(29 OCTUBRE 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 18-302263 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012, el numeral 8 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante Resolución N°. 45328 del 22 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad OCUPAR TEMPORALES S.A. identificada con Nit. 800.106.404-0, de CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) unidades de valor tributario vigentes, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
(…).”
SEGUNDO: Que la Resolución N°. 45328 del 22 de julio de 2021 se notificó, mediante aviso N°. 17582 del 3 de agosto de 2021, a la sociedad OCUPAR TERMPORALES S.A., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 18-302263-57 del 4 de agosto de 2021.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-302263-58-1 del 17 de agosto de 2021, la sociedad OCUPAR TERMPORALES S.A., a través de su representante legal suplente, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°. 45328 del 22 de julio de 2021, el cual fundamentó con los siguientes motivos: 3.1 Sostiene que la sociedad OCUPAR TERMPORALES S.A. “cumple de manera cabal, celosa y esmerada, todas las normas que regulan la protección de datos señaladas en el Cargo Primero, todo en desarrollo de la Política de Tratamiento de Información contenida en el “Instructivo Manejo de Datos Personales” aportada en la etapa de averiguación preliminar (…)”. 3.2 Afirma que la sociedad OCUPAR TERMPORALES S.A., en su calidad de Responsable del Tratamiento, le solicitó al señor XXXXXX XXXX XXXXXXX XXXXXXXXX leer el contenido del documento denominado “Circular Autorización Protección Información Personal”, el cual fue aceptado y firmado por el Titular.
Por lo anterior, la sociedad recurrente le solicita al Despacho la práctica de la declaración del denunciante, para que este “reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y firmó el formato de autorización informada antes de consignar sus datos personales”. 3.3 Indica que conservó la autorización aceptada y firmada por el Titular, hasta antes de que ocurriera un suceso con ocasión de las lluvias intensas del mes de diciembre de 2018, por el que se deterioró y perdió documentación física, incluida la autorización otorgada por el señor HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” XXXXXX XXXX XXXXXXX XXXXXXXXX.
Incidente que indica le fue reportado de manera inmediata a los Responsables. 3.4 Señala que no comparte lo expuesto por el Despacho en el acto recurrido al afirmar que “OCUPAR no acreditó que cuando el denunciante entregó sus datos a través del software “iDtalento”, presuntamente autorizando a IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., por lo tanto observa preliminarmente el despacho que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXX, para hacer uso de sus datos personales a los que según informó tuvo acceso a través de la plataforma “IdTALENTO”, por las siguientes razones: “El candidato, en este caso el señor XXXXXXX al iniciar el proceso de selección aceptó la SOLICITUD realizada por OCUPAR, o sea la lectura y firma de la “AUTORIZACIÓN PROTECCION (sic) INFORMACION (sic) PERSONAL”, como ampliamente se sustentó, dando cumplimiento a la normatividad y Política de Tratamiento de la información, seguidamente y en desarrollo del CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES, que suscribí con IDCORP SAS, del cual forma parte los acuerdos de servicios, documento que fue aportados (sic) en la instancia de la averiguación preliminar, y contrato que se aportó con los descargos, el “Titular de datos” autorizará de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento de todos los datos que de manera voluntaria que (sic) el usuario suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del formato y procediendo a realizar las pruebas que allí se solicitan, tal como se muestra en el formato que relaciono más adelante.
Se reitera que el señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un “click” en el cuadro de aceptación colocado en la parte final, prueba de que aceptó los términos y condiciones previstas en los documentos que allí se relacionan. (Negrilla y subraya fuera del texto original) En el CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES que suscribí con IDCORP SAS., no he dado autorizaciones para el manejo de datos del personal que ingresa a realizar las pruebas para fines distintos a los acordados en el contrato, y puedo garantizar que IDCORP SAS como proveedor de servicios de la plataforma indicada en la presente sustentación ha dado cumplimiento a las obligaciones pactadas en el contrato.
