(17 NOVIEMBRE 2020) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 19-233226 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que, en virtud del traslado efectuado por el Grupo de Trabajo de Habeas Data, a través de la Resolución 14918 del 20 de mayo de 20191, la Dirección de Investigación de Protección de Datos Personales decidió, mediante Resolución 68410 del 29 de noviembre de 2019 2, abrir investigación y formular pliego de cargos contra la sociedad TOUR VACATION HOTELES AZUL S.A.S., identificada con Nit. 900.304.940-9, por la presunta contravención de lo dispuesto en: i) ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, y;
El literal j del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem. La denuncia presentada por el señor XXXXXXXXX XXXXXXX XXXXX XXXX3, se contrajo a los siguientes hechos: 1.1 Señala que, en el año 2017 realizó la compra de un paquete turístico a San Andrés con la sociedad TOUR VACATION HOTELES AZUL S.A.S., servicio que asegura disfrutó sin ningún inconveniente.
No obstante, indica que, posteriormente, empezó a recibir por parte de dicha sociedad de forma repetitiva comunicaciones a su correo electrónico y llamadas a su teléfono celular respecto a reservas realizadas por otras personas y frente a las cuales no tiene vínculo alguno. 1.2 Allega imágenes de los mensajes que recibió desde el correo sistemas@onvacationshoteles.com los días 27 de octubre de 2017, 31 de octubre de 2017, 13 de diciembre de 2017, 2 de enero de 2018, 13 de enero de 2018, 19 de enero de 2018, 20 de junio de 2018 y 10 de julio de 2018, 19 de julio de 2018, a través de los cuales le allegaron información de una serie de reservas, frente a las cuales no tienen vínculo alguno. Así mismo, allega copias de las solicitudes que envió a la sociedad investigada, pidiendo que eliminaran su información de las bases de datos de la compañía. 1.3 Solicita la intervención de esta Superintendencia para que la sociedad TOUR VACATION HOTELES AZUL S.A.S. elimine sus datos personales de las bases de datos de dicha sociedad y, por lo tanto, que no sea utilizados para el envío de comunicaciones de servicios que no están relacionados con él. En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara pruebas que pretendiera hacer valer en la presente actuación. Actuación radicada el 22 de mayo de 2019, bajo el número 18-193872-6-0.
Actuación radicada el 05 de diciembre de 2019, bajo el número 19-233226-1-0. Actuación radicada el 26 de julio de 2018, bajo el número 18-193872-0-0. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 2, SEGUNDO: Que la Resolución 68410 del 29 de noviembre de 2019 se notificó personalmente a la señora NADIA DANIELA AGUIRRE RUJANA, en representación de la sociedad TOUR VACATION HOTELES AZUL S.A.S. el 09 de diciembre de 2019, según consta en la certificación expedida por la Secretaría general Ad-Hoc de esta Superintendencia, radicada bajo el número 19-233226- -7 del 12 de diciembre de 2019.
TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-233226- -00008-0000, la sociedad investigada presentó sus descargos4, en los cuales manifestó, entre otras cosas, lo siguiente: 3.1 En primer lugar, se refiere a la los antecedentes de la actuación administrativa adelantada por esta Dirección. 3.2 A continuación, realiza unas consideraciones respecto a la Resolución 68410 de 2019, indicando que, “La Superintendencia al iniciar una investigación administrativa y formulación de cargos mediante la Resolución 68410 de 2019, deja claro que existió un quebrantamiento al debido proceso al no requerir una recolección de información preliminar que les permitiera aclarar los hechos realmente acaecidos frente a la solicitud del señor xxxxxxxxx xxxxx xxxx, y el cumplimiento del Régimen General de Protección de Datos Personales, vulnerando el derecho de contracción (sic) y generando como consecuencia de (sic) mi representada el inicio del procedimiento administrativo sancionatorio y formula (sic) de cargos como a continuación se describen:” 3.3 Frente al cargo primero, presentó los siguientes argumentos: 2.1 CARGO PRIMERO: La presunta infracción por parte de la investigada, en su calidad de responsable del tratamiento, del deber de garantizar en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data, consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición normativa y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.
En cuanto a la primera imputación, a continuación procederemos a plantear los argumentos para conocimiento y análisis de la DIRECCIÓN DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, y frente a los cuales encontramos se dan las condiciones necesarias, ante la realidad jurídica y técnica, de absolver de toda responsabilidad a TOUR VACATION HOTELES AZUL S.A.S. Presenta erróneamente la dirección de investigaciones que el cargo es procedente por haber analizado que el titular el señor XXXXXXXXX XXXXX XXXX, manifestó haber solicitado a través del correo electrónico de la Sociedad que eliminara sus datos personales de nuestras bases de datos, con el fin de no seguir recibiendo información y que el titular radicó en las oficinas de la sociedad el 10 de julio de 2018 solicitud de retiro de datos personales y que a pesar de esto 7a (sic) sociedad TOUR VACATION HOTELES AZUL S.A.S., en reiteradas ocasiones, siguió enviando información al señor xxxxx xxxx, quien los días (sic) 2 de enero y 10 de junio de 2018, reitero (sic) la solicitud de eliminar sus datos personales de sus bases de datos, sin respuesta alguna” Sin embargo estas afirmaciones no son ciertas, como evidencia de lo anterior nos permitimos informar con base en los siguientes hechos y evidencias que acreditan: 1.
El señor xxxxx xxxx, adquirió a través de la plataforma Booking.com Colombia S.A.S. la Reserva xxxxxx para el hotel Sea Horse de Tour Vacation Hoteles Azul S.A.S. en el contrato de la referencia el cual hizo parte del expediente 18-193872, el cual fue aportado en los folios 51 a 54 del radicado No. 18-193872— 00004-000 se incluye claramente la cláusula Décima Cuarta la Cláusula de Habeas Data en la que de acuerdo a la Ley 1581 de 2012 se le informa claramente al titular lo siguiente: “(…) En cuanto a la primera imputación, a continuación procederemos a plantear los argumentos para conocimiento y análisis de la DIRECCIÓN DE INVESTIGACIONES DE PROTECCIÓN AL CONSUMIDOR, y frente a los cuales encontramos se dan las condiciones necesarias, ante la realidad jurídica y técnica, de absolver de toda responsabilidad a TOUR VACATION HOTELES AZUL S.A.S. ( ) Actuación radicada el 30 de diciembre de 2019, bajo el número 19-233226- -00008-0000.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 3, 2. Así mismo dentro de la página web de Tour Vacation Hoteles Azul S.A.S. al momento del requerimiento y en la actualidad de acuerdo a los deberes de nuestra Sociedad (sic) se encuentra publicada nuestra política de privacidad y confidencialidad la cual fue aportada de igual forma en los folios 48 al 50 del radicado No. 18-193872—00004-000 en la que se informa: "( )ÁREA ENCARGADA DE PETICIONES, CONSULTAS Y RECLAMOS DE DATOS PERSONALES El área encargada de atender las peticiones, consultas y reclamos de los titulares para ejercer sus derechos a conocer, actualizar, rectificar y suprimir sus datos y revocar su autorización es el Área de Servicio al Cliente.
MEDIOS PARA EJERCER LOS DERECHOS DE ACCESO, RETIRO Y RECTIFICACIÓN DE LOS DATOS PERSONALES El cliente y/o usuario tiene el derecho en cualquier momento de revocar la presente autorización y/o solicitar la supresión, actualización, rectificación y conocer de sus datos autorizados para el Tratamiento, comunicándose a las líneas (sic) telefónicas (1) 3848560 opción 5 o la línea nacional 018000 121049 opción servicio al cliente, o al correo electrónico atencionalcliente@onvacationhoteles.com, también puede enviar una carta en físico a la dirección CARRERA 46 No. 94 - 73 en Bogotá Dirigida (sic) al departamento de SERVICIO AL CLIENTE Tour Vacation Hoteles Azul S.A.S. responderá a la solicitud en el plazo estipulado por la Ley 1581 de 2012.
Cuando no fuere posible atenderla consulta dentro de dicho término, se notificará oportunamente, expresando los motivos de la demora y señalando la fecha en que será atendida. Se debe tener en cuenta que la solicitud de retiro o supresión no procederá cuando exista el deber contractual o legal de mantenerlo en nuestra base de datos. Como ocurre, con la cartera pendiente de recaudo (sic)” 3.
La información anteriormente descrita se encontraba a disposición del titular desde el inicio de la relación comercial entre las partes, publicada en la página web y registrada de acuerdo a la Ley 1581 de 2012 en la plataforma de Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio de conformidad al radicado No. 16- 345102-000000-000, demostrando que la Sociedad (sic) a través de todos los medios ha informado cual (sic) es el procedimiento para el cumplimiento de la actualización de la información de los titulares. 4.
La empresa en su página web de acuerdo al literal K del artículo 17 de la ley 1581 de 2012 y conforme al numeral 5 del artículo 13 del decreto 1377 de 2013, dispone para conocimiento público de sus clientes y de los entes de control, la política de privacidad y confidencialidad de datos personales, en las que se detalla exactamente el procedimiento para que los titulares de la información puedan ejercer sus derechos de conocer, actualizar, rectificar, suprimir su información y revocar la autorización expresa.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 4, 5. Por ello es importante no perder de vista que la ley 1581 de 2012 y el decreto 1377 de 2013, le permiten al responsable del tratamiento y al encargado del tratamiento, establecer un procedimiento para que el titular pueda adelantarlo en pro de ejercer sus derechos, y de esa forma se pueda canalizar de forma efectiva la solicitud para que haya una respuesta en tiempo. 6.
Sin embargo, dentro de las pruebas que reposan dentro del expediente con las que la Dirección de Investigaciones inició el proceso administrativo sancionatorio, se evidencia en todas y cada una de las solicitudes del señor xxxxx xxxx, no las envió al correo electrónico informado en la política de privacidad y confidencialidad de datos personales que corresponde al correo atencionaicliente@onvacationhoteles.com, para proceder con la actualización de la información, pues de esa forma si el titular del dato el señor xxxxx xxxx, hubiese adelantado el correspondiente proceso para actualizar la información la empresa precedía inmediatamente, pero en lugar de ello el señor xxxxx xxxx de forma caprichosa remitió sus solicitudes al correo sistemas@onvacationhoteles.com.
Como se evidencia en las pruebas presentadas por el titular los días: 28 de octubre de 2017 a las 08:45 Mar (sic), 2 de enero a las 9.30 Mar (sic), 10 de julio a las 10:52 25 de Julio (sic) de 2018 a las 15:45 Correo electrónico que no está habilitado para tramitar, radicar o contestar como se indicaba en el mismo cuerpo de los correos aportados por el titular dentro del expediente; así mismo se firma el correo con el correo atencionalcliente@onvacationhoteles.com y los datos de contacto con la Sociedad, los cuales fueron omitidos en todas las solicitudes presentadas por el señor xxxxx xxxx.
Adicional a esto con cada envío del correo del señor xxxxxxxxx xxxxx xxxx, se tiene una respuesta automática en el correo sistemas@onvacationhoteles.com en la que se informa: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 5, 7. Fue solo hasta el 30 de julio de 2018 que el señor xxxxxxxxx xxxxx xxxx remitió al correo servicioalcliente7@onvacation.com reclamación formal sobre violación a protección de datos, la cual se remitió copia en el folio 55 del radicado No. 18-193872—00004-000, la cual viene fechada del 10 de julio de 2018 más no es la fecha en la que la Sociedad conoció la misma.
A pesar que el correo al que el señor xxxxx xxxx radicó la solicitud no corresponde al correo registrado para tramitar la actualización, supresión, eliminación de las bases de datos, la funcionaría xxxx xxxxxx procedió de acuerdo a nuestro procedimiento y protocolo a radicar la solicitud del señor xxxxxxxx xxxxxx el 31 de julio de 2018; asignación que fue tramitada dentro de los términos señalados en la Ley 1581 de 2012 puesto que otorgamos respuesta y generamos la actualización de la información de acuerdo al requerimiento del titular e informado el mismo por nuestra funcionada de Servicio al Cliente xxxxxxxxx xxxxxxx xxxxxxxxx el 1 de agosto de 2018.
Es decir 1 día hábil desde la radicación efectuada por la señora xxxxx xxxxxxxx y 2 días hábiles después de la radicación del señor xxxxx xxxx al correo servicioalcliente7@onvacation.com. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 6, Es así como verificando en nuestra plataforma de Osiris la cual genera el envío de los correos se verificó que desde el día de la eliminación del correo xxxxxxxxxxxxxxxxxxxxx solicitada por parte de la funcionaria de servicio al cliente xxxxx xxxxx xxxxxxxxx xxxxxxxxx el 31 de julio de 2018, el 1 de agosto de 2018 fue confirmado por el analista de sistemas xxxxxx xxxxx la información del titular.
