(Agosto 23 de 2023) Radicación 21-227206 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que con ocasión de la queja presentada por el señor Xxxxxx Xxxx Xxxxxx Xxxxxxxx, mediante Resolución No. 54056 del 12 de agosto de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación administrativa adelantada en contra de COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC (en adelante COLOMBIA TELECOMUNICACIONES) resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P BIC., identificada con NIT. 830.122.566-1, de OCHENTA MILLONES TREINTA Y SEIS MIL CUATROCIENTOS VEINTICUATRO PESOS ($80.036.424) correspondiente a 2106 Unidades de Valor Tributario Vigentes, por el incumplimiento de los deberes establecidos en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015”.
(…)
SEGUNDO. Lo anterior, en la medida que la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que COLOMBIA TELECOMUNICACIONES vulneró las normas contenidas en la Ley 1581 de 2012, pues no allegó la autorización previa al tratamiento de los datos del quejoso y tampoco le informó sobre la finalidad de este.
TERCERO. Que COLOMBIA TELECOMUNICACIONES a través de su apoderado especial (en adelante el RECURRENTE), interpuso recurso de reposición y en subsidio apelación 1 contra la Resolución No. 54056 del 12 de agosto de 2022, cuyos argumentos son los señalados en el escrito obrante en el consecutivo 34 del radicado No. 21-227206 del 6 de septiembre de 2022.
CUARTO. Que mediante Resolución No. 83155 del 25 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 54056 del 12 de agosto de 2022.
QUINTO. Que este despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto a la presentación oportuna, el cumplimiento y satisfacción de los requisitos del recurso objeto de estudio, así como en lo que concierne a la competencia de esta Superintendencia. 1 La Resolución No. 54056 del 12 de agosto de 2022 fue notificada por aviso a COLOMBIA TELECOMUNICACIONES el 25 agosto de 2022.
RESOLUCIÓN NÚMERO 49994 DE 2023 SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este despacho confirmará el acto administrativo recurrido de acuerdo con lo que pasa a exponerse: 1. Frente a la Inexistencia de Infracción Normativa por indebida interpretación de lo previsto en la Ley.
Consideró el recurrente que su representada no cometió infracción alguna, teniendo en cuenta que el usuario fue informado acerca de la finalidad de la recolección de los datos en virtud de la autorización otorgada, la cual fue obtenida de acuerdo con los requerimientos establecidos para el efecto. Sobre este aspecto, indica el recurrente que COLOMBIA TELECOMUNICACIONES obtuvo información del usuario a través de las diferentes labores en las que participa como patrocinador de actividades deportivas, culturales y redes sociales.
Al respecto, este Despacho debe señalar que el artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.
En otras palabras, las personas en desarrollo de sus derechos a la autodeterminación informática y libertad son quienes de forma expresa deben autorizar a los Responsables para que el tratamiento de su información se realice conforme a los principios establecidos en la norma. Para el efecto, los literales b) y c) del artículo 4 de la Ley 1581 de 2012, dispone: “ARTÍCULO 4o.
PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)” La Corte Constitucional mediante Sentencia C-748 de 2011, frente a los citados principios se pronunció de la siguiente manera: (…) 2.6.5.2.2. Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.
La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. (…) Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.
Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. (…) 2.6.5.2.3.
Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.
También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. (Negrilla del texto original) RESOLUCIÓN NÚMERO 49994 DE 2023 Así, los literales b) y c) del artículo 17 la Ley 1581 de 2012 le imponen a los Responsables del Tratamiento de Datos Personales como deberes, entre otros, los siguientes: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
(…) Respecto de la autorización para el tratamiento de datos personales, y el deber de informar su finalidad los artículos 92 y 123 de la mencionada Ley, disponen: ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
(…) “ARTÍCULO
12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. (Énfasis añadido) De las citadas normas concluye el Despacho que los deberes de solicitar la autorización previa al tratamiento de los datos y de informar la finalidad para la cual son recolectados, se encuentran estrechamente relacionados, en la medida que el titular autoriza el tratamiento de su información de acuerdo con la finalidad que se le va a dar a la misma.