IDCORP SAS y OCUPAR cumplieron y seguirán cumpliendo con el Régimen General de Protección de Datos Personales por lo tanto los hechos sobre los cuales se fundamenta la investigación administrativa y la fijación de cargos carecen de validez jurídica pues los datos suministrados por el señor XXXXXXX no pueden ser usados con ningún fin a excepción del proceso de selección que se agotó conforme a las políticas internas de la empresa que represento.” 3.5 A continuación, señala que el segundo cargo “(…) carece de claridad y argumento considerando que no se señala la conducta de informar o no informar, y en gracias de discusión haciendo una interpretación tampoco se podría endilgar una responsabilidad a OCUPAR, (…).
Por lo tanto el CARGO SEGUNDO deberá revocarse considerando que no se han vulnerado las normas sobre el cual fue fijado”. 3.6 Solicita al Despacho el decreto de las siguientes pruebas: “1. Solicitar como prueba, declaración del denunciante para que reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y formó el formato de autorización informada antes de consignar sus datos personales. 2.
Solicitar que se vincule al proceso a IDCorp, para que se realice la Inspección (sic) a la plataforma IDCORP SAS, para determinar que el candidato no puede continuar con el proceso si no acepta los términos y condiciones y la política de privacidad que se encuentran en la plataforma ID talento. 3.7 Finalmente, solicita que se revoque la Resolución N°. 45328 del 22 de julio de 2021.
Subsidiariamente, solicita que: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, “Solicitar de manera subsidiaria, sin que ello constituya reconocimiento de responsabilidad, que de no ser atendidos los hechos y razones eximlentes (sic) de responsabilidad de Ocupar, la SIC reconsidere la cuantía de la sanción económica impuesta, habida cuenta que su valor es exorbitante y no se compadece con un hecho atribuible a un tercero, máxime, dada la situación económica que enfrentan las empresas, y en particular, el sector que aglutina las empresas de servicios temporales como consecuencia de la recesión económica originada en la contingencia sanitaria que afecta al país.”
CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad OCUPAR TERMPORALES S.A., este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los argumentos de la recurrente se enmarcan en los siguientes puntos: (i) Frente al deber de solicitar y conservar copia de la autorización;
(ii) Frente al segundo cargo formulado; (iii) Frente a las pruebas solicitadas; (iv) Frente a la graduación de la sanción y (v) frente a las pretensiones. 5.1 Frente al deber de solicitar y conservar copia de la autorización Sostiene la sociedad OCUPAR TERMPORALES S.A. que “cumple de manera cabal, celosa y esmerada, todas las normas que regulan la protección de datos señaladas en el Cargo Primero, todo en desarrollo de la Política de Tratamiento de Información contenida en el “Instructivo Manejo de Datos Personales” aportada en la etapa de averiguación preliminar (…)”.
Afirma que, en su calidad de Responsable del Tratamiento, le solicitó al señor XXXXXX XXXX XXXXXXX XXXXXXXXX leer el contenido del documento denominado “Circular Autorización Protección Información Personal”, el cual fue aceptado y firmado por el Titular. Por lo anterior, la sociedad recurrente le solicita al Despacho la práctica de la declaración del denunciante, para que este “reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y firmó el formato de autorización informada antes de consignar sus datos personales”.
En línea con lo anterior, señala que no comparte lo expuesto por el Despacho en el acto recurrido al afirmar que “OCUPAR no acreditó que cuando el denunciante entregó sus datos a través del software “iDtalento”, presuntamente autorizando a IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., por lo tanto observa preliminarmente el despacho que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXX, para hacer uso de sus datos personales a los que según informó tuvo acceso a través de la plataforma “IdTALENTO”, por las siguientes razones: “El candidato, en este caso el señor XXXXXXX al iniciar el proceso de selección aceptó la SOLICITUD realizada por OCUPAR, o sea la lectura y firma de la “AUTORIZACIÓN PROTECCION (sic) INFORMACION (sic) PERSONAL”, como ampliamente se sustentó, dando cumplimiento a la normatividad y Política de Tratamiento de la información, seguidamente y en desarrollo del CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES, que suscribí con IDCORP SAS, del cual forma parte los acuerdos de servicios, documento que fue aportados (sic) en la instancia de la averiguación preliminar, y contrato que se aportó con los descargos, el “Titular de datos” autorizará de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento de todos los datos que de manera voluntaria que (sic) el usuario suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del formato y procediendo a realizar las pruebas que allí se solicitan, tal como se muestra en el formato que relaciono más adelante.