Es así que con la anterior narración de los hechos de lo acaecido con la información del señor xxxxxxxxx xxxxx xxxx nos permitimos reiterar la misma normatividad que nos imputan en la que se establece en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.6 Revocatoria de la autorización y/o supresión del dato: “( )Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecerán la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentarla solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012:” Como claramente se evidencia, dentro de la normatividad se establece que El (sic) responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, es así como se presentó en este escrito así como durante la respuesta otorgada, que la Sociedad Tour Vacation Hoteles Azul S.A.S. cuenta y puso a disposición del titular los mecanismos gratuitos y de fácil acceso para presentar la solicitud, las cuales el señor xxxxxxxxx xxxxx (sic) desatendió en todas y cada una de sus solicitudes, y en el momento mismo que la Sociedad (sic) conoció el requerimiento del titular del dato procedió de manera inmediata con la actualización de la información, en menos de dos (2) días hábiles encontrándose dentro de los términos correspondientes para ello.
Consecuencia de lo anterior no es dable a la Dirección de Investigación de Protección de Datos Personales manifestar, considerar ni mucho menos iniciar una investigación administrativa y formulación de cargos sin “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 7, fundamentos de hecho ni de derecho, pues como se ha demostrado la Sociedad Tour Vacation Hoteles Azul S.A.S. ha propendido por salvaguardar la protección de los datos de sus clientes, proveedores, empleados en todos los aspectos; en especial cumpliendo y atendiendo de manera inmediata el requerimiento del señor xxxxxxxxxx xxxxxx xxxx.
Es así que no es cierto la manifestación contenida en la Hoja 4 de la Resolución 68410 de 2019 en la que indica la Dirección “(…) el titular radicó en las oficina (SIC) de la sociedad en mención; el día 10 de julio de 2018 una solicitud de retiro de datos personales de sus bases de datos: a pesar de esto, la sociedad TOUR VACATION HOTELES AZUL S.A.S., en reiteradas ocasiones, siguió enviando información al señor xxxxx xxxx, quien los días 2 de enero y 10 de junio de 2018, reitero (sic) la solicitud de eliminar sus datos personales de sus bases de datos, sin respuesta alguna” Como se logró evidenciar a lo largo de este escrito la Sociedad (sic) no conoció el requerimiento del señor xxxxxxxxx xxxxx xxxx sino hasta el 30 de julio de 2018, pues el señor xxxxx xxxx no radicó en nuestras oficinas ninguna solicitud, simplemente remitió solicitudes por e-mail, a correos que no están habilitados para recibir información de ningún tipo, pues son correos electrónicos que tienen el carácter de ser remisorios simplemente, por ello una vez la empresa recibió la solicitud del titular del dato por un canal autorizado, de manera inmediata efectuó la actualización de la información correspondiente y emitiendo respuesta de la eliminación del correo del señor xxxxxxxxx xxxxx xxxx el 1 de agosto de 2018, garantizando el derecho de habeas data al que tiene el titular.
Así mismo las fechas de 2 de enero y 10 de junio de 2018 son previas y no posteriores a la solicitud del 30 de julio de 2018, por lo anterior no puede afirmar la dirección que en esas fechas existió una reiteración de la solicitud de julio cuando cronológicamente son fechas anteriores a la solicitud. Si bien es cierto que el señor xxxxxxxxxx xxxxx xxxx presentó solicitudes previas a la recibida y radicada el 30 de julio de 2018; estas no fueron recibidas, ni conocidas por parte de la Sociedad (sic); puesto no era el correo correspondiente para tramitar, ni recibir solicitudes; así se le informó al titular en el cuerpo de los correos que recibió, así mismo los medios gratuitos a los que el titular podía acceder para la eliminación, supresión y actualización de datos fueron informados a través de diferentes medios; incluyendo los correos que recibía el titular, desatendiendo la información que se contenía en el cuerpo del correo, la política de tratamiento de datos, el contrato de la reserva e incluso los datos registrados en la plataforma de Registro Nacional de Bases de Datos ante la Superintendencia de Industria y Comercio.
Resultado del anterior análisis no puede imputar una responsabilidad a mi representada bajo un presupuesto que no tiene cabida; pues como se ha esgrimido fue la negligencia y desatención del señor xxxxxxxxxx xxxxx xxxx lo que no permitió que la Sociedad conociera de su inconformidad y atenderla de manera inmediata como dicta el procedimiento y protocolo de la Sociedad (sic) para la actualización, supresión y eliminación de los titulares de nuestras bases de datos.
Es así que de acuerdo con lo anterior el 21 de agosto de 2018 a través del Grupo de Trabajo de Habeas Data, nos fue requerido informáramos y acreditáramos si se había eliminado, actualizado o corregido la información del titular; frente a lo cual presentamos certificación técnica suscrita por xxxxxx xxxxxxxx xxxxxxxxxx xxxx Administradora de las bases de datos de la Sociedad Tour Vacation Hoteles Azul S.A.S. la cual se firmó el 6 de septiembre de 2018, fecha que corresponde a la fecha de la certificación más no corrobora, ni indica que corresponde a la fecha de la eliminación de la información del señor xxxxxxxxxxx xxxxxx xxxx, pues esta información había sido actualizada desde el 1 de agosto de 2018 por el señor Daniel Leiva analista de Sistemas confirmado a través del ticket No. xxxxx del portal de tecnología On Vacation de la Sociedad.
Una vez más yerra la Dirección de Investigaciones de Protección de Datos Personales al afirmar que “(…) la sociedad TOUR VACATION HOTELES AZUL S.A.S. allegó un documento “Certificación técnica" en la que se evidencia que la fecha de supresión de los datos personales corresponde al 06 de septiembre de 2018.” Afirmación que a todas luces es contraria a la realidad como se demostró previamente.
Sin que existiera tardanza en la garantía del derecho de habeas data, ni falta de garantía ante el primer requerimiento; pues como se estableció y aclaró a la Dirección, el titular xxxxxxxxx xxxxx xxxx solo puso en conocimiento su solicitud hasta el 30 de julio de 2018 y en menos de dos (2) días hábiles se tramitó, gestionó y respondió su requerimiento cumpliendo por parte de Tour Vacation Hoteles Azul S.A.S. sus deberes como responsables del tratamiento y garantizando los derechos del titular del dato.
Desvirtuando de esta forma que existió una conducta que generara una transgresión al deber de garantizar en todo tiempo, el pleno y efectivo ejercicio al derecho de habeas data, pues estas siempre se garantizaron, y la información siempre fue conocida por el titular quien de manera deliberada decidió ignorarla, remitiendo solicitudes a un correo que no está habilitado para el efecto y sin revisar ni siquiera los cuerpos de los correos electrónicos en los que claramente se le indicaba a donde podía hacer llegar sus comunicaciones de forma efectiva.” 3.4 Respecto del segundo cargo, realizó las siguientes precisiones: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 8, “2.2 CARGO SEGUNDO: La presunta infracción por parte de la investigada, en su condición de Responsable del Tratamiento, del deber de tramitar las consultas y reclamos, preceptuado en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem: Presenta como segundo cargo la dirección que el señor xxxxxxxxx xxxxx xxxx presentó solicitud el 21 de agosto de 2018 a través de correo electrónico a mi representada la eliminación de sus datos personales de las bases de datos, con el fin de no seguir recibiendo información comercial.
Es así como el 7 de septiembre de 2018 la sociedad confirmó que la información del señor xxxxxxxxxx xxxxx xxxx había sido eliminada de la base de datos de la sociedad. Así mismo se informó que la Sociedad (sic) había recibido solicitud de eliminación de la información de la base de datos y procedió a remitir copia del contenido del requerimiento que estaba fechado del 10 de julio de 2018; sin embargo como ya se manifestó y se probó en los descargos (sic) primero de esta comunicación, esta solicitud no fue puesta en conocimiento por parte del señor xxxxxxxxx xxxxx xxxx sino hasta el día 30 de julio de 2018 a través del correo servicioalcliente7@onvacation.com de la funcionada xxxxxx xxxxxxx, pues todos los correos enviados al correo sistemas@onvacationhoteles.com no eran recibidos y remitían una respuesta automática del sistema indicando que el correo al que lo remitía no estaba habilitado para dar respuesta.
Es así que nuevamente yerra la Dirección de Investigación de Protección de Datos Personales al manifestar en la hoja 6 de la Resolución 68410 que "si bien LA INVESTIGADA, recibió del señor XXXXXXXXXX XXXXX XXXX solicitud de supresión de sus datos personales el día 10 de julio de 2018, esta solo se dio trámite hasta el 01 de agosto de 2018.
Siendo así no le dio trámite a la reclamación en el término estipulado por la Ley 1581 de 2012, esto es máximo quince días (15) días hábiles contados a partir del día siguiente de su recibo." Partiendo del hecho cierto que aunque la reclamación indica es de fecha 10 de julio de 2018, no fue la fecha en la que se puso en conocimiento a la Sociedad Tour Vacation Hoteles Azul S.A.S., toda vez que como se ha reiterado a lo largo del presente escrito esta fue remitida y puesta en conocimiento hasta el 30 de julio de 2018.
Sin embargo dentro del análisis también queremos poner en evidencia la predeterminación del órgano sancionador; pues a pesar de haber sido el 10 de julio de 2018 la fecha de recibo de la solicitud del señor xxxxxxxxxx xxxxx xxxx y fuera resulta el día 1 de Agosto (sic) de 2018; la Sociedad (sic) se encontraba dentro de los (sic) términos (sic) de respuesta establecido en la Ley 1581 de 2012; pues como se determina en el artículo 15 de la plurimencionada norma se cuentan con quince (15) días hábiles contados a partir de! día siguiente a la fecha de su recibo para atender el reclamo es así que este término comenzó a correr el día 11 de julio de 2018 siendo este el primer día y cuyo vencimiento se efectuaría el 1 de agosto de 2018, fecha en la que consta la respuesta otorgada por la Sociedad, tomando en cuenta el calendario de Colombia para el año 2018 fue: Es así como se desacredita la afirmación errada de la Dirección y una formulación de cargos que no cuenta con material probatorio para su apertura, adicionando como último análisis que dentro del artículo 15 de la Ley 1581 de 2012 se establece cuáles son los requisitos o reglas que debe cumplir la solicitud que es dirigida al responsable del tratamiento o encargado del tratamiento.
Estos son: 1. 2. 3. 4. Identificación del titular. Descripción de los hechos que dan lugar al reclamo. La dirección Los documentos que se quieren hacer valer. Es así que ninguno de los requerimientos del señor xxxxxxxxxx xxxxx xxxx cumplió con los requisitos legales que se le exigen, adicionalmente que los estaba enviando a un correo que le notificaba, le informaba y señalaba que no estaba dispuesto para atender sus requerimientos y ahí mismo en los cuerpos de los correos electrónicos se le informaba al señor xxxxxxxxx xxxxx xxxx el correo al que debía dirigirse para generar la actualización que requería y que no fueron radicados ante la Sociedad Tour Vacation Hoteles Azul S.A.S., es así que las reclamaciones del 28 de octubre de 2017, 2 de enero de 2018 y 10 de julio de 2018 que fueron enviados al correo sistemas@onyacationhoteles.com no contenían la información necesaria.
“Por la cual se impone una sanción administrativa y se imparte una orden” 2.3 HOJA N 9, FALSA MOTIVACIÓN DEL ACTO ADMINISTRATIVO La falsa motivación como causal de ilegalidad de los actos administrativos está prevista en el artículo 137 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (el "CPACA”), y hace referencia a los motivos que dieron origen al acto administrativo expedido, que no son más que los hechos objetivos, previos y ajenos al acto.
Según la doctrina, la causal de falsa motivación puede configurarse de dos maneras: (i) por error de hecho o (ii) por error de derecho, ya que la misma consiste en que: “(…) los motivos invocados por el funcionado para tomar la decisión no han existido realmente sea desde el punto de vista material, sea desde el punto de vista jurídico. Se habla entonces de la inexistencia de los motivos invocados, de motivos erróneos, o de error de hecho o de derecho en los motivos.
