales de sus clientes En el caso concreto de la persona cuyo comportamiento originó la presente investigación, se advierte que el señor Alejandro Alvarado no envió el mensaje vía whatsapp a la señorita Gabriela Gutiérrez Serpa porque hubiere dejado de recibir capacitación, o porque desconociera las políticas de tratamiento de datos del banco, pues, además de las evidencias de haber recibido capacitación por parte de la entidad, en la diligencia de descargos que rindió dentro del proceso disciplinario interno que le siguió el banco y que terminó con la suspensión de su contrato de trabajo por el término de ocho días hábiles, fue interrogado sobre este particular y admitió conocer las políticas y todos los instrumentos implementados por el banco para la protección de los datos de sus clientes.
Así, de la diligencia de descargos, que en forma completa se adjunta como prueba, en los anexos del presente memorial, extractamos las siguientes preguntas, formuladas por la Gerente de Talento Humano de AV VILLAS y las respuestas rendidas por el señor Alejandro Alvarado Sánchez, las cuales comprueban su conocimiento de todos las Políticas de Tratamiento y Medidas de Seguridad para la protección de los datos personales de los clientes, lo cual, desde la perspectiva del banco, permite tener la certeza de que el conocimiento manifestado no puede provenir sino de la capacitación que reciben todos los empleados en relación con dichas políticas y medidas de seguridad.
(…) Como se puede apreciar en todas y cada una de estas respuestas, el señor Alvarado Sánchez, manifiesta conocer i) el Reglamento Interno de Trabajo; ii) el código de ética; iii) las políticas de la compañía; iv) las funciones y procedimientos que debe cumplir como Asesor Comercial; v) que uno de los principales deberes como trabajador es Custodiar y usar para fines estrictamente laborales la información que según la “Política de clasificación de la información” sea catalogada como confidencial, confidencial restringida y/o privada a la cual tiene acceso como producto de su rol o comisión esta no debe ser transmitida, impresa, digitalizada o copiada, sustraída, destruida o inutilizada sin previa autorización; vi) que de acuerdo al Código de Ética del Banco una de las acciones y conductas que constituyen fraude / corrupción es el Uso indebido y/o divulgación no autorizada de información confidencial del Banco y/o sus clientes.
Por lo tanto, es a todas luces claro que su proceder, al enviar el mensaje vía WhatsApp a la señorita Gabriela Gutiérrez Serpa, en el que le manifestaba “De tomas formas tomé tu números”, no puede ser atribuido a falta de capacitación o a desconocimiento de los distintos instrumentos internos que provee a todos sus trabajadores AV VILLAS, donde está reflejada la política de tratamiento de los datos suministrados por los clientes del banco y las condiciones absolutamente claras y restringidas para el uso legítimo de la misma.
Aun cuando el referido señor Alvarado Sánchez, en su diligencia de descargos, argumentó que dicho mensaje lo remitió para labores comerciales relacionadas con su cargo, AV VILLAS no dio credibilidad a dicha versión, pues del texto de dicho mensaje no se puede extraer que se estuviera ofreciendo ningún producto o servicio de la entidad. Por esa razón, el banco decidió suspender su contrato de trabajo, como se expresó anteriormente en este escrito.
Ahora bien, debe tomarse en cuenta que el acceso del señor Alvarado Sánchez al número del teléfono celular suministrado por la señorita Gabriela Gutiérrez Serpa a AV VILLAS, no obedece a ninguna falla en las políticas del banco relacionadas con el tratamiento de dicha información, puesto que por su condición VERSIÓN PÙBLICA de asesor comercial tuvo acceso a la misma, como persona encargada de atender y resolver la solicitud de la usuaria, aspecto éste que fue cumplido debidamente, pues no mereció ninguna queja o reparo por parte de ella.