Se reitera que el señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un “click” en el cuadro de aceptación colocado en la parte final, prueba de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, que aceptó los términos y condiciones previstas en los documentos que allí se relacionan.
(Negrilla y subraya fuera del texto original) En el CONTRATO DE TRANSMISION (sic) DE DATOS PERSONALES que suscribí con IDCORP SAS., no he dado autorizaciones para el manejo de datos del personal que ingresa a realizar las pruebas para fines distintos a los acordados en el contrato, y puedo garantizar que IDCORP SAS como proveedor de servicios de la plataforma indicada en la presente sustentación ha dado cumplimiento a las obligaciones pactadas en el contrato.
IDCORP SAS y OCUPAR cumplieron y seguirán cumpliendo con el Régimen General de Protección de Datos Personales por lo tanto los hechos sobre los cuales se fundamenta la investigación administrativa y la fijación de cargos carecen de validez jurídica pues los datos suministrados por el señor XXXXXXX no pueden ser usados con ningún fin a excepción del proceso de selección que se agotó conforme a las políticas internas de la empresa que represento.” Frente a las afirmaciones realizadas por la sociedad recurrente, esta instancia encuentra necesarias las siguientes precisiones: La Ley Estatutaria 1581 de 2012 diferencia entre el Responsable y el Encargado del Tratamiento de la siguiente manera: De una parte, define al Responsable del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.
Se trata del sujeto que directamente recolecta los datos y define los usos y los medios para el Tratamiento de los datos. Su actividad es reglada y la ley 1581 le impone obligaciones, entre otros, en el artículo 17 que, entre otras, ordena lo siguiente: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…)”. De otra parte, la Ley 1581 de 2012 define al Encargado del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”, imponiéndole las obligaciones contempladas en el artículo 18 del cuerpo normativo en cita.
Respecto de las calidades de Responsable y Encargado la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó lo siguiente: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos (…) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.
Ciertamente, el concepto “decidir sobre el “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir – jurídica y materialmente- los fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.
Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término “por cuenta de” utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato.
Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.
Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable señala a la otra –el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados.
Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital. En este caso, el encargado del tratamiento de los datos es la persona jurídica que se contrata para el procesamiento de las hojas de vida.
(Negrilla fuera del texto original) Por lo expuesto, y conforme a las pruebas que obran en el expediente de la referencia, la sociedad OCUPAR TERMPORALES S.A., en calidad de Responsable del Tratamiento de la información, debe cumplir con los deberes previstos en el artículo 17 de la Ley Estatutaria 1581 de 2012, entre ellos, el de solicitar y conservar copia de la autorización otorgada por el Titular de los datos.
Ahora bien, conforme a lo dispuesto en el artículo 17 de la norma estatutaria y en el Decreto Único Reglamentario 1074 de 2015, en armonía con lo expuesto por la Corte Constitucional en la sentencia C-748 de 2011, el consentimiento otorgado por el Titular de la información debe ser calificado y reunir los siguientes elementos: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo - constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.
Esto obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. 2.
Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.
En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. 2.
Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.
Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.
El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.
Sobre el particular, reitera este Despacho que dentro del expediente 18-302263 NO reposa prueba de la autorización otorgada por el Titular del dato. Aunado a lo anterior, encuentra la Dirección que la sociedad OCUPAR TERMPORALES S.A. se limita a informar que: (i) Solicitó y conservó copia de la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX, pero no cuenta con ella, debido a que, con ocasión de un incidente locativo en la sede de la compañía producto de las lluvias del mes de diciembre de 2018, perdió documentación física, incluida la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX.
Por ello, considera necesaria la declaración del Titular, para que este “reafirme o niegue, si antes del suministro de sus datos fue debidamente informado de los fines de dicho suministro y si leyó, diligenció y firmó el formato de autorización informada antes de consignar sus datos personales”. (ii) En el momento en que el Titular se registró en la plataforma de la sociedad IDCORP S.A.S., “el señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un “click” en el cuadro de aceptación colocado en la parte final, prueba de que aceptó los términos y condiciones previstas en los documentos que allí se relacionan.