( ) El error de derecho se presentará cuando el motivo invocado sí existió materialmente, pero ha sido mal apreciado por el funcionario.” En cuanto al contenido y alcance de la falsa motivación del acto administrativo como constitutivo de vicio de nulidad, el mismo Consejo de Estado señaló en sentencia del 8 de septiembre de 2005, Sala de lo Contencioso Administrativo, Sección Quinta, Consejero Ponente Darío Quiñones, exp 3644,: (sic) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 10, “De conformidad con lo dispuesto en el artículo 84 del Código Contencioso Administrativo, se entiende que la existencia real de los motivos [de hecho o de derecho] de un acto administrativo constituye uno de sus fundamentos de legalidad, al punto de que cuando se demuestra que los motivos que se expresan en el acto como fuente del mismo no son reales, o no existen, o están maquillados, se presenta un vicio que invalida el acto administrativo, llamado falsa motivación. Conforme a lo anterior, en relación con el caso bajo estudio, se considera que el Auto se configura el error de hecho, según se analiza a continuación. El Auto asevera de forma errada que Tour Vacation Hoteles Azul S.A.S. no garantizó todo el tiempo, el pleno y efectivo ejercicio del derecho de habeas data y que adicional incumplió el deber de tramitar las consultas y reclamos de los titulares del dato, manifestaciones que se alejan de la veracidad de lo acaecido con las reclamaciones y derechos del señor xxxxxxxxx xxxxx xxxx, toda vez que por el error en la radicación de la solicitud del titular del dato la sociedad solo conoció de su requerimiento hasta el 30 de julio de 2018 y en el término de menos de 2 días hábiles atendió el reclamo y garantizó los derechos del titular.
No existe un solo hecho en toda la Resolución 68410 de 2019 que haya sido correctamente interpretado por la dirección, razón por la cual con los presentes descargos nos permitimos aclarar e ilustrar a la administrativa. Teniendo en cuenta lo anterior la falsa motivación se deriva del hecho de la presunta vulneración de los derechos del señor xxxxxxxxx xxxxx xxxx y la presunta no respuesta a la reclamación presentada, por lo que lo hechos presuntamente evidenciados que generaron el concepto que dio lugar a la apertura de la investigación administrativa y formulación de cargos carecen de veracidad y pruebas objetivas que permitan acreditar la existencia de los presuntos hallazgos.
No puede generarse apertura de una investigación o iniciar un proceso administrativo con un hecho que no puede ser corroborado y bajo interpretaciones erradas como es haber recibido el requerimiento del titular en un correo en el que no es posible recibir las solicitudes y que se informó al accionante no procedía. Esa discordancia entre la realidad fáctica y lo reflejado en el acto administrativo, evidencia la falsa motivación de la Resolución No. 68410 de 2019 por el cual formula pliego de cargos y da inicio a la investigación administrativa dentro del expediente 19-233226, razón por la cual deberá exonerarse a la Compañía de toda responsabilidad al respecto.
2.4. DEL QUEBRANTAMIENTO AL DERECHO CONSTITUCIONAL AL DEBIDO PROCESO POR INDEBIDA TIPICIDAD Y AUSENCIA PROBATORIA El Auto conlleva además a un quebrantamiento del derecho fundamental de Tour Vacation Hoteles Azul S.A.S. al debido proceso. Al respecto, se destaca el siguiente apartado jurisprudencial de la Sentencia C-506 de 2002 (M.P. Marco Gerardo Monroy): “En efecto, reiterada jurisprudencia ha afirmado que si bien tanto la actividad sancionadora en lo administrativo como el proceso penal son expresiones de la facultad punitiva del Estado, y en ambas deben respetarse las garantías del debido proceso, unas y otra persiguen fines diferentes; en especial, esta diferente teleología se ha puesto de presente en relación con la potestad disciplinaria de la Administración como expresión de la facultad administrativa sancionadora; en este sentido se han vertido los siguientes conceptos: “El Constituyente colombiano hizo extensivo el derecho al debido proceso a toda clase de actuaciones judiciales y administrativas (CP 29).
Las garantías mínimas del debido proceso penal son aplicables, con algunas atenuaciones, a las actuaciones administrativas sancionatorias. En materia sancionatoria de la administración, la estimación de los hechos y la interpretación de las normas son expresión directa de la potestad punitiva del Estado, cuyo ejercicio legítimo debe sujetarse a los principios mínimos establecidos en garantía del interés público y de los ciudadanos, entre ellos, los principios de legalidad, imparcialidad y publicidad, la proscripción de la responsabilidad objetiva -nulla poena sine culpa-, la presunción de inocencia, las reglas de la carga de la prueba, el derecho de defensa, la libertad probatoria, el derecho a no declarar contra sí mismo, el derecho de contradicción, la prohibición del non bis in ídem y de la analogía in malam partem, entre otras.” La sentencia C-401 de 2010, la Corte Constitucional había precisado los límites de la potestad sancionadora administrativa asi: “La potestad sancionadora de las autoridades titulares de funciones administrativas, en cuanto manifestación del ius puniendi del Estado, está sometida a claros principios, que, en la mayoría de los casos, son “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 11, proclamados de manera explícita en los textos constitucionales, tales como los de: legalidad, tipicidad, prescripción, a los que se suman los de aplicación del sistema sancionador como los de culpabilidad o responsabilidad según el caso -régimen disciplinario o régimen de sanciones administrativas no disciplinarias-, de proporcionalidad y el de non bis in ídem.’’ (Negrilla fuera de texto) Y, en esa misma sentencia, al referirse al deber de realizar la tipificación de la infracción administrativa, la Corte precisó: “Ha puesto de presente la Corte que, de acuerdo con doctrina generalmente aceptada, la potestad sancionadora de las autoridades titulares de funciones administrativas, en cuanto manifestación del ius puniendi del Estado, está sometida a claros principios, que, en la mayoría de los casos, son proclamados de manera explícita en los textos constitucionales.
Así, ha dicho la Corte, esa actividad sancionadora se encuentra sujeta a '( ) los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios) ( )’, a los cuales se suman tos propios ‘( ) de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso -régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta), de proporcionalidad o el denominado non bis in ídem.
(Negrillas fuera de texto) De lo expuesto se desprende con claridad que, en el caso objeto de estudio, la autoridad se limitó a señalar las disposiciones supuestamente infringidas sin realizar el análisis de tipicidad que le es exigible por el ejercicio del ius puniendi en materia sancionatoria. De tal suerte que la ausencia de tipicidad objetiva obliga a la cesación de procedimiento o a la declaratoria de ausencia de responsabilidad, toda vez que los hechos bajo los cuales sustenta los cargos formulados distan claramente de la realidad fáctica del caso.
La Dirección de Investigaciones de Protección de Datos Personales no puede pretender imputar una responsabilidad por responder el requerimiento del titular en la fecha que lo conoció efectivamente. Pues por error del titular enviaba las solicitudes al correo que le informaban contenía solo información y no se atienden las reclamaciones, toda vez que en cumplimiento de la Ley 1581 de 2012 se establecen los medios gratuitos a través de los cuales podía hacer el requerimiento.
2.5. PREDETERMINACIÓN DEL ÓRGANO SANCIONADOR La Corte Constitucional a (sic) determinado (sic) condiciones que deben cumplirse para que el aparato sancionador de la administración pueda operar como son “la tipificación legal preexistente al acto que se imputa, ( ) la manifestación clara de la antijuricidad del hecho y de la imputabilidad de la conducta”(C690/1996).” (sic) Como se ha desarrollado a lo largo del presente memorial la culpabilidad se enmarca como una de las bases para fundamentar la actividad sancionadora, para el caso particular y para que nazca la responsabilidad administrativa que pretende generar la Dirección de Investigaciones de Protección de Datos Personales requiere la existencia de una infracción probada y que esta se haya realizado con dolo, o con culpa o imprudencia, lo cual no se encuentra acreditado en ninguno de los presuntos hallazgos, certificaciones, ni correos, manifestaciones o las evidencias presentadas por parte del órgano administrativo.
Toda vez que la apertura de la investigación administrativa se deriva del hecho que no es cierto que la Sociedad no haya atendido la solicitud de la eliminación o haya garantizado los derechos del titular del dato. ‘la Corte ha manifestado en reiteradas ocasiones, en relación con el ejercicio del ius puniendi del Estado, la demanda de la culpabilidad como elemento necesario que debe concurrir para la imposición de una sanción. La exigencia que la conducta sea culposa como presupuesto para la imposición de una sanción se debe a consideraciones de dignidad humana y de culpabilidad, contempladas en la Carta Magna (arts. 1o y 29) así: "Está proscrita toda forma de responsabilidad objetiva en materia sancionadora" (C- 597/1996).
Ello, sumado a la tradición que existe, desde la época de la Corte Suprema de Justicia, 1982, de extender los principios del derecho penal al campo administrativo, hace que la concurrencia de culpa se erija como una condición sin la que no es posible predicar responsabilidad, pues toda idea de un proceso sancionador sin culpa resulta "desproporcionado y violatorio de los principios de equidad y justicia tributarios la consagración de una responsabilidad sin culpa en este campo" (C- 616/2002).
La Corte insiste más en la demanda de la culpa como elemento necesario para la imposición de una sanción cuando sostiene que este requisito debe aplicarse ineludiblemente, máxime si de lo que se trata es de una decisión que atenta contra los intereses de los administrados7 (sic). “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 12, La exigencia de la culpabilidad para imponerla sanción administrativa tiene una relación muy estrecha con otro precepto constitucional como lo es la presunción de inocencia. Postulado, este último, que tiene lugar en el ejercicio de la actividad sancionadora de la Administración. Así lo ha sostenido la Corte al manifestar: "La previsión constitucional de que todo acusado tiene derecho a que lo presuma inocente, mientras no se compruebe que es culpable, conforme a las leyes preexistentes al acto que se le imputa" (T-1160/2004).” 3.5 Efectúa una exposición de consideraciones finales, así: “Al haber sido desvirtuadas por medio de los presentes descargos las hipótesis tácticas conforme a las cuales la Superintendencia de Industria y Comercio pretendió sustentar la imputación de cargos a TOUR VACATION, resulta claro que la Compañía no incurrió en la infracción de su deber de garantizar en todo tiempo, el pleno y efectivo ejercicio del derecho de Habeas Data, así como tampoco incumplió su deber de tramitar las consultas y reclamos del titular del dato.
En contra posición a la inexistente prueba de responsabilidad de mi representada sobre su supuesto incumplimiento en los cargos imputados, aportamos las pruebas documentales que solicitamos sean valoradas y con las cuales si se acredita y sin lugar a duda, la debida diligencia adelantada por mi representada consistente en acreditar el cumplimiento del Régimen General de Protección de Datos Personales y no sobre la interpretación errada que la Superintendencia de Industria y Comercio genera en la Resolución 68410 de 2019 con la base infundada de la solicitud del 10 de julio de 2018 pues incluso de encontrarse en ese término la sociedad se encontraba dentro de los términos para la respuesta oportuna la cual generó realmente en el término de dos (2) días hábiles.
Reiteramos a este despacho que como bien contempla la ley 1581 de 2012 y el decreto 1377 de 2013, las actualizaciones de los datos personales de los titulares están sometidos a un procedimiento que se fija en la política de privacidad o de tratamiento de la información (Alt 18 decreto 1377 de 2013), y como todo proceso atiende a unos pasos lógicos, y a unos requisitos mínimos como remitir la solicitud de actualización o supresión del dato al correo electrónico o físico fijado para ese propósito, pues de lo contrario en Colombia las empresas que son responsables o encargadas del tratamiento de los datos personales, se verían obligadas a un ejercicio imposible y es que en cada cuenta de correo electrónico que tenga su dominio, deba usarse, revisarse, y tener personal calificado para verificar que cada correo electrónico que llega, no sea una solicitud de actualización de datos personales, en otras palabras y para el caso concreto que no ocupa, es imposible recibir la respuesta que se espera cuando se envía la comunicación a la dirección electrónica equivocada, pues cuando el señor xxxxx xxxx envío (sic) su solicitud al correo que si estaba fijado para el efecto, dentro de los dos (2) días hábiles siguientes fue actualizada su información. Visto lo anterior, y con sustento en las consideraciones aquí presentadas, se concluye que TOUR VACATION no podría ser o llegar a ser, ni jurídicamente ni materialmente, responsable por conductas presuntamente trasgresoras del Régimen de Protección de Datos Personales ni cualquier otra que estuviere establecidas en la Resolución 68410 de 2019.” 3.6 Finaliza su escrito con la siguiente petición: “Teniendo la absoluta claridad y los soportes legales y probatorios, se solicita que la autoridad proceda a declarar que TOUR VACATION HOTELES AZUL S.A.S. queda exonerado de toda responsabilidad frente a la presunta inobservancia del Régimen de Protección de Datos Personales y, en consecuencia, ordene el archivo del expediente.”
CUARTO: Que mediante Resolución 55646 del 14 de septiembre de 2020 esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-233226, con el valor legal que les corresponda, declarando agotada la etapa probatoria. En el mismo acto administrativo, se corrió traslado a la sociedad TOUR VACATION HOTELES AZUL S.A.S. por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.