Pero está claro que dicho acceso no lo habilitaba para enviar el mensaje vía whatsapp referido, lo cual se hizo por su propia decisión, no en desarrollo de ninguna política, instrucción o para ningún propósito relacionado con la actividad comercial del banco, sino por su propia cuenta, a título personal, y a sabiendas de que las políticas del banco prohíben el uso de la información de los clientes para fines distintos de los autorizados y habiendo sido capacitado sobre dichas políticas, como él mismo lo admitió. Al parecer, si tomamos elementos tanto del texto de la queja de la señorita Gabriela Gutiérrez Serpa, como de lo relatado en la diligencia de descargos por el señor Alejandro Alvarado Sánchez, aparte del resolverse el requerimiento estrictamente comercial, lo cual se hizo en términos satisfactorios para la usuaria, existió un diálogo entre estas dos personas que, más allá de la prestación de los servicios bancarios, alcanzó aspectos personales.
En efecto, la señorita Gutiérrez narra que él le preguntó si tenía novio, a lo que ella dice haber respondido que sí. Sin embargo, esa pregunta no motivó ninguna reacción negativa de ella, puesto que eso no fue el motivo de la queja ante AV VILLAS. xxxxxxxx, por su parte, relata en sus descargos que “Considero que la atención con la señorita, se desarrolló de una forma asertiva y amable, que nos llevó a ambos a tocar temas no solo en referencia al Banco sino que adicionalmente abordamos de la actualidad panorámica del país, conversación que se da muy a menudo con los clientes, práctica que se considera normal en un escenario de atención personalizada”.
Aun cuando no nos corresponde entrar a calificar los detalles de esta conversación, ni, por supuesto, justificar por ello el envío del mensaje vía whatsapp de xxxxxxxx, que de por sí el banco consideró por fuera de los parámetros del manejo del tratamiento de la información de los clientes y por eso lo sancionó en forma seria y severa, con la suspensión del contrato de trabajo de Alvarado, lo que sí pueden explicar estos detalles son el por qué Alvarado remitió ese mensaje y comprender que nada tenía que ver con las operaciones del banco, ni con su políticas, ni con sus servicios, ni con falta de capacitación respecto de la política de tratamiento de los datos de los clientes, sino con un eventual interés personal de Alvarado, por fuera del mundo de los negocios, respecto de la señorita Gabriela Gutiérrez, que lo llevó a actuar en la forma como ha quedado descrita.
El envío del mensaje, vía whatsapp, fue un proceder personalísimo del señor Alejandro Alvarado, que no implica responsabilidad de AV VILLAS. En la teoría de la responsabilidad de las personas jurídicas, por los actos de sus empleados, se excluyen los actos realizados por éstos que no obedezcan a negligencia o temeridad de las empresas, sino a conductas, llamadas de riesgo personal, asumidos por aquellos.
Para que a la persona jurídica puede serle imputable responsabilidad por los actos de los empleados, debe mediar una relación de causalidad entre la conducta activa u omisiva del empleador y la infracción. En el caso que ocupa nuestra atención, el ordenamiento jurídico le exige a AV VILLAS, en punto concreto a la materia objeto de examen, adoptar Políticas de Tratamiento y Medidas de Seguridad para la protección de los datos personales de sus clientes, así como capacitar a todos sus colaboradores respecto del alcance de las mismas, y AV VILLAS ha cumplido estrictamente con dichos mandatos.
En el evento de la queja motivo de la presente investigación, se tiene establecido que el señor Alejandro Alvarado conoce dichas políticas y todos los instrumentos internos diseñados por la compañía para cumplir las señaladas normas, como quedó registrado en su declaración de rendición de descargos, en el proceso disciplinario de carácter laboral que adelantó la compañía. Pero también se tienen elementos de prueba, como los atrás expuestos, donde queda claro que el envío del mensaje vía whatsapp del señor Alvarado a la señorita Gutiérrez, obedeció a razones personalísimas de éste, que nada tienen que ver con una actitud omisiva o positiva de AV VILLAS, ni con sus negocios, ni con sus productos o servicios, ni con que el señor Alvarado desconociera el alcance de las normas sobre protección de datos de los clientes.