Ahora bien, la presente actuación administrativa, inicia con la queja presentada por el señor Xxxxxx Xxxx Xxxxxx Xxxxxxxx, mediante la cual informa que COLOMBIA TELECOMUNICACIONES el día 25 de mayo de 2021, se comunicó con él desde la línea Movistar XXXXXXXXXX para venderle una “portabilidad”, servicio que, -en sus palabras- “jamás había solicitado”, adicionalmente indica que no sabe la razón por la cual tienen conocimiento de la actual línea celular XXXXXXXXXX si jamás ha autorizado para ello.
COLOMBIA TELECOMUNICACIONES, a través de su apoderada, mediante escrito radicado con el número 21-227206-06 del 9 de septiembre de 2021, al dar respuesta a la solicitud de explicaciones, informa a la Dirección, que envió una Campaña de Portabilidad a la línea N° XXXXXXXXXX, en el transcurso del año 2021, como consta a continuación: Así mismo informa que el señor Xxxxxx Xxxx Xxxxxx Xxxxxxxx, ha tenido servicios móviles bajo la modalidad de plan prepago (…) en virtud de los cuales, COLOMBIA TELECOMUNICACIONES cuenta con la autorización previa, expresa e informada por parte del titular. 2 El artículo 2.2.2.25.2.4 del Decreto 1074 de 2015 establece el modo en que el Responsable puede obtener la autorización del titular para el tratamiento de los datos, así mismo el artículo 2.2.2.25.2.5 de la misma norma, determina que el Responsable debe conservar prueba de la autorización. 3 El artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 dispone que, en desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.
RESOLUCIÓN NÚMERO 49994 DE 2023 Con el referido escrito, allega un formato (sin diligenciar) de las condiciones generales del servicio en modalidad prepago, y una solicitud de servicio móvil – formato de venta inicial (sin diligenciar), encontrando que ninguno está relacionado con alguna solicitud de servicio hecha por el titular, aun así, COLOMBIA TELECOMUNICACIONES, asegura que cuenta con la autorización previa del señor Xxxxxx Xxxxxxx para el tratamiento de sus datos personales, sin embargo, no allega una copia de ésta.
Por otra parte, en el escrito de descargos radicado con el número 21-227206-18 del 29 de diciembre de 2021, COLOMBIA TELECOMUNICACIONES, argumentó lo siguiente: “(…) sea oportuno aclarar que Colombia Telecomunicaciones pudo obtener el dato del abonado telefónico del Usuario de las diferentes actividades en las que participa la Compañía como patrocinador de actividades deportivas, culturales, redes sociales, antiguos clientes o de otros número adicionales de contacto que han suministrado los mismos clientes, y en todo caso, siempre se garantiza que en dicho proceso Colombia Telecomunicaciones S.A. ESP BIC en calidad de Responsable del Tratamiento, informe a los titulares la finalidad de la recolección y obtenga la autorización respectiva”.
(negrilla fuera de texto) Adicionalmente manifestó que: “(…) al momento de obtener la autorización previa, expresa, informada e inequívoca por parte del señor Xxxxxxx Xxxx Xxxxxx Xxxxxxx, para el tratamiento de sus datos personales, le informó debidamente sobre la finalidad de la recolección de sus datos y los derechos que le asisten en virtud de la autorización otorgada”.
Nuevamente, a pesar de las afirmaciones hechas por COLOMBIA TELECOMUNICACIONES en el escrito de descargos, respecto de la autorización previa otorgada por el señor Xxxxxx Xxxxxxx, no allega documento alguno con el que pruebe que efectivamente cuenta con ella, y que en consecuencia le fue informado al titular la finalidad del tratamiento. Así las cosas, para el Despacho se encuentra suficientemente demostrado que la sociedad investigada infringió las normas de protección de datos personales establecidas en los literales b) y c) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales c) y b) del artículo 4 de la misma norma, por cuanto a lo largo de la presente actuación administrativa no logra probar la existencia de la autorización previa, expresa e informada dada por el titular para el tratamiento de sus datos personales, razón por la cual se confirmará la sanción impuesta a COLOMBIA TELECOMUNICACIONES. 2.
Respecto de la Graduación de la Sanción. 2.1. Ausencia de demostración del daño. Señaló el RECURRENTE en su escrito que la Dirección centró su esfuerzo en el análisis del criterio de agravación establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, relacionado con el daño o peligro a los intereses jurídicos tutelados por la Ley y la reincidencia en la comisión de los hechos.