QUINTO: Que la Resolución 55646 del 14 de septiembre de 2020 fue comunicada a la sociedad investigada el 15 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-233226- -17 del 25 de septiembre de 2020.
SEXTO: Que, dentro del término concedido para el efecto la sociedad TOUR VACATION HOTELES AZUL S.A.S., a través de su representante legal para asuntos judiciales y administrativos, presentó alegatos de conclusión, bajo el radicado número 19-233226-18-0 del 25 “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 13, de septiembre de 2020, a través de los cuales, reiteró lo expresado en su escrito de descargos y, adicionalmente, manifestó lo siguiente: En relación al primer cargo formulado por esta Dirección, mediante la Resolución 68410 del 29 de noviembre de 2019: “(…) Es así que para el caso del señor xxxxx xxxx, el hecho frente al que se inició la imputación de cargos ya había sido resuelta y así lo dispuso la propia Dirección decretando el archivo del expediente, y que de manera extraña para esta sociedad a pesar de este hecho decidió la dirección formular cargos cuando ya había resuelto que no existía mérito para adelantar actuación administrativa de carácter sancionatorio.” Frente al segundo cargo formulado: “(…) A pesar que al momento de la solicitud el señor xxxxx xxxx conoció los canales que a la fecha de su solicitud se encontraban disponibles, decidió deliberadamente omitir su deber de información y en lugar de atender y propender a generar las solicitudes a través de alguno de los canales para contacto con la sociedad para ejercer sus derechos, presentó su denuncia ante esta Dirección de Investigación, prescindiendo la particularidad de informar a la Superintendencia de Industria y Comercio que era él quien no ejerció su derecho de Habeas Data en debida forma y como lo establece la Ley 1581 de 2012.
Puesto que enviaba solicitudes a un correo que no se encuentra destinado para ejercer estos derechos. Por esta razón cabría preguntarnos: ¿si a pesar que el legislador prevé que debe existir un medio para ejercer los derechos, y estos son informados a los titulares, es culpa del responsable del tratamiento que los titulares de la información no ejerzan sus derechos como dicta la norma y a través de los canales dispuestos para ese fin? Se debe entender por parte de la Dirección que no es posible para ninguna empresa generar atención y revisar todos y cada uno de los correos de los miembros de la compañía para validar si existen solicitudes de ejercicio de derechos de Habeas Data de titulares de los datos, pues para ello se ha dispuesto un canal directo de comunicación con este propósito y no se puede exigir por parte de la Superintendencia de Industria y Comercio una omnipresencia que no ha sido exigida por el legislador, quien tuvo en cuenta la importancia de poder determinar efectivamente la forma y el modo de ejercer los derechos a los titulares de los datos, forma y modo que el caso del señor xxxxx xxxx no contempló y no ejerció en debida forma.
Tan cierto es que el legislador previendo la dificultad de conocer de todas las solicitudes que pueden presentar los ciudadanos para ejercer su derecho de habeas data, que en el numeral 1 del Art. 13 del Decreto 1377 de 2013 fijó lo siguiente: Artículo 13. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.
Es así que el legislador determinó que los responsables del tratamiento de datos personales deben fijar esos canales de contacto, y a través de ellos entonces garantizar el ejercicio de los derechos de los titulares del dato, de lo contrario y si quedara al arbitrio de cada titular, entonces se podrían enviar solicitudes a cualquier correo sin control, sin seguimiento, y sin ser el canal fijado para ello.
Cómo ejemplos de esto, podemos observar la actividad propia de una empresa e incluso de una entidad pública, la cuales para el control y seguimiento efectivo de su interacción con el público determinan canales de contacto autorizados para cada actividad, por ello mismo cada entidad cuenta con un correo para notificaciones judiciales, correos para recibir solicitudes de actualización de datos, correos para el recibo de facturación, y correos en los que no se reciben mensajes porque sólo sirven para la emisión de información a terceros como ocurrió en el caso que nos ocupa.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 14, En virtud de la legislación colombiana, tenemos que tanto el responsable y encargado del dato tienen una serie de obligaciones para garantizar los derechos de los titulares, pero así mismo los titulares tienen unas obligaciones, que en este caso puntual consistía en remitir simplemente la solicitud al canal de contacto fijado en la política de tratamiento de datos personales que la compañía tiene dispuesta en su página web para que fueran suprimidos o actualizados sus datos, pues lo que es claro y probado es que la empresa tan pronto tuvo conocimiento procedió de conformidad, demostrando que si el titular hubiese respetado los canales de contacto que la misma ley 1581 de 2012 y el Decreto 1377 de 2013 obligan publicar, no nos encontraríamos en desarrollo de este proceso.
Para concluir y como quedó probado en el expediente a lo largo de los memoriales radicados, las certificaciones, correos e informes que lo acreditan se ha generado por parte de Tour Vacation Hoteles Azul S.A.S. total cumplimiento de la normatividad, garantizando los derechos de los titulares y cumpliendo la totalidad de los deberes que se desprenden como responsable y encargados del tratamiento.
Por estas razones, el ente administrativo debe reconocer la existencia de todas y cada una de las medidas adoptadas y probadas por parte de la Sociedad Tour Vacation Hoteles Azul S.A.S. orientadas al cumplimiento de la normatividad.”
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.
OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el literal en: El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, y;
El literal j del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.
Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N 15, “Por la cual se impone una sanción administrativa y se imparte una orden” 8.2 Valoración probatoria y conclusiones 8.2.1 Del deber de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data El precepto consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
A su turno, el literal e) del artículo 8 del cuerpo normativo en cita, señala lo siguiente: "Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: ( ) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)”. En relación a los artículos en cita, la Corte Constitucional, mediante sentencia C-748 de 2011, realizó las siguientes precisiones: “En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular, en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares.” “Examen del ordinal e) Esta disposición establece en Colombia el llamado derecho a la oposición. La norma señala que el Titular del dato podrá revocar la autorización y/o solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales y (ii) siempre y cuando la o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución. (…) Entonces, el interesado o individuo titular del dato, bajo el estándar Europeo, tiene derecho a oponerse a su utilización: (i) por razones personales, si no existe ninguna obligación legal que le imponga la permanencia del dato, (ii) en cualquier momento cuando el dato ha sido tratado sin su consentimiento;
(iii) el tratamiento es utilizado para fines distintos a los establecidos inicialmente y, (iv) cuando es tratado con fines de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.” (Subraya fuera del texto original) Posteriormente, en el ejercicio de la potestad reglamentaria constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló, que: “ARTÍCULO 2.2.2.25.2.6.
Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
HOJA N 16, “Por la cual se impone una sanción administrativa y se imparte una orden” Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales.
Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” Ahora bien, previo al análisis del presente cargo, esta Dirección encuentra necesario realizar algunas aclaraciones en cuanto a la afirmación de la sociedad investigada, al señalar, que: “(…) Es así que para el caso del señor xxxxx xxxx, el hecho frente al que se inició la imputación de cargos ya había sido resuelta y así lo dispuso la propia Dirección decretando el archivo del expediente, y que de manera extraña para esta sociedad a pesar de este hecho decidió la dirección formular cargos cuando ya había resuelto que no existía mérito para adelantar actuación administrativa de carácter sancionatorio.”, precisando lo siguiente: 1.
Esta Dirección está integrada por dos grupos de trabajo a saber, el Grupo de Trabajo de Habeas Data y el Grupo de Trabajo de Investigaciones Administrativas, cuyas funciones se enlistan a continuación: Esta Superintendencia, mediante Resolución 54004 del 17 de septiembre de 2012, creó y organizó el Grupo de Trabajo de Habeas Data adscrito a la Dirección de Investigación de Protección de Datos Personales, asignándole, entre otras, las siguientes funciones: “(…) 2.
Elaborar los actos administrativos que sean necesarios para el cabal cumplimiento del trámite de las quejas o reclamos que se adelanten en procura del amparo del derecho fundamental de hábeas data, de conformidad con las normas y procedimientos establecidos. (…).” El mismo 17 de septiembre de 2018, a través de la Resolución 54005, esta Superintendencia creó y organizó el Grupo de Trabajo de Investigaciones Administrativas y le asignó, entre otras, las siguientes funciones: “(…) 3.
Elaborar los actos administrativos que sean necesarios para tramitar y decidir las investigaciones que se adelanten de oficio o a petición de parte, por violación a las normas de Protección de Datos Personales. (…).” A su turno, el capítulo III de la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo contiene la regulación del procedimiento administrativo sancionatorio general.
De acuerdo con el artículo 47 de este cuerpo normativo, el procedimiento administrativo está precedido de una fase previa de averiguaciones preliminares “Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo.” Después de esta etapa (i) se profiere acto administrativo de formulación de cargos;
(ii) los investigados presentan sus descargos; (iii) se adelanta el periodo probatorio; y (iv) se profiere la decisión administrativa. Estas etapas se encuentran reguladas en los artículos 48 al 52 del CPACA. Las disposiciones sobre el proceso administrativo sancionatorio contenidas en el CPACA constituyen el marco general de actuación para las entidades.
Sin embargo, es posible que, por vía reglamentaria, las autoridades administrativas establezcan protocolos internos para adelantar cada una de las fases. En este sentido, el procedimiento aplicable para adelantar los trámites administrativos de esta Superintendencia se encuentra consignado en el “Procedimiento de Investigaciones sobre posibles violaciones a las normas sobre protección de datos personales.” De acuerdo con este protocolo, el Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Habeas Data desempeñan funciones distintas, las cuales son ejercidas de conformidad con las funciones atribuidas al Director de Investigación de Protección de Datos Personales.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 17, En atención al procedimiento descrito, el Grupo de Trabajo de Habeas Data, a través de la Resolución 14918 del 20 de mayo de 2019 efectuó el traslado del expediente 18-193872, en los siguientes términos: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente.
Posteriormente, en virtud del traslado efectuado por el Grupo de Trabajo de Habeas Data y de conformidad con los resultados del análisis del expediente en cita, la Dirección de Investigación de Protección de Datos Personales decidió, mediante Resolución 68410 del 29 de noviembre de 20196, abrir investigación y formular pliego de cargos contra la sociedad TOUR VACATION HOTELES AZUL S.A.S., identificada con Nit. 900.304.940-9, por la presunta contravención de lo dispuesto en: i) ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, y;
El literal j del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem. Expuesto lo anterior, no es dable afirmar que, en momento alguno, esta Dirección haya resuelto que no existía mérito para adelantar actuación administrativa de carácter sancionatorio y, luego haya procedido a abrir la presente actuación administrativa y formular cargos a la sociedad investigada, lo cual sería una contradicción en sí mismo y dista por completo de los trámites que ha adelantado esta Dirección. Como resultado del cabal cumplimiento del procedimiento en cita, se tiene que, contrario a las manifestaciones realizadas por la sociedad investigada en el escrito de descargos, en referencia a: (i) La falsa motivación del acto administrativo, la cual fundamente en que, “No existe un solo hecho en toda la Resolución 68410 de 2019 que haya sido correctamente interpretado por la dirección”.
(ii) El quebrantamiento al debido proceso, ya que a su criterio “De lo expuesto se desprende con claridad que, en el caso objeto de estudio, la autoridad se limitó a señalar las disposiciones supuestamente infringidas sin realizar el análisis de tipicidad que le es exigible por el ejercicio del ius puniendi en materia sancionatoria. De tal suerte que la ausencia de tipicidad objetiva obliga a la cesación de procedimiento o a la declaratoria de ausencia de responsabilidad, toda vez que los hechos bajo los cuales sustenta los cargos formulados distan claramente de la realidad fáctica del caso.” (iii) La predeterminación del órgano sancionador, la cual sustenta en que, “Como se ha desarrollado a lo largo del presente memorial la culpabilidad se enmarca como una de las bases para fundamentar la actividad sancionadora, para el caso particular y para que nazca la responsabilidad administrativa que pretende generar la Dirección de Investigaciones de Protección de Datos Personales requiere la existencia de una infracción probada y que esta se haya realizado con dolo, o con culpa o imprudencia, lo cual no se encuentra acreditado en ninguno de los presuntos hallazgos, certificaciones, ni correos, manifestaciones o las evidencias presentadas por parte del órgano administrativo.
Toda vez que la apertura de la investigación administrativa se deriva del hecho que no es cierto que la Sociedad no haya atendido la solicitud de la eliminación o haya garantizado los derechos del titular del dato.” Esta Superintendencia ha ceñido su actuación a los principios y normas que rigen el proceso administrativo sancionatorio, lo que se traduce en una investigación transparente, garante del ejercicio del derecho de defensa y contradicción, así como de los pilares constitucionales que cimientan las actividades del aparato estatal; razón por la que, además de no ser está la instancia para debatir estos aspectos; el conocimiento de los mismos se enmarca dentro de las atribuciones que son del resorte exclusivo de los jueces.