El actuó por fuera del ámbito laboral, aprovechando tener acceso lícito a los datos de la cliente, por tener el carácter de asesor comercial y haber atendido una solicitud del cliente, el día del envío del mensaje. Para AV VILLAS, o cualquier persona, era imposible prever o impedir que eso hubiera ocurrido. Le quedaba la opción correctiva de sancionar, previo agotamiento del procedimiento legal y convencionalmente convenido, por ser Alvarado un miembro del sindicato, dicha comportamiento, como un acto de reproche de esa conducta, que debe servir de lección y ejemplo para que ni el señor Alvarado, en el futuro, ni ningún otro empleado de la compañía, incurra en ese tipo de actos.
En otros términos, cabe deducir que el señor Alvarado estaba consciente de su acto y por eso es él quien debe asumir la responsabilidad de su comportamiento, como en efecto lo ha entendido así la compañía, por lo cual le ha impuesto la sanción ya referida. No estaba cumpliendo ninguna orden, ni instrucción de la empresa, ni ofreciendo ningún producto de la misma, se reitera.
La potestad sancionatoria de la administración tiene como presupuesto estructural el de la responsabilidad del sujeto, incompatible con los regímenes de responsabilidad objetiva, que tienen que ser consagrados expresamente en la ley. El debido proceso y la presunción de inocencia son pilares básicos de nuestro ordenamiento. En tal sentido, solo podrán ser sancionados por hechos constitutivos de infracción administrativa, las personas que resulten responsables de la misma, lo cual impone valorar, en cada caso, las modalidades y pormenores de la infracción, para determinar quién es el responsable, quién es el culpable de ella.
En el presente caso, AV VILLAS no es responsable, a ningún título, del envío del mensaje tantas veces referido, por lo cual, por las circunstancias ya comentadas, desde el punto de vista jurídico, no puede ser declarada responsable de dicho envío, como respetuosamente le solicitamos al Despacho declararlo, al momento de adoptar la decisión definitiva en la presente investigación. VERSIÓN PÙBLICA Y respecto del Segundo Cargo, expuso: “Alcance del cargo segundo El cargo segundo formulado por el Despacho pretende establecer si AV VILLAS dio cumplimiento al artículo 15 de la Ley 1581 de 2012, el cual establece que quien considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo, cuyo término máximo de atención será de quince (15) días hábiles, o, cuando no fuere posible atender el reclamo dentro de dicho término, en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. El Despacho precisa el cargo en los siguientes términos: “En el caso analizado, de acuerdo con las pruebas existentes, el Banco Av Villas, presuntamente dio respuesta al reclamo realizado por la denunciante, por fuera del término establecido en la Ley.
En la medida que, de acuerdo con la documentación allegada por parte de la Coordinadora de Protección de Datos Personales, se dio respuesta al reclamo presentado por la denunciante el 13 de febrero de 2020, hasta el 4 de junio”. La petición formulada por la señorita Gabriela Gutiérrez Serpa. En su escrito de febrero 13 de 2020, la señorita Gutiérrez, luego de relatar apartes de su conversación con el señor Alvarado y de expresar su molestia por haber recibido en su teléfono el mensaje “de todas manera tomé tu número”, consigna el objeto de su reclamo en los siguientes términos: “(…) Por lo tanto me dirigí de nuevo al banco a las 11:40 para presentar la queja con el subgerente y le comento que si no toman medidas al respecto me veré obligada a presentar una queja a la superintendencia ya que esta es una violación a los datos personales (…) (La subraya es mía).
Como se aprecia en la lectura de las propias palabras de la señorita Gutiérrez, el objeto de su petición era que se “tomaran medidas al respecto”. Aun cuando ella no precisa qué tipo de medidas eran objeto de su solicitud, se puede suponer que se trataba de una medida correctiva o disciplinaria en contra del señor Alejandro Alvarado. Claramente la señorita Gutiérrez no estaba solicitando ninguna corrección, actualización o supresión de la información contenida en la base de datos del banco, que son los supuestos señalados expresamente en el artículo 15 de la Ley 1581 de 2012.