(Subraya fuera del texto original) Sobre dichas manifestaciones, advierte esta Dirección unos yerros mayúsculos, en tanto la investigada, por un lado, pretende trasladarle al Titular de la información la carga procesal que le corresponde en calidad de Responsable del Tratamiento y, con ello, el deber establecido en el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012, lo cual es a todas luces inadmisible.
Por otro lado, intenta justificarse en un incidente producto de la ola invernal de diciembre de 2018; obviando no solo que le asistía la obligación de solicitar nuevamente la autorización del titular una vez ocurrido el referido incidente y que, además, debía realizar el reporte del mismo ante esta autoridad. En línea con lo anterior, pretender equiparar la aceptación de los términos y condiciones que regulan la plataforma digital de la sociedad IDCORP S.A.S. y de la política de tratamiento de la información con la autorización previa, expresa e informada otorgada por el Titular; es una situación que no resulta menor y que amerita que el Despacho realice las siguientes aclaraciones: Primera: el hecho de aceptar los términos y condiciones que regulan la plataforma digital de una sociedad no se traduce en que el Titular de la información autorice el Tratamiento de sus datos personales, conforme a lo requerido por la ley.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Segunda: es preciso resaltar que el Titular no está obligado a aceptar la Política de Tratamiento de la Información por cuanto lo que exige la regulación es que la misma sea puesta en conocimiento de los Titulares, tal y como lo ordena el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, mas no que para la prestación de un servicio los mismos se vean obligados a conocer y aceptar dicha Política.
En suma, validar dicho funcionamiento por parte de la investigada constituye imponerle un deber a los Titulares al cual no están obligados por la Ley Estatutaria 1581 de 2012. Aunado a lo anterior, no encuentra esta Dirección que el procedimiento descrito por la sociedad investigada permita: (i) comprobar la identidad plena de la persona que acepta los términos y condiciones, (ii) conservar copia del consentimiento del Titular y verificar que el mismo se obtuvo con anterioridad a la recolección y tratamiento de sus datos personales y (iii) acreditar el cumplimiento de los preceptos contenidos en el artículo 12 de la Ley 1581 de 2012 referentes al consentimiento expreso e informado y la capacidad del Responsable de suministrar plena prueba del consentimiento de cada Titular del dato.
Así las cosas, aceptar los términos y condiciones o la Política de Tratamiento de la Información no es imperativo para el Titular, ni releva al Responsable del Tratamiento del deber de obtener la autorización previa, expresa e informada por parte de este para el tratamiento de sus datos personales. Ahora bien, encarna una contradicción que la sociedad recurrente pretenda valerse de los componentes propios de la plataforma tecnológica de la sociedad IDCORP S.A.S., para exonerarse de la responsabilidad que le asiste en el presente caso; toda vez que, en el evento en que la mencionada sociedad hubiese solicitado la autorización del señor XXXXXX XXXX XXXXXXX XXXXXXXXX para el Tratamiento de sus datos personales, indefectiblemente tendría la calidad de Responsable del Tratamiento y no de Encargado del mismo, conforme al análisis realizado por el Despacho en el acto administrativo recurrido.
Por lo expuesto, encuentra esta Dirección que la sociedad OCUPAR TERMPORALES S.A., en su calidad de Responsable del tratamiento, no logró desvirtuar el incumplimiento al deber dispuesto en en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; razón por la cual, los motivos de inconformidad analizados en este acápite no están llamados a prosperar. 5.2 Frente al segundo cargo formulado Esta Dirección no se pronunciará frente a los argumentos esgrimidos por la sociedad recurrente en relación con el segundo cargo; en la medida que el mismo fue archivado, mediante Resolución N°. 45328 del 22 de julio de 2021, por las siguientes razones: - Al realizar un análisis comparativo de las finalidades del tratamiento de los datos personales referidas por la sociedad investigada en la respuesta radicada ante esta Superintendencia el 17 de junio de 20191 y en el escrito de descargos del 28 de noviembre de 20192, en relación con los hallazgos y conclusiones presentados en el informe técnico del 2 de junio de 2021 3, encuentra este Despacho que, existe concordancia entre las finalidades señaladas por la sociedad OCUPAR TEMPORALES S.A. en lo corrido de la presente investigación administrativa y lo advertido por esta Superintendencia a partir de análisis del código fuente del sistema iDTalento.