Realizadas las anteriores acotaciones y retomando el análisis de la garantía del ejercicio del derecho fundamental de habeas data, ciertamente, uno de los pilares fundamentales de la regulación en materia de protección de datos personales es la exigencia de contar con la autorización previa, expresa e informada del Titular, esto es, la expresión de la voluntad inequívoca Actuación radicada el 05 de diciembre de 2019, bajo el número 19-233226-1-0.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 18, otorgada por el mismo para que sus datos personales sean recolectados, ingresen a la base de datos del caso y se utilicen para los fines que fueron autorizados. Sin embargo, dicho consentimiento que en algún momento fue brindado por el Titular, no es inamovible, pues este puede ser revocado por el Titular.
Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de habeas data permite a los Titulares solicitar la exclusión de información que haya sido recogida en bases de datos, pues el Titular podrá revocar la autorización y solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constitucionales y legales, no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos y sea su voluntad no permanecer en ella.
Precisado lo anterior, y retomando el caso objeto de estudio, observa esta Dirección que la presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXXXXX XXXXXXX XXXXX XXXX ante esta Superintendencia, en la cual señaló, entre otras cosas, que, en el año 2017 realizó la compra de un paquete turístico a San Andrés con la sociedad TOUR VACATION HOTELES AZUL S.A.S., servicio que asegura disfrutó sin ningún inconveniente.
No obstante, indica que, posteriormente, empezó a recibir por parte de dicha sociedad de forma repetitiva comunicaciones a su correo electrónico y llamadas a su teléfono celular respecto a reservas realizadas por otras personas y frente a las cuales no tiene vínculo alguno. Junto con el escrito de denuncia, allega imágenes de los mensajes que recibió desde el correo sistemas@onvacationshoteles.com los días 27 de octubre de 2017, 31 de octubre de 2017, 13 de diciembre de 2017, 2 de enero de 2018, 13 de enero de 2018, 19 de enero de 2018, 20 de junio de 2018 y 10 de julio de 2018, 19 de julio de 2018, a través de los cuales le remitieron información de una serie de reservas, frente a las cuales afirma no tener ningún tipo de relación; razón por la cual, manifiesta le solicitó a la sociedad investigada, en reiteradas oportunidades, la eliminación de su información de las bases de datos de la compañía. Según las imágenes aportadas por el denunciante, las primeras solicitudes de eliminación de sus datos las remitió desde su correo personal XXXXXXXXXXXXXXXX a la dirección del correo electrónico corporativo sistemas@onvacationshoteles.com y, posteriormente, a servicioalcliente7@onvacation.com, sin que se visualice con claridad la fecha de remisión de cada uno de estos.
Ahora bien, con el propósito de reunir elementos de juicio suficientes, la Coordinación del Grupo de Trabajo de Habeas Data de esta Dirección requirió a la sociedad investigada el día 21 de agosto de 2018, mediante actuación radicada bajo el número 18-193872- -00003-000, para que explicara, entre otros, los siguientes puntos: “Con base en lo dispuesto en el artículo 21 de la Ley 1581 de 2012 y para los efectos previstos en el literal b) de la misma disposición, adjuntamos copia de la solicitud de actualización y/o eliminación de la información personal, presentada por el señor XXXXXXXXX XXXXX XXXX, que ya había sido previamente presentada ante ustedes, de acuerdo con lo dispuesto en la norma antes citada y con el fin de que se pronuncie sobre los hechos materia de la denuncia y aporte las pruebas que pretenda hacer valer para el trámite de la presente actuación administrativa.
A dicha respuesta deberá adjuntar la siguiente información: (…) 4. Informar si el Titular ha presentado una reclamación ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular.” La respuesta al requerimiento en cita fue radicada ante esta Superintendencia el 07 de septiembre de 2018, bajo radicado número 18-193872- -00004-0000, allí, la sociedad investigada afirmó: “4.
Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. HOJA N 19, “Por la cual se impone una sanción administrativa y se imparte una orden” El señor XXXXX radicó ante las oficinas de la Sociedad (sic) Tour Vacation Hoteles Azul S.A.S. solicitud de eliminación de la información de la base de datos de la compañía, y se confirmó respuesta a la dirección de correo electrónico del solicitante de la eliminación de los datos de acuerdo a la solicitud.
Se anexa a este memorial requerimiento presentada (sic) por el titular y la respuesta generada. “6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular. Nos permitimos remitir certificación de confirmación de la eliminación de la base de datos.” Para una mayor ilustración, se presentan a continuación las imágenes de los documentos a los que hace referencia la sociedad investigada en la respuesta en cita: (i) Solicitud presentada por el señor XXXXX XXXX el 10 de julio de 2018, sin constancia de envío o radicación. (ii) Respuesta otorgada por la sociedad investigada el día 01 de agosto de 2018.
Del contenido de esta respuesta, conviene realizar la transcripción del siguiente aparte: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 20, “En atención a su comunicado en días pasados notificado como inconformidad el envío de información de varias reservas, obrando dentro del término previsto para entregar respuesta de fondo conforme a lo dispuesto por la Ley 1480 de 2011, artículo 58, procedemos a lo anunciado de la siguiente manera: De acuerdo a su inconformidad del uso de sus datos de correo electrónico para envío de información de varias reservas, me permito confirmar que a la fecha sus datos del correo electrónico ya fueron eliminados de nuestras bases de datos, toda vez que se tiene en cuenta su requerimiento, no obstante y siendo consecuentes con los malos entendidos presentados, nos permitimos notificarle que a partir de la fecha a (sic) su correo electrónico no volverá a recibir información alguna sobre los planes con nuestra compañía: Finalmente cabe, aclarar que sobre la información de las reservas remitidas a su correo no tiene vínculo alguno.” En este documento del 06 de septiembre de 2018, la administradora de bases de datos de la sociedad investigada, “se permite emitir certificación técnica con el finde corroborar la eliminación de la información en la base de datos de la Sociedad (sic) Tour Vacation Hoteles Azul S.A.S. al señor xxxxxxxxx xxxxxx xxxxx xxxx.” Por lo anterior, esta Dirección, mediante Resolución 14918 del 20 de mayo de 2019, consideró: “Ahora bien, superada la anterior discusión, se observa que en el presente caso el reclamante manifiesta que recibió mensajes a su correo electrónico xxxxxxxxxxxxxxxxxxxx los días 27 de octubre de 2017 (fl.2), 31 de octubre de 2017 (fl.4), 13 de diciembre de 2017, 2 de enero de 2018 (fl. anverso 2), 13 de enero de 2018 (fl.3), 19 de enero de 2018 (fl. 3), 10 de julio de 2018 (fl. anverso 3), 19 de julio de 2018 (fl. 4), 31 de agosto de 2017 (fl. 5), y las llamadas telefónicas relacionadas con servicios que no había solicitado por parte de la sociedad Tour Vacation Hoteles Azul S.A.S., razón por la cual solicitó la protección de su derecho de Habeas Data, procediendo con la eliminación de sus datos personales de las bases de datos de dicha sociedad.
Al respecto, la sociedad investigada señaló a folio 10 de su respuesta del 7 de septiembre de 2018 que: “El señor xxxxxx radicó ante las oficinas de la Sociedad Tour Vacation Hoteles Azul S.AS. solicitud de eliminación de la información de la base de datos de la compañía, y se confirmó respuesta a la dirección de correo electrónico del solicitante de la eliminación de los datos de acuerdo a la solicitud (…).
Adicionalmente, ante la solicitud de “acreditar prueba mediante la cual se demuestre que se eliminó, actualizó o corrigió la información del Titular (fl. anverso 8), la sociedad Tour Vacation Hoteles Azul S.A.S allegó a folio 87 una Certificación Técnica de fecha del 6 de septiembre de 2018 firmada por la Administradora de Bases de Datos de dicha sociedad, mediante la cual señaló lo siguiente: La suscrita Administradora de Bases de Datos de la sociedad TOUR VACATION HOTELES AZUL SAS identificada con Nit. 900.304.940-9 se permite emitir certificación técnica con el fin de corroborar la eliminación de la información en las bases de datos de la Sociedad Tour Vacation Hoteles Azul S.A.S. al señor xxxxxxxxxx xxxxxxxx xxxxx xxxx (…).
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 21, Por lo mencionado anteriormente, este Despacho encuentra que la sociedad Tour Vacation Hoteles Azul S.A.S aportó un certificado como prueba de la eliminación o supresión de los datos personales del señor XXXXX XXXX, razón por la cual se entenderá cierto bajo el principio de la buena fe consagrado en la Constitución Política colombiana que establece: “Artículo 83.
Las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante éstas.” Así las cosas, conforme a lo informado por la sociedad Tour Vacation Hoteles Azul S.A.S y el análisis realizado a lo largo de la actuación administrativa, este Despacho no emitirá una orden en el presente acto administrativo que conlleve a la eliminación de los datos personales del reclamante, ya que de acuerdo a los argumentos planteados se considera que en el presente caso existe un hecho superado al evidenciar que el Encargado del tratamiento de la información afirma que procedió a suprimir los datos personales del señor xxxxxxxxxx xxxxxxx xxxxx xxxx, lo cual lo acredita sirviéndose allegar la certificación correspondiente en la cual se acredita la eliminación de los datos del titular.
Por último, respecto a la presunta vulneración al principio de seguridad de la información por parte de la sociedad Tour Vacation Hoteles Azul S.A.S, se ordenará remitir copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2012 por parte de la sociedad Tour Vacation Hoteles Azul S.A.S. En virtud del traslado efectuado por el Grupo de Trabajo de Habeas Data, a través de la Resolución 14918 del 20 de mayo de 2019, esta Dirección, mediante Resolución 68410 del 29 de noviembre de 2019 decidió abrir investigación formal y formular cargos a la sociedad TOUR VACATION HOTELES AZUL S.A.S., por el presunto incumplimiento del siguiente deber: “En el caso analizado, el Titular xxxxxxxxxx xxxxxxx xxxxx xxxx, manifiesta haber solicitado, a través de correo electrónico a la sociedad TOUR VACATION HOTELES AZUL S.A.S que eliminara sus datos personales de sus bases de datos con el fin de que (sic) no seguir recibiendo prospección comercial; de igual forma el titular radico (sic) en las (sic) oficina de la sociedad, en mención, el día 10 de julio de 2018 una solicitud de retiro de datos personales de sus bases de datos; empero a esto, la sociedad TOUR VACATION HOTELES AZUL S.A.S en reiteradas ocasiones, siguió enviando información al señor XXXXX XXXX y este el día 2 de enero y 10 de junio de 2018, reitero (sic) nuevamente la solicitud de eliminar sus datos personales de sus bases de datos, sin respuesta alguna.
Atendiendo a lo manifestado por el Titular, este Despacho a través del Grupo de Trabajo de Habeas Data y con el fin de recolectar elementos de juicio suficientes, solicitó mediante oficio radicado con el número 18-193872-4 del 21 de agosto del 2018 a LA INVESTIGADA, que informara y acreditara, entre otras cosas, si se había eliminado, actualizado o corregido la información del Titular; frente a lo cual, a través de comunicación presentada el 07 de septiembre de 2018, la sociedad TOUR VACATION HOTELES AZUL S.A.S allegó un documento “Certificación Técnica” en la que se evidencia que la fecha de supresión de los datos personales corresponde al 06 de septiembre de 2018.
Esta conducta, encuadra típicamente en una presunta transgresión al deber de garantizar en todo tiempo, el pleno y efectivo ejercicio de habeas data, en las condiciones previstas en la ley, de conformidad con las normas anteriormente citadas.” A su turno, la sociedad investigada mediante escrito de descargos 7, reiteró los argumentos transcritos en líneas precedentes y adicionalmente, afirmó que, “Sin embargo, dentro de las pruebas que reposan dentro del expediente con las que la Dirección de Investigaciones inició el proceso administrativo sancionatorio, se evidencia en todas y cada una de las solicitudes del señor xxxxx xxxx, no las envió al correo electrónico informado en la política de privacidad y confidencialidad de datos personales que corresponde al correo atencionaicliente@onvacationhoteles.com, para proceder con la actualización de la información, pues de esa forma si el titular del dato el señor xxxxx xxxx, hubiese adelantado el correspondiente proceso para actualizar la información la empresa precedía inmediatamente, pero en lugar de ello el señor xxxxx xxxx de forma caprichosa remitió sus solicitudes al correo sistemas@onvacationhoteles.com.” 7 Actuación radicada el 30 de diciembre de 2019, bajo el número 19-233226-8-0.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 22, (…) Adicional a esto con cada envío del correo del señor xxxxxxxxxx xxxxx xxxx, se tiene una respuesta automática en el correo sistemas@onvacationhoteles.com en la que se informa: Adicionalmente, afirma la sociedad investigada que, “Así mismo dentro de la página web de Tour Vacation Hoteles Azul S.A.S. al momento del requerimiento y en la actualidad de acuerdo a los deberes de nuestra Sociedad (sic) se encuentra publicada nuestra política de privacidad y confidencialidad la cual fue aportada de igual forma en los folios 48 al 50 del radicado No. 18-193872—00004-000 en la que se informa: "( )ÁREA ENCARGADA DE PETICIONES, CONSULTAS Y RECLAMOS DE DATOS PERSONALES El área encargada de atender las peticiones, consultas y reclamos de los titulares para ejercer sus derechos a conocer, actualizar, rectificar y suprimir sus datos y revocar su autorización es el Área de Servicio al Cliente.