AV VILLAS lo que consideró prudente hacer en ese momento, de presentación de la queja, fue ofrecerle disculpas a la señorita Gutiérrez, mientras internamente se evaluaban las acciones a seguir. El plazo previsto en el artículo 15 de la Ley 1581 de 2012 resulta inaplicable para el correctivo que decidió aplicar AV VILLAS Como atrás se vio, el plazo establecido en el artículo 15 de la Ley 1581 de 2012 resulta muy pertinente para los eventos de corrección, actualización o supresión de información contenida en las bases de datos.
Es una expresión clara y directa del derecho de petición, como lo dijo la Corte Constitucional al pronunciarse sobre la exequibilidad de esta norma. Para este tipo de casos, es evidente que el término de quince (15) días hábiles, extensivo por otros ocho (8) días hábiles, si resultare necesario, es suficiente y adecuado. Si bien la norma contiene otro postulado, que es el presunto incumplimiento de cualquiera de los deberes contenidos en la referida ley, la pregunta que surge a continuación es qué ocurre cuando la petición consiste en “tomar medidas al respecto”, sin precisar cuáles, y la entidad respectiva decide, como sucedió en el presente caso con AV VILLAS, luego de las valoraciones jurídicas necesarias y las consultas internas pertinentes, iniciar y llevar hasta su culminación un proceso disciplinario de carácter laboral, en el cual también existen las reglas del debido proceso, de presunción de inocencia, citación a descargos, periodo probatorio, etc., a lo cual hay que sumar los términos pactados en la colectiva convención de trabajo para la citación de los representantes de los trabajadores a la diligencia de descargos.
Lo que queda en evidencia, es que para este tipo de situaciones resultan inaplicables los plazos de quince (15) o máximo veintitrés (23) días, previstos en el artículo 15 que comentamos, pues para garantizar el derecho de defensa y cumplir el procedimiento previsto en la convención colectiva de trabajo, que también tiene que ver con dos derechos fundamentales, el derecho al debido proceso y los derechos del trabajador, debía cumplir AV VILLAS, con un procedimiento que tiene unos términos superiores en tres veces al término de quince (15) días del artículo 15 de la Ley 1581 de 2012.
Esto sin contar con que, como ocurrió en el presente caso, por virtud la pandemia del coronavirus, la movilidad, como es de público dominio, está restringida, y se han tenido que aplazar diligencias, notificaciones, citaciones, etc., como ocurrió en todo el país e incluso, en la propia Superintendencia de Industria y Comercio, al igual que otras entidades estatales, juzgados, etc., donde se suspendieron los términos, en algunos caso durante más de tres meses.
El procedimiento seguido en contra del señor Alvarado no estuvo exento de las vicisitudes Ahora bien, eso no quiere decir que la solicitud de la señorita xxxxxxxxx de tomar medidas al respecto, no haya sido atendida. Sí fue atendida y el banco AV VILLAS decidió adoptar, respecto del señor Alvarado, una medida seria y aleccionadora, tal vez de mayor significado del que la propia solicitante habría VERSIÓN PÙBLICA imaginado, consciente como es AV VIILLAS de la importancia de que se respeten los derechos consagrados en la Ley 1581 de 2012 y sus desarrollos.
Por todo lo anterior, solicito comedidamente al señor Director declarar que el BANCO COMERCIAL AV VILLAS, no ha infringido ninguno de los dos cargos que se responden mediante el presente escrito”.
CUARTO: Que mediante Resolución 65851 del 20 de octubre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-80994 con el valor legal correspondiente, la cual fue comunicada el 21 de octubre de 2020, de acuerdo con lo informado por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia.
QUINTO: Que mediante Oficio 20-80994-25 del 10 de noviembre de 2020, se corrió traslado a EL BANCO por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión, de conformidad con lo establecido en el artículo 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo.
SEXTO: Que, dentro del término concedido para el efecto EL BANCO, a través de su apoderado especial, presentó alegatos de conclusión, bajo el radicado número 20-80994-27 del 26 de noviembre de 2020, a través de los cuales, reiteró lo expresado en su escrito de descargos.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.
OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que el artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.