Sostiene igualmente que, en el punto de valoración del daño, este criterio fue utilizado como agravante toda vez que “a juicio del Despacho basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. Sin embargo, al revisar la Resolución N° 54056 de 2022 en ningún aparte se observa de qué manera el Despacho encontró demostrado el daño causado por Colombia Telecomunicaciones y mucho menos de cara a los derechos e intereses del señor Xxxxxx Xxxx Xxxxxx”.
Afirma además que, en el punto de ocurrencia del daño, es deber del afectado probar el daño, situación que, a su criterio, no fue probado ni por el titular ni por la Dirección, razón por la cual le resulta incomprensible cuáles fueron los criterios valorativos del daño. Aduce que, en la presente actuación administrativa no se demostró que el quejoso haya soportado alguna carga antijurídica, pues en el acto sancionatorio efectivamente no formuló ninguna consideración concreta ni particular en torno al presunto daño causado.
Pues bien, pone de presente este Despacho que según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante RESOLUCIÓN NÚMERO 49994 DE 2023 el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”4. (Negrilla fuera de texto) Quiere decir entonces, que el juicio de antijuridicidad que debe realizar el operador jurídico no recae sobre el daño o perjuicio que se pueda causar, sino en la infracción misma de la norma.
En este punto en particular, resulta necesario traer a colación lo dicho por el Consejo de Estado5 en materia de antijuridicidad. “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico. En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material).
Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia [94]6. Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma [95]7”, de allí que se sostenga que el reproche recae sobre “la mera conducta”.
En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración [96]8.” A partir de lo anterior, concluye el Despacho que en el procedimiento administrativo sancionatorio como el que nos ocupa, no se exige la lesión efectiva de un bien jurídicamente tutelado para que proceda la sanción, debe advertírsele al RECURRENTE que, el hecho de que no se consolide un daño en específico respecto del titular, no es óbice para que esta Superintendencia no pueda aplicar su facultad sancionatoria, cuando existen razones de hecho y derecho para hacerlo.
Entonces, al no requerirse la materialización del daño, no es necesario que obre prueba de su existencia. Por lo tanto, basta con que se desconozcan las normas de protección de datos personales para que pueda imponerse una sanción. Así las cosas, considera el Despacho que el argumento esbozado en el escrito de apelación relacionado con la exigencia de la materialización de un daño no está llamado a prosperar. 2.2.
Respecto a que los Criterios del artículo 24 de la Ley 1581 de 2012 son de graduación. Afirma el RECURRENTE que la Dirección en el acto administrativo sancionatorio, adujo que “los criterios previstos por el artículo 24 de la Ley 1581 de 2012, son de agravación y de atenuación. Dicha afirmación se aleja de la realidad, toda vez que los criterios previstos por la norma en comento son de graduación de la sanción, y en consecuencia, todos deben ser valorados al momento de tasarse porque así lo ordena el artículo 24 de la Ley en comento”.
Sostiene igualmente, que la Dirección hizo referencia a tan solo uno de los criterios previstos por la norma, dejando de lado el estudio y valoración de los demás, así como también obvió los previstos por el artículo 50 de la Ley 1437 de 2011. Indica que “en el presente caso, cuando ese Despacho determinó “no tener en cuenta” los criterios establecidos en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 está incurriendo en una infracción al principio de legalidad y de proporcionalidad que gobierna el ejercicio de la potestad sancionadora de la administración, comoquiera que al constatar que la conducta seguida por Colombia Telecomunicaciones no le resultan aplicables dichos criterios, en lugar de obviarlos, debió calificarlos para con ello atenuar la sanción impuesta.
De este modo, los criterios para graduar una sanción, no deben ser calificados exclusivamente para hacerle más gravosa la situación del particular, sino para que también, frente a los factores en los cuales se advierta que no se verifican Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 5 Consejo de Estado – Subsección C).
Radicación número: 05001-23-24-000-1996-00680-01(20738) Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012). Consejero ponente: ENRIQUE GIL BOTERO. 6 [94] RINCÓN CÓRDOBA, Jorge Iván. Derecho Administrativo Laboral. Bogotá, Universidad Externado de Colombia. Pág. 595. 7 [95] Ibídem. 8 [96] BIELSA, Rafael. Derecho Administrativo.
Tomo IV. El Poder de Policía. Limitaciones Impuestas a la Propiedad Privada en Interés Público. Administración Fiscal. Buenos Aires, Depalma. 1956. Pág.