MEDIOS PARA EJERCER LOS DERECHOS DE ACCESO, RETIRO Y RECTIFICACIÓN DE LOS DATOS PERSONALES El cliente y/o usuario tiene el derecho en cualquier momento de revocar la presente autorización y/o solicitar la supresión, actualización, rectificación y conocer de sus datos autorizados para el Tratamiento, comunicándose a las líneas (sic) telefónicas (1) 3848560 opción 5 o la línea nacional 018000 121049 opción servicio al cliente, o al correo electrónico atencionalcliente@onvacationhoteles.com, también puede enviar una carta en físico a la dirección CARRERA 46 No. 94 - 73 en Bogotá Dirigida (sic) al departamento de SERVICIO AL CLIENTE Tour Vacation Hoteles Azul S.A.S. responderá a la solicitud en el plazo estipulado por la Ley 1581 de 2012.
Cuando no fuere posible atenderla consulta dentro de dicho término, se notificará oportunamente, expresando los motivos de la demora y señalando la fecha en que será atendida. Se debe tener en cuenta que la solicitud de retiro o supresión no procederá cuando exista el deber contractual o legal de mantenerlo en nuestra base de datos. Como ocurre, con la cartera pendiente de recaudo (sic)” La información anteriormente descrita se encontraba a disposición del titular desde el inicio de la relación comercial entre las partes, publicada en la página web y registrada de acuerdo a la Ley 1581 de 2012 en la plataforma de Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio de conformidad al radicado No. 16- 345102-000000-000, demostrando que la Sociedad (sic) a través de todos los medios ha informado cual (sic) es el procedimiento para el cumplimiento de la actualización de la información de los titulares.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 23, (…) Si bien es cierto que el señor xxxxxxxxx xxxxx xxxx presentó solicitudes previas a la recibida y radicada el 30 de julio de 2018; estas no fueron recibidas, ni conocidas por parte de la Sociedad (sic); puesto no era el correo correspondiente para tramitar, ni recibir solicitudes; así se le informó al titular en el cuerpo de los correos que recibió, así mismo los medios gratuitos a los que el titular podía acceder para la eliminación, supresión y actualización de datos fueron informados a través de diferentes medios; incluyendo los correos que recibía el titular, desatendiendo la información que se contenía en el cuerpo del correo, la política de tratamiento de datos, el contrato de la reserva e incluso los datos registrados en la plataforma de Registro Nacional de Bases de Datos ante la Superintendencia de Industria y Comercio.
Resultado del anterior análisis no puede imputar una responsabilidad a mi representada bajo un presupuesto que no tiene cabida; pues como se ha esgrimido fue la negligencia y desatención del señor xxxxxxxxxx xxxxx xxxx lo que no permitió que la Sociedad conociera de su inconformidad y atenderla de manera inmediata como dicta el procedimiento y protocolo de la Sociedad (sic) para la actualización, supresión y eliminación de los titulares de nuestras bases de datos.
A continuación, se presentan las piezas probatorias aportadas al interior y junto con el escrito de descargos8, que soportan los argumentos expuestos por la sociedad investigada: 8 Actuación radicada el 30 de diciembre de 2019, bajo el número 19-233226-8-0. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 24, Como se puede observar, el contenido de las imágenes permite corroborar los argumentos expuestos por la sociedad investigada, al señalar que, el señor XXXXX XXXX remitió las solicitudes a la dirección de correo electrónico corporativo sistemas@onvacationhoteles.com, el cual no estaba habilitado para la recepción y trámite de las mismas.
Así mismo, acreditan que, desde el inicio mismo de la relación contractual, a través del clausulado del contrato de servicios turísticos y del acápite de la política de tratamiento de datos de la sociedad investigada, el canal dispuesto para la remisión de solicitudes referentes a la supresión de datos personales es el correo electrónico atencionalcliente@onvacation.com.
Hasta este punto de la investigación administrativa y frente a los argumentos expuestos por la sociedad investigada, en armonía con el material probatorio que los soporta; encuentra este Despacho que le asiste la razón a la sociedad TOUR VACATION HOTELES AZUL S.A.S., en tanto puso a disposición del Titular los mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de sus datos de las bases de datos de la compañía, los cuales no fueron utilizados por el señor XXXXX XXXX, quien, en consecuencia, no logró de manera oportuna que la sociedad investigada dejara de enviarle prospección de mercadeo, así como contenidos relacionados con reservas de paquetes turísticos respecto de las cuales no tenía vínculo alguno. No obstante lo anterior, evidencia esta instancia que obran en el expediente de la referencia, una serie de elementos probatorios que desvirtúan el contenido de la certificación técnica de eliminación de la información personal del señor XXXXX XXXX de la base de datos de la sociedad TOUR VACATION HOTELES AZUL S.A.S., suscrita el día 06 de septiembre de 2018, por la administradora de bases de datos de la sociedad investigada.
Para ampliación de lo expuesto, se relacionan a continuación las mencionadas piezas probatorias: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 25, Imagen no. 19 Imagen no. 210 Mediante mensaje remitido el 02 de enero de 2020 al correo institucional contactenos@sic.gov.co, bajo número de radicación 19-233226-9-0, el señor XXXXX XXXX aportó registro en audio de las llamadas por él grabadas los días 05 de septiembre de 2019 y 01 de enero de 2020.
Para efectos de la trazabilidad de la información y la valoración del material probatorio en cita, se realiza la transcripción del audio de estas llamadas: Actuación radicada el 15 de abril de 2019, bajo el número 18-193872-5-0. Actuación radicada el 14 de febrero de 2020, bajo el número 19-233226-12-0. HOJA N 26, “Por la cual se impone una sanción administrativa y se imparte una orden” Llamada del 05 de septiembre de 2019: “(…) Agente On Vacation: “¿Usted se encuentra hospedado en el hotel Blue Reef? XXXX: “¡Eh, no!, pero, ¿cómo tienes mis datos, perdón?” Agente On Vacation: “hablas con XXXXXX, de servicio al cliente del hotel.” XXXX: “¿de dónde perdón? ¿de On Vacation?” Agente On Vacation: “sí, señor” XXXX: “¡Ah, sí! Es que me parece muy raro, porque siempre me llaman, es como si este número está registrado como algo de ustedes” Agente On Vacation: “Sí, ese es el número que aparece en el sistema cuando hacen la reserva por internet las personas.” XXXX: “¿sí? ¿y tu tienes mis datos? o sea, tu tienes mi nombre ahí. Agente On Vacation: No, solamente me aparece xxxxxx xxxxxxxx, ¿trabajas en alguna agencia? XXXX: “Pero, tienes el XXXXXXXXXX como número de contacto ¿sí? o sea que es este número ¿sí?” Agente On Vacation: “Ese fue el que me arrojó la reserva” XXXX: “Pero, ¿si este este? me lo confirmas para estar seguro, please.” Agente On Vacation: “Eh, permíteme un segundo. Sí, XXXXXXXXXXX” XXXX: “Sí, yo creo que eso es un error.
Yo creo que es un error, porque, o sea, yo no soy la persona con la que te intentas comunicar, esto, y yo no tengo nada que ver con On Vacation. Agente On Vacation: “¿no trabajas con ninguna agencia? XXXX: “No, no, no, con ninguna.” Agente On Vacation: “mmm, bueno, en todo caso disculpa” XXXX: “No te preocupes, que estés muy bien, chao.” Llamada del 01 de enero de 2020: Asistente de voz On Vacation: “Soy Simón, ¿estás listo para tus vacaciones con On Vacation? Recuerda las facilidades que tenemos para el pago de tus reservas con abonos mensuales.
Este mes el valor a pagar es de $1.744.496, con fecha límite de pago hasta 02 de enero de 2020. Nuestros medios disponibles para el recaudo son: Davivienda, Bancolombia, Baloto, corresponsales o por medio de la página www.onvacation.com. Para mayor información sobre nuestros medios de pago, marca 1, si deseas repetir el mensaje marca 0.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 27, Imagen no. 311 Las imágenes en cita, así como las transcripciones de las llamadas grabadas por el Titular, evidencian que la sociedad TOUR VACATION HOTELES AZUL S.A.S. continuó remitiendo mensajes con prospectiva comercial e información relacionadas con reservas de terceros, tanto al buzón de correo electrónico del denunciante como a su línea móvil personal durante el año 2019 y lo corrido del 2020; es decir, con posterioridad al 06 de septiembre de 2018, fecha en la que certificó la eliminación de los datos personales del señor XXXXXXXXX XXXXXXX XXXXX XXXX de las bases de datos de la compañía. En este orden de ideas, está plenamente demostrado que: 1.
El señor XXXXX XXXX presentó diversas solicitudes de supresión de información ante la sociedad investigada, recibiendo respuestas automáticas en las que se le indicaba que, el canal utilizado no se encontraba habilitado para dar respuestas y, a la vez, se le informaba la vía que podía utilizar para el trámite de sus solicitudes ante la compañía. Finalmente, su solicitud de supresión de sus datos personales de la base de datos de la compañía, fue conocida por la sociedad TOUR VACATION HOTELES AZUL S.A.S. el 30 de julio de 2018 y resuelta el 01 de agosto de la misma anualidad. 2.
Pese a que la sociedad TOUR VACATION HOTELES AZUL S.A.S. arribó a esta investigación la certificación técnica de eliminación de la información personal del señor XXXXX XXXX de su base de datos, del día 06 de septiembre de 2018; una vez analizado el acervo probatorio del expediente, es fácilmente determinable que la sociedad investigada i) tiene suscrito al Titular en sus bases de datos; ii) determina qué información le remite, iii) realiza llamadas y envía mensajes con ánimos comerciales a su línea móvil, entre otras circunstancias que le confieren la calidad de Responsable del Tratamiento de datos personales en los términos del literal e) del artículo 3 de la Ley 1581 de 2012; de forma que, sin lugar a que medie manto de duda alguno, tiene del deber de velar por el cumplimiento de los principios y deberes de que trata el mencionado régimen estatutario.
Así las cosas, este Despacho observa que no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales y de existir una certificación del 06 de septiembre de 2018, mediante la cual la sociedad investigada avala el cumplimiento de dicha supresión, lo cierto es que, el Titular de los datos no pudo lograr un proceso satisfactorio, pues siguió recibiendo mensajes con prospectiva comercial e información referente a reservas de Actuación radicada el 14 de febrero de 2020, bajo el número 19-233226-12-0.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 28, paquetes turísticos respecto de las que no tiene vínculo alguno; razón por la cual, se concluye que la sociedad TOUR VACATION HOTELES AZUL S.A.S. incumplió el deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y, en consecuencia, se impondrá una sanción pecuniaria de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalentes a DOS MIL DOSCIENTAS CUARENTA Y SIETE (2.247) Unidades de Valor Tributario.
Así mismo, en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor XXXXXXXXXX XXXXXXXX XXXXXX XXXX. 8.2.2 Del deber de tramitar las consultas y reclamos formulados por la titular de la información Al respecto, la Ley 1581 de 2012 ha establecido lo siguiente:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” “ARTÍCULO 15.
RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” (Subraya fuera del texto original) En referencia a los artículos en cita, la Cote Constitucional, mediante sentencia C- 748 de 2011, realizó las siguientes precisiones: “Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 29, En la misma sentencia, la Corte de refirió a las características que debe tener la respuesta para que se entienda satisfecho el derecho de petición, así: “En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.” Precisado lo anterior, y retomando el caso objeto de estudio, a partir de los hechos advertidos por el señor XXXXX XXXX en su escrito de denuncia y del análisis preliminar de los medios probatorios obrantes en el expediente, esta Dirección expuso las siguientes consideraciones en la Resolución 68410 del 29 de noviembre de 2019: “En el caso objeto de estudio, el Titular XXXXXXXXXX XXXXXXXX XXXXX XXXX, manifiesta haber solicitado el 21 (sic) de agosto (sic) de 2018 a través de correo electrónico a la sociedad TOUR VACATION HOTELES AZUL S.A.S que eliminara sus datos personales de sus bases de datos con el fin de no seguir recibiendo prospección comercial.