De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en (i) literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma norma y (ii) el artículo 15 de la Ley 1581 de 2012.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Deber de Conservar la Información bajo Condiciones de Seguridad El literal d) del artículo 17 de la Ley 1581 de 2012, establece lo siguiente: Corte Constitucional, Magistrado Ponente Jorge Pretelt Chaljub. 6 de octubre de 2011 VERSIÓN PÙBLICA “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(..)” De conformidad con lo establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, “la información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”;
Por eso, los Responsables del tratamiento tienen el deber de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, de acuerdo con lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012. En referencia a lo anterior, la Corte Constitucional ha determinado que: “(...) [E]l Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.
Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados. En el año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los ‘Servicios de Redes Sociales’ o ‘SRS’ debe protegerse la información del perfil en el usuario mediante el establecimiento de ‘parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos’”2 De lo anterior debe entenderse que la norma busca establecer un elemento preventivo para que los Responsables, al igual que los Encargados, cuando sea el caso, adopten las medidas necesarias y efectivas de carácter reforzado para así evitar afectaciones a la seguridad de la información de los Titulares.
El acceso, consulta y/o el uso no autorizado o fraudulento, así como la manipulación y pérdida de la información son los principales riesgos que se buscan mitigar a través de las medidas de seguridad de naturaleza humana, física, administrativas, técnicas y de cualquier otra índole que refuercen las anteriores medidas. Nótese que la redacción del principio de seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables o Encargados a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas.
Proteger la información es una condición crucial del tratamiento de datos personales. Una vez recolectada debe ser objeto de medidas de diversa índole para evitar situaciones indeseadas que pueden afectar los derechos de los titulares y de los mismos responsables y encargados del tratamiento. El acceso, la consulta y el uso no autorizado o fraudulento, así como la manipulación y pérdida de la información son los principales riesgos que se quieran mitigar a través de las medidas de seguridad de naturaleza humana, física, administrativa, técnica o de cualquier otra índole.
Del texto del precitado artículo 17 de la Ley Estatutaria 1581 de 2012 se concluye, entre otras, que las medidas de seguridad deben estar dirigidas a evitar que se presente cualquier tipo de irregularidad que, entre otras, facilite o permita que una persona no autorizada un acceda a los datos personales de otras personas, situación que adquiere mayor importancia, sí se tiene en cuenta la existencia de datos de carácter sensible.
Por lo tanto, las actividades tendientes a mitigar posibles fallas en las medidas de seguridad adoptadas deben tener un carácter permanente y ser monitoreadas para establecer su pertinencia y efectiva protección de los datos personales. De acuerdo con los hechos narrados por la quejosa, este Despacho indagó sí EL BANCO había puesto en conocimiento de sus empleados, en especial del señor Alejandro Alvarado, las políticas que sobre seguridad en la protección de datos personales tienen implementadas en su calidad de Responsable del tratamiento.
Pues bien, con el escrito de descargos el apoderado especial de EL BANCO, allegó varias capturas de pantalla, en las que se puede observar las diferentes actividades de capacitación que se realizaron al interior de la entidad bancaria, y que, de las cuales puede concluir el Despacho tuvieron Corte Constitucional [C.C.] SentenciaC-748/11, M.P. Jorge Ignacio Pretelt Chaljub, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 40) (Colom.) (Interpreta el principio de Seguridad de la L.1581/12, y establece su alcance en la sección 2.6.5.2.7.).
VERSIÓN PÙBLICA que ser de conocimiento de todos y cada uno de los empleados del Banco, incluyendo aquellos que laboran en las sucursales. Veamos: a. Solicitud de inscripción del programa de protección de datos personales. Este es el soporte que se envía al área de formación del Banco para que se divulgue la capacitación a todos los colaboradores b. Divulgación jornada de autoformación protección de datos personales 30 de agosto de 2019 (Se envía a través del buzón “Nuestra Ruta” a todos los colaboradores) c. Evidencia de la inscripción de xxxxxxxxxxxxxxxxxxxxxxxxx a la jornada de Protección de datos VERSIÓN PÙBLICA d. Soporte “AGENDA DE LA SEMANA”, recordatorio de la jornada de autoformación Protección de datos personales (3 de septiembre de 2019).