69. RESOLUCIÓN NÚMERO 49994 DE 2023 uno o varios de esos criterios, le deben servir a la administración para aminorar la sanción, omitirlos como ha ocurrido en el presente caso, atentando de manera evidente contra el principio de favorabilidad que aplica para el caso concreto”. Como se ha dicho, en materia de protección de datos personales, el artículo 22 de la Ley 1581 de 2012, establece: “ARTÍCULO 22.
TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes. (…)” (énfasis añadido) Por su parte el artículo 23, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos, por la vulneración de la normas de protección de datos personales.
“ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”;
(énfasis añadido) Para la graduación de las sanciones esta Superintendencia cuenta con los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, de los cuales únicamente se tendrán en cuenta aquellos que sean aplicables, de acuerdo a la conducta investigada que dio origen a la actuación administrativa de carácter sancionatorio.
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Respecto del citado artículo, la Corte Constitucional mediante sentencia C – 748 de 2011, manifestó lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) De lo anterior se colige que no es necesario hacer una ponderación de cada uno de los criterios de graduación establecidos en la norma, para hacerlo en los términos exigidos por el RECURRENTE es necesario contar con elementos de prueba que indiquen que de alguna manera es posible aplicarlos. En el caso particular, la Dirección de Investigación de Protección de Datos Personales, al momento de determinar la sanción a imponer a COLOMBIA TELECOMUNICACIONES, concluyó que con su conducta había vulnerado el bien jurídico tutelado por la Ley 1581 de 2012, este es, el derecho de habeas data del señor Xxxxxx Xxxxxxx, al incumplir con los deberes relacionados con la autorización previa al tratamiento e informar la finalidad de este.
Establecido lo anterior, a efectos de graduar la sanción a imponer, consideró la Dirección conforme la conducta investigada y las pruebas allegadas, que sólo le era aplicable el criterio establecido en el literal a) del ya citado artículo 24, y no los establecidos en los literales b), c), d) y e) en la medida que, COLOMBIA TELECOMUNICACIONES: RESOLUCIÓN NÚMERO 49994 DE 2023 (i) No obtuvo un beneficio económico en virtud de la comisión de la infracción. (ii) No reincidió en la comisión de la falta investigada.
(iii) No se resistió ni obstruyó la acción investigadora de esta Superintendencia. (iv) No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia. Finalmente, tampoco dio aplicación al único criterio de atenuación de la sanción establecido en el literal f) del citado artículo, pues, no reconoció ni aceptó la comisión de la conducta vulneradora del derecho.
Con lo anterior, se concluye que los criterios de graduación contrario a lo indicado por el RECURRENTE sí fueron valorados por parte de la Dirección, sin embargo, no fueron “aplicados” al momento en que fue graduada la sanción impuesta, recuérdese que como lo dijo a Corte Constitucional, los 5 primeros criterios se utilizan para agravarla y el último para atenuarla.
Así las cosas, este Despacho coincide con la valoración de los criterios de graduación realizada por la Dirección de Investigación de Protección de Datos Personales, la cual se ajusta además con los postulados del principio de legalidad. Por otro lado, en lo que tiene que ver con la aplicación de los criterios de graduación de las sanciones establecido en el artículo 50 9 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se le recuerda al RECURRENTE que éste no es aplicable a la actuación administrativa que nos ocupa, pues precisamente dicha norma limita su alcance al señalar expresamente la aplicación de los criterios de graduación en ella señalados, “salvo lo dispuesto en leyes especiales”.
La Ley 1581 de 2012, como legislación estatutaria especial, determina los principios, deberes y derechos que regulan el debido tratamiento de los datos personales, así mismo establece las clases de sanciones que podrá imponer esta Superintendencia en caso de su incumplimiento, así como los criterios de graduación aplicables (artículo 24).
Teniendo en cuenta la naturaleza de la presente actuación administrativa, no le son aplicables normas del orden general como son aquellas establecidas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Así las cosas, considera el Despacho que el argumento esbozado en el escrito de apelación relacionado con la exigencia de la materialización de un daño no está llamado a prosperar.