Con el fin de recolectar elementos de prueba, este Despacho a través del Grupo de Trabajo de Habeas Data solicitó, entre otras cosas, a la sociedad TOUR VACATION HOTELES AZUL S.A.S, mediante oficio radicado con el número 18-193872-4 del 21 de agosto de 2018, que informara si el Titular había presentado reclamaciones o peticiones y así mismo suministrar copia de las respectivas respuestas; frente a tal requerimiento, LA INVESTIGADA manifestó que “el señor XXXXX radicó ante las oficinas de la Sociedad Tour Vacation Hoteles Azul S.A.S. solicitud de eliminación de la información de la base de datos e (sic) la compañía, y se confirmó respuesta a la dirección de correo electrónico del solicitante de la eliminación de los datos de acuerdo a la solicitud”, y aportó el siguiente documento: Requerimiento presentado por el titular y la respuesta generada.” Frente a lo anterior, preliminarmente se evidencia que, si bien LA INVESTIGADA recibió del señor XXXXXXXXXXX XXXXXXXX XXXXX XXXX solicitud de supresión de sus datos personales el día 10 de julio de 2018, esta no le dio trámite de fondo a la reclamación ni en el término estipulado por la Ley 1581 de 2012, esto es, máximo (15) días hábiles contados a partir del día siguiente a su recibo.
Para una mayor ilustración, se presentan a continuación las imágenes de los documentos a los que se hace referencia en el acto administrativo en cita: (i) Solicitud realizada por el Titular y dirigida a TOUR VACATION HOTELES AZUL S.A.S., de fecha 10 de julio de 2018, sin constancia de radicación o certificación de envío. HOJA N 30, “Por la cual se impone una sanción administrativa y se imparte una orden” (i) Respuesta otorgada por la sociedad investigada el 01 de agosto de 2018, sin constancia o certificación de envío. Del contenido de esta respuesta, conviene realizar la transcripción del siguiente aparte: “En atención a su comunicado en días pasados notificado como inconformidad el envío de información de varias reservas, obrando dentro del término previsto para entregar respuesta de fondo conforme a lo dispuesto por la Ley 1480 de 2011, artículo 58, procedemos a lo anunciado de la siguiente manera: De acuerdo a su inconformidad del uso de sus datos de correo electrónico para envío de información de varias reservas, me permito confirmar que a la fecha sus datos del correo electrónico ya fueron eliminados de nuestras bases de datos, toda vez que se tiene en cuenta su requerimiento, no obstante y siendo consecuentes con los malos entendidos presentados, nos permitimos notificarle que a partir de la fecha a (sic) su correo electrónico no volverá a recibir información alguna sobre los planes con nuestra compañía: Finalmente cabe, aclarar que sobre la información de las reservas remitidas a su correo no tiene vínculo alguno.” Frente a la respuesta en cita, es menester traer a colación las directrices de la Corte Constitucional al realizar la revisión de la Ley 1581 de 2012, específicamente en lo concerniente al derecho de petición como mecanismo para hacer efectivo el derecho al habeas data, mediante la sentencia C748 de 2011, así: “En este orden de ideas el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data.
Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de los particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.
En este sentido, el legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder a las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.
(…) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 31, En consecuencia, el precepto revisado resulta ajustado a la Constitución, No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. Es ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.
(Subraya y negrilla fuera del texto original) Ahora bien, a la luz de los parámetros fijados por el Alto Tribunal Constitucional, encuentra este Despacho que, a través de la respuesta otorgada por la sociedad investigada el día 01 de agosto de 2018, se atendió la petición elevada por el señor XXXXX XXXX de fondo, en tanto no se evadió el objeto de la misma, sino que, dentro de un accionar razonable y dentro del término para ello previsto, la sociedad investigada le comunicó que reconocía los malos entendidos respecto de las reservaciones con las cuales el Titular no tenía nexo alguno y que, en consecuencia no seguiría remitiendo información alguna a su correo electrónico.
No obstante lo anterior, es menester resaltar que para el caso objeto de estudio no resulta aplicable el artículo 58 de la Ley 1480 de 2011, sino la disposición especial contenida en el artículo 15 de la Ley 1581 de 2012, que señala lo siguiente: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” Realizadas estas precisiones y a pesar de que la sociedad TOUR VACATION HOTELES AZUL S.A.S. no allegó pieza probatoria alguna que certifique el envío de la comunicación del 01 de agosto de 2018, encuentra esta Dirección que, al analizar los argumentos de hecho y de derecho expuestos por la sociedad investigada en lo corrido del proceso administrativo de la referencia en armonía con el material probatorio obrante en el expediente; resulta aplicable el principio in dubio pro administrado, el cual ha sido suficientemente desarrollado por la Corte Constitucional12, así: “Como elemento característico de los sistemas políticos democráticos y de manera congruente con instrumentos internacionales ratificados por Colombia, la Constitución Política de 1991 estableció en su artículo 29 la presunción de inocencia, como una de las garantías del derecho fundamental al debido proceso.
Se trata de una cautela constitucional contra la arbitrariedad pública, que se activa en todos aquellos eventos en los que el Estado pretenda ejercer el poder de reprochar comportamientos, por la vía judicial o administrativa, esencialmente en ejercicio de su facultad sancionadora (ius puniendi). 12 Corte Constitucional, sentencia C-495 de 2019, M.P. Alejandro Linares Cantillo.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 32, A pesar de que la norma constitucional disponga que “Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable”, en una redacción equivalente a la del artículo 8 de la Convención Americana sobre Derechos Humanos y a la prevista en el artículo 14 del Pacto Internacional de Derechos Civiles y Políticos, ambos ratificados por Colombia, la presunción de inocencia es una garantía fundamental que es igualmente exigible en los procedimientos administrativos, como lo reconoce expresamente el inciso primero del artículo 29 de la Constitución colombiana y que entraña las siguientes consecuencias: (i) corresponde al Estado la carga de desvirtuar la inocencia, a través de la prueba de los distintos elementos de la responsabilidad, incluida la culpabilidad.
(ii) A pesar de existir libertad respecto de las pruebas para desvirtuar la presunción de inocencia, sólo son admisibles medios de prueba respetuosos del debido proceso y acordes a la dignidad humana. (iii) Nadie puede ser obligado a contribuir para que la presunción de inocencia que lo ampara, sea desvirtuada y sus silencios carecen de valor probatorio en forma de confesión o indicio de su responsabilidad;
(iv) durante el desarrollo del proceso o del procedimiento, la persona tiene derecho a ser tratada como inocente y (v) la prueba necesaria para demostrar la culpabilidad debe tener suficiente fuerza demostrativa, más allá de toda duda razonable, la que, en caso de persistir, debe resolverse mediante la confirmación de la presunción. Las anteriores, son “garantías constitucionales que presiden la potestad sancionadora de la administración y el procedimiento administrativo que se adelanta para ejercerla”.
La regla que ordena resolver las dudas razonables en favor del investigado (regla in dubio pro reo, in dubio pro administrado, in dubio pro disciplinado) es una consecuencia natural de la presunción constitucional de inocencia y constituye la contracara misma de la carga de la prueba que pesa sobre el Estado, a través de las entidades que ejercen el poder público.
Así, no obstante que la norma constitucional no exija expresamente que las dudas razonables sean resueltas en beneficio de la persona investigada, se trata de una conclusión forzosa que resulta de constatar que, a pesar de los esfuerzos demostrados durante el desarrollo del procedimiento y en desarrollo del deber de instrucción integral, el Estado no cumplió la carga probatoria que le incumbía y, por lo tanto, no logró recaudar o aportar pruebas suficientes para desvirtuar la presunción de inocencia. Por lo tanto, la regla “en caso de duda, resuélvase en favor del investigado”, no es más que la confirmación de que la persona nunca ha dejado de ser inocente y, en el caso de sanciones de naturaleza administrativa, la no aplicación de esta regla, genera nulidad del acto administrativo.
Aunque la jurisprudencia constitucional haya precisado que, en tratándose de procedimientos administrativos, la presunción de inocencia no es un derecho absoluto y se haya admitido, de manera excepcional, que el Legislador invierta la carga de la prueba de uno de los elementos de la responsabilidad, (el elemento subjetivo), a través de la previsión de presunciones de dolo y de culpa, dichas medidas han sido sometidas al cumplimiento de rigurosas condiciones y, en todo caso, se ha advertido que esta posibilidad se encuentra excluida para ciertos procesos, en particular, el proceso disciplinario, en donde debe operar plenamente la presunción de inocencia. Las dudas que implican la decisión de archivo del asunto o que conducen a proferir un fallo absolutorio, son las razonables u objetivas, es decir, aquellas que luego del desarrollo de la instrucción, surgen de un análisis conjunto de las pruebas obrantes en el expediente, presidido por la sana crítica y la experiencia. La duda razonable resulta cuando del examen probatorio no es posible tener convicción racional respecto de los elementos de la responsabilidad y, por lo tanto, no se cuenta con las pruebas requeridas para proferir una decisión condenatoria, que desvirtúe plenamente la presunción de inocencia. Es decir que las dudas irrazonables, subjetivas o que se fundan en elementos extraprocesales, no permiten proferir una resolución favorable, cuando los elementos de la responsabilidad se encuentren debidamente probados en el expediente.
La certeza o convicción racional equivale a un estándar probatorio denominado de convicción más allá de toda duda razonable por lo que, para poder ejercer el poder punitivo del Estado, no se requiere la certeza absoluta, sino que las pruebas válidamente recaudadas demuestren la reunión de los elementos de la responsabilidad y, al respecto, no existan dudas derivadas de la insuficiencia probatoria o de contradicciones probatorias insuperables a partir del examen conjunto del expediente.” Posteriormente, la sociedad investigada mediante escrito de descargos, reiteró los argumentos transcritos en líneas precedentes y adicionalmente, afirmó que: “Así mismo se informó que la Sociedad (sic) había recibido solicitud de eliminación de la información de la base de datos y procedió a remitir copia del contenido del requerimiento que estaba fechado del 10 de julio de 2018; sin embargo como ya se manifestó y se probó en los descargos (sic) primero de esta comunicación, esta solicitud no fue puesta en conocimiento por parte del señor xxxxxxxxxx xxxxxx xxxx sino hasta el día 30 de julio de 2018 a través del correo servicioalcliente7@onvacation.com de la funcionada xxxxxx xxxxxxx, pues todos los correos enviados al correo sistemas@onvacationhoteles.com no eran recibidos y remitían una respuesta automática del sistema indicando que el correo al que lo remitía no estaba habilitado para dar respuesta.
(…) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 33, Es así como se desacredita la afirmación errada de la Dirección y una formulación de cargos que no cuenta con material probatorio para su apertura, adicionando como último análisis que dentro del artículo 15 de la Ley 1581 de 2012 se establece cuáles son los requisitos o reglas que debe cumplir la solicitud que es dirigida al responsable del tratamiento o encargado del tratamiento.
Estos son: 1. Identificación del titular. 2. Descripción de los hechos que dan lugar al reclamo. 3. La dirección 4. Los documentos que se quieren hacer valer. Al respecto, encuentra esta Dirección que ya se realizó en líneas precedentes el análisis referente a la solicitud presentada por el Titular de la información y a la respuesta otorgada por la sociedad investigada; por lo que, solo resta realizar una precisión final, aclarando que, el fin la investigación administrativa es precisamente el de verificar el cumplimiento de los deberes que le asisten a la sociedad TOUR VACATION HOTELES AZUL S.A.S., en calidad de responsable del tratamiento de datos personales y, que, la formulación de cargos en sí misma, no se constituye o hace las veces de una sanción, por el contrario, es una etapa procesal que abre el debate y garantiza el ejercicio de contradicción y defensa que realice la sociedad investigada sobre unas determinadas conductas.
Continuando con los argumentos expuestos por la sociedad investigada, esta Dirección procede a realizar un análisis sucinto de los presuntos yerros atribuibles a esta Dirección, así: Sobre la presunta falsa motivación del acto administrativo: En este acápite del escrito de descargos, la sociedad investigada manifiesta que, “ Conforme a lo anterior, en relación con el caso bajo estudio, se considera que el Auto se configura el error de hecho, según se analiza a continuación. El Auto asevera de forma errada que Tour Vacation Hoteles Azul S.A.S. no garantizó todo el tiempo, el pleno y efectivo ejercicio del derecho de habeas data y que adicional incumplió el deber de tramitar las consultas y reclamos de los titulares del dato, manifestaciones que se alejan de la veracidad de lo acaecido con las reclamaciones y derechos del señor xxxxxxxxxxx xxxxx xxxx, toda vez que por el error en la radicación de la solicitud del titular del dato la sociedad solo conoció de su requerimiento hasta el 30 de julio de 2018 y en el término de menos de 2 días hábiles atendió el reclamo y garantizó los derechos del titular.