También se envía a todos los colaboradores del Banco. e. Recordatorio que envía la herramienta de formación a los colaboradores cada 8 días, que no han presentado la jornada de capacitación: VERSIÓN PÙBLICA Aunado a lo anterior, debe este Despacho tener en cuenta que EL BANCO realizó el proceso disciplinario contra el funcionario y decidió suspender su contrato de trabajo por un lapso de ocho (8) días hábiles, en la medida que las explicaciones otorgadas por éste no fueron del todo satisfactorias, de lo anterior, entiende el Despacho que la conducta adoptada por el señor Alvarado Sánchez cuando decidió escribir al número de WhatsApp de la quejosa, no representa las políticas de la entidad bancaria y resultó ser, como lo dijo su apoderado, un acto personalísimo del mencionado empleado.
Así las cosas, considera este Despacho que en el presente caso, no hubo una vulneración al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento por parte del Banco Av Villas, en su calidad de Responsable del tratamiento de datos personales, por lo que se procederá a Archivar el cargo. 8.2.2 Del deber de tramitar los y reclamos formulados por la titular de la información Al respecto, la Ley 1581 de 2012 establece lo siguiente:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” Sobre el cargo impuesto, esto es, el incumplimiento del artículo 15 de la Ley 1581 de 2012, la citada ley establece lo siguiente: “ARTÍCULO 15.
RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer.
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” La Corte Constitucional en sentencia T-814 de 2005 precisó que el derecho de petición “conlleva la posibilidad de que las personas puedan dirigirse a las autoridades públicas u organizaciones privadas, en interés particular o general con el fin de presentar solicitudes respetuosas y esperar una respuesta clara y precisa del asunto presentado a su consideración en el término legalmente establecido.
En virtud de lo anterior, la esencia del derecho de petición comprende algunos elementos: (i) pronta resolución, (ii) respuesta de fondo, (iii) notificación de la respuesta al interesado”. (negrilla fuera de texto). En la misma línea, la sentencia T-129 de 2010, señaló que “(l)a relación de los derechos al buen nombre y hábeas data con el derecho fundamental de petición resulta inescindible en la medida que este último se transforma en el mecanismo idóneo para la materialización de los dos primeros”.
En consecuencia, la materialización de los derechos al buen nombre y hábeas data, mediante el VERSIÓN PÙBLICA ejercicio del derecho de petición, implica que se dé una respuesta de fondo y oportuna de acuerdo con los términos señalados en la ley y sea notificada al interesado3. Por su parte, mediante Sentencia C – 748 del 6 de octubre de 2011 respecto del artículo 14 antes transcrito, manifestó lo siguiente: “Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución tanto en el inciso primero como en el segundo, por cuanto el primero señala que todas las personas tienen derecho a presentar peticiones respetuosas ante las autoridades por motivos de interés general o particular, hecho que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades públicas, peticiones para establecer qué información o datos poseen sobre ellos.
En el segundo inciso del mencionado artículo 23 señala que el legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales. Es precisamente esta regulación la que hace el artículo 14, al estipular que los responsables y/o encargados del tratamiento de datos, en este caso los privados, deben atender en los precisos términos las consultas que eleven ante ellos los titulares del derecho al habeas data, como una forma de hacer exigibles el derecho consagrado en el literal a) del articulo 8 del proyecto en revisión, específicamente el de conocer.
En este orden de ideas, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data. Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.
En ese sentido, el legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.
Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del tratamiento del dato, el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares. Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente.
En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional272 ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.
(Negrilla fuera de texto) Por lo tanto, no responder de manera respetuosa, completa y de fondo, dentro del término legal establecido, un reclamo hecho por un titular de información, vulnera su derecho fundamental de hábeas data. Ahora bien, de la redacción del citado artículo 15, entiende el Despacho que el Titular de la información puede presentar un reclamo ante el Responsable del Tratamiento cuando: 1.
Considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión. 2. Advierta el presunto incumplimiento de cualquiera de los deberes contenidos en la citada ley. Cfr. Corte Constitucional, Sentencia T-350 de 2006. M.P. Jaime Cordoba Triviño. “La jurisprudencia constitucional de esta Corporación ha señalado que el núcleo esencial del derecho de petición comprende los siguientes elementos o características: (i) la posibilidad cierta y efectiva de presentar, de manera respetuosa, solicitudes ante las autoridades, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas;
(ii) la facultad de obtener una respuesta oportuna, esto es, dentro de los términos previstos en el ordenamiento jurídico; (iii) el derecho a recibir una respuesta de fondo o contestación material, lo que supone que la autoridad analice la materia propia de la solicitud y se pronuncie sobre la totalidad de los asuntos planteados, es decir, la correspondencia entre la petición y la respuesta, excluyendo fórmulas evasivas o elusivas y;
(iv) la pronta comunicación al peticionario sobre la determinación adoptada, con independencia de que su contenido sea favorable o desfavorable. Si no se cumple con estos requisitos se incurre en una vulneración del derecho fundamental de petición”. VERSIÓN PÙBLICA Así las cosas, el reclamo presentado por la quejosa, tenía por objeto informar a EL BANCO del comportamiento de uno de sus empleados, quien sin tener autorización le escribió mensajes a su línea de WhatsApp, lo que para ella era una vulneración a su derecho de habeas data y por consiguiente al régimen de protección de datos personales.
En ese sentido, debió EL BANCO atender el derecho de petición presentado por la señora Gutiérrez Serpa, dentro del término establecido y pronunciarse respecto de los hechos puestos en conocimiento y no haber esperado la intervención de esta Superintendencia para hacerlo, en la medida que el reclamo presentado el 13 de febrero de 2020, sólo obtuvo respuesta el día 4 de junio de 2020, es decir, 3 meses 21 días después. Al verificar el expediente, encuentra el Despacho que efectivamente, el derecho de petición interpuesto por la quejosa fue contestado el día 4 de junio de 2020, fecha en la que igualmente se dio respuesta a nuestro requerimiento de fecha 28 de mayo de 2020.
Ahora bien, indicó el apoderado del Banco Av Villas, que “… la pregunta que surge a continuación es qué ocurre cuando la petición consiste en “tomar medidas al respecto”, sin precisar cuáles, y la entidad respectiva decide, como sucedió en el presente caso con AV VILLAS, luego de las valoraciones jurídicas necesarias y las consultas internas pertinentes, iniciar y llevar hasta su culminación un proceso disciplinario de carácter laboral, en el cual también existen las reglas del debido proceso, de presunción de inocencia, citación a descargos, periodo probatorio, etc., a lo cual hay que sumar los términos pactados en la colectiva convención de trabajo para la citación de los representantes de los trabajadores a la diligencia de descargos”.
Llama la atención del Despacho que desde la presentación del reclamo, esto es, el 13 de febrero de 2020 y el requerimiento realizado por esta Dirección el día 28 de mayo de 2020, el Banco Av Villas no inició algún tipo de investigación relacionada con los hechos relatados por la quejosa, sólo se iniciaron acciones de tipo disciplinario una vez fue solicitada información por parte de esta Dirección el día 28 de mayo de 2020, tal y como se indicó en líneas anteriores, así, las excusas planteadas por EL BANCO, no son de recibo por parte de esta Dirección en la medida que, las mismas acciones que se iniciaron en el mes de junio de 2020, debieron haberlas realizado en el mes de febrero atendiendo favorablemente o no la petición de la quejosa, pero si haber adelantado por lo menos la investigación que al final se realizó. Así, contrario a lo manifestado por el apoderado de EL BANCO la vulneración a las normas de protección de hábeas data no sólo se configura cuando el derecho de petición desatendido está dirigido al amparo del derecho de habeas data de un titular de actualizar, rectificar o suprimir una información, sino que también se produce, tal y como se dejó dicho en líneas anteriores, cuando el titular advierte al Responsable de un presunto incumplimiento de un deber legal como en este caso sucedió. VERSIÓN PÙBLICA NOVENO: Imposición y graduación de la sanción 9.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23.
Esta facultad, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 4, 4 5 y 6 6 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo7. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”8 (negrita añadida) Así mismo, la citada ley 1581, establece las reglas especiales que debe tener en cuenta esta entidad para la imposición y graduación de las sanciones por vulneración de las normas sobre tratamiento de datos personales. En efecto, el artículo 23 señala que “la Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: (…).”.
Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)”. Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 Constitucional9.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer sus funciones de forma tal que, dentro de los límites legales, logre un equilibrio entre la sanción, la finalidad de la norma vulnerada y la gravedad de la violación del derecho humano fundamental a la protección de datos personales.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar los criterios de graduación que sean pertinentes o como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.
(negrita añadida). Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes.
Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.
(…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. VERSIÓN PÙBLICA Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada Ley11.
Ese efecto negativo tiene como finalidad no sólo sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros12. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”13.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia14. Ahora bien, de la lectura del artículo 24 de la Ley 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley.
La norma, pues, hace una distinción entre el daño efectivamente causado y el peligro o riesgo a los intereses jurídicos tutelados, entre otros, la protección del derecho fundamental a la protección de datos personales y habeas data. Sobre esto último no puede perderse de vista que la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.
Por lo expuesto en líneas precedentes, concluye esta Dirección que la respuesta remitida por EL BANCO a la Titular de la información, transgredió lo dispuesto en el artículo 15 de la Ley 1581 de 2012, en la medida que no se dio dentro del plazo establecido en el citado artículo, razón por la cual se impondrá una sanción pecuniaria de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400), equivalente a 300 Unidades de Valor Tributario15. 9.2 Criterios de graduación. Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. (negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm De conformidad con lo establecido en el artículo 49 de la Ley 1955 de 2019, a partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. Así, Mediante Resolución 000111 del 11 de diciembre de 2020 la Dirección de Impuestos y Aduanas Nacionales estableció el valor de la Unidad de Valor Tributario para el año 2021en $36.308 VERSIÓN PÙBLICA El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa el desconocimiento a lo dispuesto en el artículo 15 de la misma norma.
DÉCIMO: CONCLUSIÓN Con fundamento en lo expuesto, a juicio de esta Dirección, EL BANCO no dio respuesta al reclamo presentado por la señora Gutiérrez Serpa, dentro del término establecido para el efecto en el artículo 15 de la Ley 1581 de 2012, razón por la cual se impondrá una sanción de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400), equivalente a 300 Unidades de Valor Tributario.
En mérito de lo expuesto, este Despacho, RESUELVE:
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria al BANCO COMERCIAL AV VILLAS S.A. identificado con el Nit. 860.035.827-5 de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($10.892.400), equivalente a 300 Unidades de Valor Tributario por la transgresión de lo dispuesto en el artículo 15 de la Ley 1581 de 2012.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: Notificar personalmente el contenido de la presente resolución al BANCO COMERCIAL AV VILLAS S.A. identificado con el Nit. 860.035.827-5, a través de su apoderado especial, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO TERCERO: COMUNICAR el contenido de la presente Resolución, a la señora GABRIELA GUTIERREZ SERPA, identificado con cédula de ciudadanía No. 1.144.103.195.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 10 FEBRERO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.02.10 14:21:41 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: NTL Revisó: CESM Aprobó: CESM Notificación: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: BANCO COMERCIAL AV VILLAS S.A. Nit.:860.035.827-5 MARÌA LUZ MUNEVAR TORRES C.C. No. 51.737.340 Carrera 13 No. 26 A – 47 Piso 24 Bogotá D.C. notificacionesjudiciales@bancoavvillas.com.co Apoderado Especial: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo Electrónico: JOSE ORLANDO MONTEALEGRE ESCOBAR C.C. 19.355.765 30.633 del C.S. de la J Carrera 14 No. 93B – 32 Oficina 404 Bogotá D.C. jorlando.montealegre@lopezmontealegre.com COMUNICACIÓN: Señora: Identificación: Ciudad: Correo electrónico: GABRIELA GUTIERREZ SERPA C.C. No.1.144.103.195 Santiago de Cali (Valle del Cauca) gabriela.gutierrez.serpa@gmail.com VERSIÓN PÙBLICA