Así las cosas, considera el Despacho que el argumento relacionado con la aplicación de los criterios de graduación de la sanción no está llamado a prosperar. 3. Respecto de la Falta de Proporcionalidad de la Sanción. Sobre este aspecto en particular, consideró el RECURRENTE en su escrito lo siguiente: “La ausencia de valoración de todos los criterios previstos por la norma ostenta singular importancia en el caso concreto, pues una revisión juiciosa de cada uno de ellos daría lugar a una calificación muy diferente de la presunta falta endilgada a mi mandante, a diferencia de lo ocurrido en el acto que se impugna.
Sin embargo, la SIC se abstuvo de manera injustificada de realizar su valoración de cara a estimar e imponer una sanción razonable y proporcionada” Las decisiones de la autoridad administrativa, cuando crean obligaciones, califiquen infracciones, impongan sanciones, o establezcan restricciones a los administrados, deben adaptarse dentro de los límites de la facultad atribuida y manteniendo la debida proporción entre los medios a emplear y los fines públicos que posea, al fin que responsan a lo estrictamente necesarios para la satisfacción de su función y el cumplimiento de los deberes que le han sido encomendados mediante la Constitución y las leyes.
Por consiguiente, es deber de la Superintendencia de Industria y Comercio dentro del caso objeto de estudio, haber analizado y sustentado a la luz de la norma, cada uno de los criterios que se encuentran señalados 9 ARTÍCULO
50. GRADUACIÓN DE LAS SANCIONES. Salvo lo dispuesto en leyes especiales, la gravedad de las faltas y el rigor de las sanciones por infracciones administrativas se graduarán atendiendo a los siguientes criterios, en cuanto resultaren aplicables: 1. Daño o peligro generado a los intereses jurídicos tutelados. 2. Beneficio económico obtenido por el infractor para sí o a favor de un tercero. 3.
Reincidencia en la comisión de la infracción. 4. Resistencia, negativa u obstrucción a la acción investigadora o de supervisión. 5. Utilización de medios fraudulentos o utilización de persona interpuesta para ocultar la infracción u ocultar sus efectos. 6. Grado de prudencia y diligencia con que se hayan atendido los deberes o se hayan aplicado las normas legales pertinentes. 7.
Renuencia o desacato en el cumplimiento de las órdenes impartidas por la autoridad competente. 8. Reconocimiento o aceptación expresa de la infracción antes del decreto de pruebas. (énfasis añadido) RESOLUCIÓN NÚMERO 49994 DE 2023 taxativamente en las normas, y con base en éstos haber proferido una decisión lógica y acorde con las circunstancias de modo que rodearon el caso.
De este modo, no se encuentra justificación en la posición adoptada por su Despacho al omitir tener en cuenta al momento de graduar la sanción los criterios aducidos, Por lo que se cuestiona la motivación del acto administrativo en el sentido de carecer de las razones por las cuales el monto de la sanción no fue graduado de conformidad con las circunstancias que rodearon el caso, así como de los criterios previstos en las normas.
En ese sentido, no se explica cuáles fueron las razones y criterios analizados por parte de la SIC para tasar e imponer la sanción, que ahora se recurre puesto que no realizó ninguna clase de valoración que sustentara y motivara tal decisión en los términos exigidos por nuestro ordenamiento jurídico, lo cual raya en lo ilegal puesto que se trata de una decisión que no contempló los criterios mínimos a tener en cuenta en un caso de esta naturaleza.
Llama poderosamente la atención el hecho incuestionable que en el acto administrativo sancionatorio su Despacho efectuó unas consideraciones bastante genéricas sobre los criterios que se deben tener en cuenta la momento de ejercerse la potestad sancionatoria, pero no logra probar la configuración de ninguno de ellos ni como realizó la valoración del criterio de proporcionalidad a fin de evitar la subjetividad y la arbitrariedad de la dosimetría sancionatoria como ha acaecido en el caso particular”.
Respecto al principio de proporcionalidad de la sanción, resulta necesario en primer lugar indicar que el artículo 29 de la Constitución Política, dispone que nadie podrá ser juzgado sino conforme a las leyes preexistentes al acto que se le imputa, se traduce este aspecto, en el respeto al principio de legalidad, el cual exige que las infracciones y las sanciones estén contenidas en la norma, y estas, deben ser proporcionales a aquellas.