No existe un solo hecho en toda la Resolución 68410 de 2019 que haya sido correctamente interpretado por la dirección, razón por la cual con los presentes descargos nos permitimos aclarar e ilustrar a la administrativa. Teniendo en cuenta lo anterior la falsa motivación se deriva del hecho de la presunta vulneración de los derechos del señor xxxxxxxxxxxx xxxxxx xxxx y la presunta no respuesta a la reclamación presentada, por lo que lo hechos presuntamente evidenciados que generaron el concepto que dio lugar a la apertura de la investigación administrativa y formulación de cargos carecen de veracidad y pruebas objetivas que permitan acreditar la existencia de los presuntos hallazgos.
No puede generarse apertura de una investigación o iniciar un proceso administrativo con un hecho que no puede ser corroborado y bajo interpretaciones erradas como es haber recibido el requerimiento del titular en un correo en el que no es posible recibir las solicitudes y que se informó al accionante no procedía. Esa discordancia entre la realidad fáctica y lo reflejado en el acto administrativo, evidencia la falsa motivación de la Resolución No. 68410 de 2019 por el cual formula pliego de cargos y da inicio a la investigación administrativa dentro del expediente 19-233226, razón por la cual deberá exonerarse a la Compañía de toda responsabilidad al respecto.” Frente a los argumentos en cita, resulta necesario traer a colación el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual señala, que:
ARTÍCULO 47. Procedimiento administrativo sancionatorio. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes.
Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 34, Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes.
Este acto administrativo deberá ser notificado personalmente a los investigados. Contra esta decisión no procede recurso. Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer. Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente.
(Subraya y negrilla fuera del texto original) De la disposición en cita se tiene que, la formulación de cargos encuentra su fundamento en las averiguaciones previas, la reconstrucción de los hechos materia de investigación, la fijación de los extremos procesales, la adecuación de la conducta endilgada a una disposición presuntamente vulnerada y el análisis preliminar del material probatorio con el que cuenta el ente investigador para esa etapa procesal; lo que a todas luces deja en evidencia la imposibilidad de que exista una falsa motivación en el contenido del acto administrativo 68410 de 2019, proferido por este Despacho.
Contrario a lo planteado por la sociedad investigada, las etapas surtidas dentro de la actuación administrativa de la referencia, incluidas las averiguaciones preliminares y todas aquellas que las preceden, se han desarrollado con el férreo propósito de proteger los derechos de las personas en sede administrativa, bajo la plena observancia del principio de supremacía constitucional como eje de la actuación de las autoridades públicas y con total apego a los principios que rigen las actuaciones administrativas, contenidos en el artículo 3 del CPACA, así como de los principios consagrados en el artículo 209 de la Carta Política.
Ahora bien, en cuanto al presunto quebrantamiento al derecho constitucional al debido proceso por indebida tipicidad y ausencia probatoria, la sociedad investigada afirma, que: “(…) De lo expuesto se desprende con claridad que, en el caso objeto de estudio, la autoridad se limitó a señalar las disposiciones supuestamente infringidas sin realizar el análisis de tipicidad que le es exigible por el ejercicio del ius puniendi en materia sancionatoria.
De tal suerte que la ausencia de tipicidad objetiva obliga a la cesación de procedimiento o a la declaratoria de ausencia de responsabilidad, toda vez que los hechos bajo los cuales sustenta los cargos formulados distan claramente de la realidad fáctica del caso. La Dirección de Investigaciones de Protección de Datos Personales no puede pretender imputar una responsabilidad por responder el requerimiento del titular en la fecha que lo conoció efectivamente.
Pues por error del titular enviaba las solicitudes al correo que le informaban contenía solo información y no se atienden las reclamaciones, toda vez que en cumplimiento de la Ley 1581 de 2012 se establecen los medios gratuitos a través de los cuales podía hacer el requerimiento.” En armonía con el análisis realizado por esta Dirección en párrafos anteriores, resulta preciso retomar algunos de los planteamientos realizados por la Corte Constitucional, mediante sentencia C-034 de 2014, en relación con debido proceso, particularmente, en derecho administrativo sancionatorio, así: “El debido proceso es un derecho fundamental.
Posee una estructura compleja, en tanto se compone por un plexo de garantías que deben ser observadas en todo procedimiento administrativo o judicial, escenarios en los que operan como mecanismo de protección a la autonomía y libertad del ciudadano y límites al ejercicio del poder público. Por ese motivo, el debido proceso es también un principio inherente al Estado de Derecho, cuyas características esenciales son el ejercicio de funciones bajo parámetros normativos previamente establecidos y la erradicación de la arbitrariedad.
Así lo ha explicado la Corte: “(…) el derecho al debido proceso se muestra como desarrollo del principio de legalidad, pues representa un límite al ejercicio del poder público, y en particular, al ejercicio del ius puniendi del Estado. En virtud del citado derecho, las autoridades estatales no podrán actuar en forma omnímoda, sino dentro del marco jurídico definido democráticamente, respetando las formas propias de cada juicio y asegurando la efectividad de aquellos mandatos que garantizan a las personas el ejercicio pleno de sus derechos".
En ese contexto, la jurisprudencia constitucional ha definido el debido proceso como el conjunto de etapas, exigencias o condiciones establecidas por la ley, que deben concatenarse al adelantar todo proceso judicial o administrativo. Entre estas se cuentan el principio de legalidad, el derecho al acceso a la jurisdicción y a la tutela judicial efectiva de los derechos humanos, el principio del juez natural, la garantía de los derechos de defensa y contradicción, el principio de doble instancia, el HOJA N 35, “Por la cual se impone una sanción administrativa y se imparte una orden” derecho de la persona a ser escuchada y la publicidad de las actuaciones y decisiones adoptadas en esos procedimientos.” De la lectura del texto jurisprudencial en cita y su respectivo cotejo con las etapas agotadas dentro de la investigación administrativa adelantada por esta Dirección, se tiene que, la sociedad investigada tuvo en todo momento la oportunidad de ejercer su derecho de defensa y contradicción, garantizándose todas las exigencias establecidas en la ley para adelantar el proceso de la referencia y, en consecuencia, emitiéndose una decisión ajustada a derecho y absolutamente respetuosa de la Constitución Política colombiana.
Finalmente, sobre la presunta predeterminación del órgano sancionador, señala la sociedad investigada que, “Como se ha desarrollado a lo largo del presente memorial la culpabilidad se enmarca como una de las bases para fundamentar la actividad sancionadora, para el caso particular y para que nazca la responsabilidad administrativa que pretende generar la Dirección de Investigaciones de Protección de Datos Personales requiere la existencia de una infracción probada y que esta se haya realizado con dolo, o con culpa o imprudencia, lo cual no se encuentra acreditado en ninguno de los presuntos hallazgos, certificaciones, ni correos, manifestaciones o las evidencias presentadas por parte del órgano administrativo.
Toda vez que la apertura de la investigación administrativa se deriva del hecho que no es cierto que la Sociedad no haya atendido la solicitud de la eliminación o haya garantizado los derechos del titular del dato.” Sobre este punto, es necesario enfatizar que para que se dé inicio a la actividad investigativa en materia de protección de datos, no se requiere la materialización de un daño, en la medida en que, la sola puesta en peligro del derecho fundamental de habeas data, implica que esta Superintendencia realice el despliegue de todos los medios con los que cuenta, por un lado para garantizar su efectivo ejercicio en todo momento y lugar y, segundo, vigilar las actuaciones de aquellos que realizan el tratamiento de datos personales.
De manera, se reitera que, esta Dirección procedió de conformidad, con lo cual no se transgredió el Ordenamiento Jurídico, sino todo lo contrario, se estaba asegurando la materialización efectiva del debido proceso, particularmente en cuanto a que fueron aplicadas las leyes preexistentes al acto recurrido y adelantado el proceso con la observancia plena de sus formas propias y principios, específicamente, los establecidos en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en referencia al agotamiento de cada una de las etapas previstas para el procedimiento administrativo sancionatorio, la oportunidad de que la sociedad investigada ejerciera su derecho de defensa y contradicción, y, en consecuencia, la emisión de una decisión ajustada a derecho.
Por lo expuesto, esta Dirección procederá con el archivo del presente cargo.
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
HOJA N 36, “Por la cual se impone una sanción administrativa y se imparte una orden” (…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 13.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional14 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 37, De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 15 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros16. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”17.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia18. 15 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 16 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 17 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 38, “Por la cual se impone una sanción administrativa y se imparte una orden” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2319 de la misma ley.
Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”20 19Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 20 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.
“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 39, De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados21.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto, respecto del primer cargo formulado es claro que, no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales y de existir una certificación del 06 de septiembre de 2018, mediante la cual la sociedad investigada avala el cumplimiento de dicha supresión, lo cierto es que, el Titular de los datos no pudo lograr un proceso satisfactorio, pues siguió recibiendo mensajes con prospectiva comercial e información referente a reservas de paquetes turísticos respecto de las que no tiene vínculo alguno, por parte de la sociedad TOUR VACATION HOTELES AZUL S.A.S. En consecuencia, encuentra esta Dirección que la sociedad investigada infringió lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y, en consecuencia, se impondrá una sanción pecuniaria de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalentes a DOS MIL DOSCIENTAS CUARENTA Y SIETE (2.247) Unidades de Valor Tributario.
Así mismo, en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que tenga del señor XXXXXXXXXX XXXXXXXX XXXXXX XXXX en las bases de datos de la compañía. 10.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma ley.
DÉCIMO PRIMERO: CONCLUSIÓN Con fundamento en lo expuesto, a juicio de esta Dirección, es claro que, no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales y de existir una certificación del 06 de septiembre de 2018, mediante la cual la sociedad investigada avala el cumplimiento de dicha supresión, lo cierto es que, el Titular de los datos no pudo lograr un proceso satisfactorio, pues siguió recibiendo mensajes con prospectiva comercial e información referente a reservas de paquetes turísticos respecto de las que no tiene vínculo alguno, por parte de la sociedad TOUR VACATION HOTELES AZUL S.A.S. 21 Ley 1581 de 2012 “Artículo 23.
La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.0 00) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 40, Conducta con la que, sin lugar a que medie manto de duda alguno, transgredió lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y, en consecuencia, se impondrá una sanción pecuniaria de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalentes a DOS MIL DOSCIENTAS CUARENTA Y SIETE (2.247) Unidades de Valor Tributario.
Así mismo, en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que tenga del señor XXXXXXXXXX XXXXXXXXX XXXXX XXXX en las bases de datos de la compañía. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad TOUR VACATION HOTELES AZUL S.A.S. identificada con el Nit. 900.304.940-9 de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalentes a DOS MIL DOSCIENTAS CUARENTA Y SIETE (2.247) Unidades de Valor Tributario, por la transgresión lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y de conformidad con la parte motiva del presente acto administrativo.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la sociedad TOUR VACATION HOTELES AZUL S.A.S. identificada con el Nit. 900.304.940-9, consistente en la eliminación de la dirección de correo electrónico y demás datos de contacto que se encuentren almacenados en sus bases de datos, asociados al señor XXXXXXXXXX XXXXXXXXX XXXXX XXXX.
ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad TOUR VACATION HOTELES AZUL S.A.S. identificada con el Nit. 900.304.940-9, a través de su representante legal y de su apoderado, en calidad de investigada, entregándoles copia de la misma e informándoles que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO CUARTO: COMUNICAR al señor XXXXXXXXXX XXXXXXXXX XXXXX XXXX identificado con la cédula de ciudadanía número XXXXXXXXX el contenido de la presente decisión.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 17 NOVIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.11.17 14:49:55 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA / Revisó: LMRZ / Aprobó: CESM “Por la cual se impone una sanción administrativa y se imparte una orden” NOTIFICACIÓN: Investigada: Sociedad: Identificación: Gerente: Identificación: Dirección: Ciudad: Correo electrónico: TOUR VACATION HOTELES AZUL S.A.S. Nit. 900.304.940-9 CAMILO MARIÑO HILDEBRAND C.C. 80.471.293 CR 46 No. 94 – 73 Bogotá D.C. - Colombia juridicoaleptourvacation.com.co Representante legal para asuntos judiciales y administrativos: JAIME OLIMPO ULLOA BRIÑEZ Identificación: C.C. 1.026.562.690 Dirección: CR 46 No. 94 – 73 Ciudad: Bogotá D.C. - Colombia Correo electrónico: juridico@tourvacation.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXX XXXXXXXXXXXXXX HOJA N 41,