Estas finalidades se enmarcan en: (i) el proceso de reclutamiento y selección de personal, con miras a establecer eventualmente relaciones contractuales de tipo laboral; (ii) envío de información con fines publicitarios y de mercadeo y (iii) desarrollo de actividades administrativas y comerciales por parte de la compañía. 1 Escrito radicado bajo el número 18-302263-00006-0001 del 17 de junio de 2019. 2 Escrito radicado bajo el número 18-302263-00021-0001 del 28 de noviembre de 2019. 3 Escrito radicado bajo el número 18-302263-00047-1 del 2 de junio de 2021.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, - El procedimiento mediante el cual la sociedad investigada afirma informarle al Titular de la información sobre la finalidad de la recolección y los derechos que le asisten, se ajustan a los preceptos fundamentales en materia de protección de datos personales. - La sociedad OCUPAR TEMPORALES S.A. le informó al señor XXXXXX XXXX XXXXXXX XXXXXXXXX: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) los derechos que les asisten y (iii) los datos de identificación y contacto del Responsable del Tratamiento.
Consecuencia de lo anterior, no entiende este Despacho la petición de la sociedad recurrente, cuando es evidente que, tanto la parte motiva como la resolutiva del acto administrativo objeto de discusión guarda congruencia y concordancia entre sí al expresar que el referido cargo de finalidad se ARCHIVÓ y por ello carece de fundamento jurídico y fáctico toda petición en contrario. 5.3 Frente a las pruebas solicitadas Esta Dirección realizó con anterioridad el análisis de la conducencia, utilidad y necesidad de las pruebas solicitadas por la sociedad OCUPAR TEMPORALES S.A., mediante Resolución Nº. 2819 del 31 de enero de 2020; razón por la que no se pronunciará de nuevo al respecto. 5.4 Frente a la graduación de la sanción Presenta la sociedad OCUPAR TEMPORALES S.A. la siguiente solicitud: “Solicitar de manera subsidiaria, sin que ello constituya reconocimiento de responsabilidad, que de no ser atendidos los hechos y razones eximlentes (sic) de responsabilidad de Ocupar, la SIC reconsidere la cuantía de la sanción económica impuesta, habida cuenta que su valor es exorbitante y no se compadece con un hecho atribuible a un tercero, máxime, dada la situación económica que enfrentan las empresas, y en particular, el sector que aglutina las empresas de servicios temporales como consecuencia de la recesión económica originada en la contingencia sanitaria que afecta al país.” En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;
HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 18.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanción ador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad OCUPAR TEMPORALES S.A. vulneró los deberes contemplados en: i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; al no solicitar y conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titular de la información; razón por la cual, se impondrá sanción pecuniaria correspondiente a CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) UNIDADES DE VALOR TRIBUTARIO VIGENTES. 18.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación.” Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; al no solicitar y conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titular de la información. Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;
(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. En relación con el criterio de atenuación de la sanción señalado en el literal f) del artículo citado, el mismo se aplicó toda vez que la investigada reconoció la comisión de la infracción. Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción se encuentra ajustada a derecho, donde se tuvo en cuenta la infracción cometida (literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015).
Sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;
(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.4 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
Así pues, esta Superintendencia una vez valoró los criterios mencionados y de acuerdo con el material probatorio obrante en el expediente, impuso una sanción pecuniaria CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) UNIDADES DE VALOR TRIBUTARIO VIGENTES a la sociedad investigada, de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: Cfr. Corte Constitucional, sentencia C-699/08, M.P. Alberto Rojas Ríos.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”5 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.
Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-011 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.
Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso, donde la sociedad OCUPAR TEMPORALES S.A., al no Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, conservar copia de la autorización para el tratamiento de sus datos personales, vulneró el derecho de habeas data del Titular de la información Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en el deber legal dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; violentando con ello el derecho fundamental de habeas data del Titular.
Dicha vulneración se concretó al no demostrar que conservó copia de la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX para el Tratamiento de sus datos personales. Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.