Sobre este punto en particular, la Corte Constitucional al revisar la constitucionalidad de la Ley 1581 de 2012, manifestó lo siguiente: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.”10 Considera el RECURRENTE que la sanción impuesta por la Dirección no es proporcional, en la medida que, -insiste- no se tuvieron en cuenta todos los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012.
Al respecto, como se dijo en líneas anteriores, la Dirección de Investigación de Protección de Datos Personales, efectivamente valoró cada uno de los criterios de graduación al momento de la imposición de la sanción que se revisa, llegando a la conclusión que sólo se tendría en cuenta, el criterio de agravación establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, por lo que a juicio de este Despacho la sanción impuesta a COLOMBIA TELECOMUNICACIONES se ajusta a los principios de legalidad y proporcionalidad.
Finalmente, es preciso destacar que, para determinar el monto de la sanción, la Dirección consideró diversos factores, como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, los deberes incumplidos. Por lo tanto, se evidencia que todo esto se ha evaluado, en congruencia con los principios de proporcionalidad y razonabilidad.
Se recuerda que las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia de la vulneración de las disposiciones de 10 Corte Constitucional. Sentencia C-748 de 2011 RESOLUCIÓN NÚMERO 49994 DE 2023 la citada ley, buscando promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental de Habeas Data11.
Adicionalmente, el artículo 23 de la Ley 1581 de 2012, establece un monto límite que se debe tener en cuenta cuando se imponga una sanción de carácter pecuniario, siendo este de dos mil (2000) salarios mínimos legales mensuales vigentes, por lo que el valor impuesto en el acto administrativo que se revisa corresponde al 4.00% de ese límite dispuesto en la Ley.
Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta a COLOMBIA TELECOMUNICACIONES ($80.036.424), corresponde al 4.00% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). ii. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa por el incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables. iii.
La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular de los mandatos legales señalados. iv.
Las sanciones que se imponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales. Por consiguiente, este Despacho considera que la sanción impuesta es proporcional, en consideración a los hechos que le sirvieron de causa y a la motivación del acto administrativo recurrido encontrando su justificación en la naturaleza de las normas violadas y en el límite dado por el legislador en el artículo 23 de la Ley 1581 de 2012.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución No. 54056 del 12 de agosto de 2022. 4. Conclusiones. a) COLOMBIA TELECOMUNICACIONES incumplió con los deberes establecidos en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma ley y (ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) de la misma norma, por cuanto no allegó a la presente actuación administrativa la autorización previa para el tratamiento de los datos personales del señor Xxxxxx Xxxxxxx, y tampoco informó sobre la finalidad de éste. b) La sanción impuesta en la Resolución No. 54056 del 12 de agosto de 2022, cumple con los principios de legalidad y proporcionalidad, en la medida que para su imposición se valoraron cada uno de los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012. c) La multa impuesta a COLOMBIA TELECOMUNICACIONES corresponde al 4.00% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
En mérito de lo expuesto, este Despacho 11 La Corte Constitucional en sentencia C – 818 del 9 de agosto de 2005, Magistrado Ponente: Dr. Rodrigo escobar Gil, respecto del derecho administrativo sancionador, manifestó: “Es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas. RESOLUCIÓN NÚMERO 49994 DE 2023 RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 54056 del 12 de agosto de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR la presente decisión a la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC, identificada con Nit. 830.122.566-1, a través de su representante legal y/o su apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR el contenido del presente acto administrativo al señor XXXXXX XXXX XXXXXX XXXXXXX, identificado con la cédula de ciudadanía No. XX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., agosto 23 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.08.23 16:13:21 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ NTL RESOLUCIÓN NÚMERO 49994 DE 2023 NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Correo Electrónico: COLOMBIA TELECOMUNICACIONES S.A E.S.P. BIC Nit. 830.122.566-1 FABIAN ANDRES HERNANDEZ RAMIREZ C.C. 93.380.737 Transversal 60 No. 114 A – 55 notificacionesjudiciales@telefonica.com Apoderado Especial: Identificación: Tarjeta Profesional: Dirección: Correo electrónico: ANDRES TRUJILLO MAZA C.C. 79.867.029 106.702 del C.S. de la J Transversal 60 No. 114 A – 55 jefaturasegundainstancia.co@telefonica.com COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXX XXXX XXXXXX XXXXXX C.C. XX.XXX.XXX xxxxxxxxxxxxxxxxxxxxxx