Ahora bien, la multa impuesta a la sociedad recurrente es insignificante para el tope establecido en la norma, ya que porcentualmente la sanción fue del 3.76 % del rango previsto permitido por la Ley 1581 del 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en esta instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad OCUPAR TEMPORALES S.A. no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución N°. 45328 del 22 de julio de 2021; razón por la cual, este Despacho confirmará la proporcionalidad de la sanción inicialmente calculada. 5.5 Frente a las pretensiones En su escrito de recurso, la sociedad OCUPAR TEMPORALES S.A. solicita: “Con las sustentaciones y pruebas aportadas en el trámite de la investigación, se dio claridad suficiente de que OCUPAR no ha vulnerado las normas citadas por el despacho, por lo tanto la formulación del CARGO PRIMERO y del CARGO SEGUNDO carecen de fundamento por lo tanto solicito con el debido respeto, que se tengan en cuenta las anteriores consideraciones, pruebas y sustentaciones, y se revoqueEL (sic) CARGO PRIMERO Y CARGO SEGUNDO, por no estar acordes con ninguna violación de las normas citadas por parte de OCUPAR TEMPORALES S.A., en su calidad de responsable del tratamiento de los datos personales del señor XXXXXX XXXX XXXXXXX XXXXXXXXX, y en su defecto proceda al archivo del expediente en la presente instancia. Solicitar que se revoque Resolución y por ende la sanción contra Ocupar, en razón a que la sociedad informó y solicitó autorización del denunciante para recibir sus datos, tal y como éste lo manifestó y así obra en el expediente.
Solicitar de manera subsidiaria, sin que ello constituya reconocimiento de responsabilidad, que de no ser atendidos los hechos y razones eximlentes (sic) de responsabilidad de Ocupar, la SIC reconsidere la cuantía de la sanción económica impuesta, habida cuenta que su valor es exorbitante y no se compadece con un hecho atribuible a un tercero, máxime, dada la situación económica que enfrentan las empresas, y en particular, el sector que aglutina las empresas de servicios temporales como consecuencia de la recesión económica originada en la contingencia sanitaria que afecta al país.” Teniendo en cuenta que fueron desvirtuados todos y cada uno de los motivos de inconformidad esgrimidos por la sociedad OCUPAR TEMPORALES S.A. en su escrito de recurso, esta Dirección no encuentra procedente conceder lo solicitado; razón por la cual, se confirmará la decisión adoptada, mediante la Resolución N°. 45328 del 22 de julio de 2021.
Igualmente, le aclara a la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, sociedad recurrente que, tal y como se probó en lo corrido de la presente investigación administrativa, la infracción al Régimen de Protección de Datos Personales se dio por parte de la sociedad OCUPAR TEMPORALES S.A. y no por un “hecho atribuible a un tercero” como lo señala la sociedad en la pretensión subsidiaria.
En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
SEXTO: CONCLUSIONES 1. Con fundamento en lo expuesto, se encuentra suficientemente acreditado que la sociedad OCUPAR TEMPORALES S.A. vulneró el precepto normativo contenido el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; al no conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titular de la información para el tratamiento de sus datos personales. 2.
La graduación de la sanción no obedeció a una decisión caprichosa de esta Dirección, sino que se realizó con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto.
SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución N°. 45328 del 22 de julio de 2021.
OCTAVO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad OCUPAR TEMPORALES S.A., identificada con Nit. 800.106.404-0, esta Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad financiera@ocupar.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad OCUPAR TEMPORALES S.A. considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto, este Despacho “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14,
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N°. 45328 del 22 de julio de 2021, de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR a la sociedad OCUPAR TEMPORALES S.A. identificada con el Nit. 800.106.404-0, a través de su representante legal, entregándole copia de la misma.
ARTÍCULO CUARTO: COMUNICAR al señor XXXXXX XXXX XXXXXXX XXXXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXXXXXX, el contenido de la presente resolución.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 29 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.29 14:56:37 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: OCUPAR TEMPORALES S.A. NIT. 800.106.404-0 ALEJANDRO NAVARRETE SILVA C.C. 94.410.818 Av. 8 No. 23 Norte 76 Cali, Valle del Cauca financiera@ocupar.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Correo electrónico: Ciudad: XXXXXX XXXX XXXXXXX XXXXXXXXX XXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXXXX