(07 FEBRERO DE 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÙNICA Radicación 20-221206 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 4 del artículo 17 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022) y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 39504 del 28 de junio de 2021, este Despacho respecto de la actuación iniciada contra la CÁMARA DE COMERCIO DE CUCUTA identificada con el Nit. 890.500.513-1 (en adelante la CÁMARA DE COMERCIO), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 de NOVENTA MILLONES SETECIENTOS SETENTA MIL PESOS MCTE ($90.770.000) equivalentes a 2.500 UVT Unidad de Valor Tributario, por la vulneración de lo dispuesto en las normas que se relacionan a continuación, respecto de los formularios (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;
(ii) Contacto para Revisión de Actas y (iii) Preinscribirme, así: i. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. ii. El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.
(…)
ARTÍCULO SEGUNDO: ORDENAR a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 que realice, si no lo ha hecho, las actividades necesarias para subsanar las observaciones que hizo este Despacho respecto al documento que contiene la Política de Tratamiento de la Información relacionada con el numeral 6 del artículo 2.2.2.2.25.3.1 del Decreto 1074 de 2015.
ARTÍCULO TERCERO: ORDENAR a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 que realice, si no lo ha hecho, las actividades necesarias para subsanar las observaciones que hizo este Despacho, respecto de los numerales 7 y 9 de los formularios Contáctenos y Formación Empresarial, respectivamente.
ARTÍCULO CUARTO: La CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1, deberá acreditar el cumplimiento de lo ordenado en los artículos segundo y tercero ante esta Superintendencia dentro de los veinte (20) días hábiles siguientes notificación del presente acto administrativo.
PARÁGRAFO. El incumplimiento de lo ordenado en el presente acto administrativo hará a la CÁMARA DE COMERCIO DE CÚCUTA, acreedora de las sanciones previstas en la Ley.
ARTÍCULO QUINTO: ARCHIVAR el cargo formulado en el artículo segundo de la Resolución 62807 del 7 de octubre de 2020, de conformidad con la parte considerativa del presente acto administrativo”.
SEGUNDO. Que, la Resolución No. 39504 del 28 de junio de 2021 se notificó de manera electrónica el día 28 de junio de 2021, a la CÁMARA DE COMERCIO, según consta en la certificación expedida por la Secretaría General de este Superintendencia, radicada bajo el número 20-221206 del 13 de julio de 2021.
TERCERO. Que, dentro del término concedido para el efecto, mediante escrito radicado el 13 de julio de 2021, bajo el número 20-2212206-26, la CÁMARA DE COMERCIO, a través de su “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Presidente Ejecutivo (en adelante el RECURRENTE) interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 39504 del 28 de junio de 2021, en los siguientes términos: “HECHOS:
PRIMERO: Mediante Resolución No. 62807 de 2020, la Superintendencia de Industria y Comercio (SIC), formuló pliego de cargos en contra de la Cámara de Comercio de Cúcuta (CCC).
SEGUNDO: Con ocasión de la resolución que trata el hecho PRIMERO, el 22 y 23 de octubre de 2020 la CCC realizó mejoras en cuanto a los requerimientos realizados por la SIC, situación que demuestra la buena fe y la disposición de la CCC para dar cumplimiento a la Ley de Protección de Datos Personales.
TERCERO: El día 28 de octubre de 2020, la CCC presentó escrito de descargos ante la SIC y allegó las pruebas dentro del proceso.
CUARTO: Mediante Resolución No. 11000 del 4 de marzo de 2021, la SIC incorpora las pruebas aportadas por la CCC en el escrito de descargos.
QUINTO: El día 18 de marzo de 2021 la CCC presentó escrito de alegatos de conclusión ante la SIC.
SEXTO: La SIC impone sanción a la CCC mediante Resolución No. 39504 del 28 de junio de 2021, por la suma de Noventa Millones Setecientos Setenta Mil Pesos ($90.770.000) M/cte equivalentes a 2.500 UVT Unidad de Valor Tributario, por la vulneración de la Ley de Protección de Datos en los formularios (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;
(ii) Contacto para Revisión de Actas y (iii) Preinscribirme.
SÉPTIMO: En la misma resolución que trata el hecho SEXTO, la SIC ordenó la subsanación de la Política de Tratamiento de Datos Personales de la Información y los formularios Contáctenos y Formación Empresarial. Esta subsanación debe ser presentada ante la SIC en el término de 20 días hábiles siguientes a la notificación del acto administrativo.
(Artículos segundo y tercero de la Resolución No. 39504 del 28 de junio de 2021).
OCTAVO: Es importante manifestar que, el reconocimiento de la CCC no fue expreso sino tácito y se demuestra con que la entidad realizó las actividades necesarias para cumplir con la Ley de Protección de Datos Personales y dar cabal cumplimiento a los requerimientos solicitados por la SIC.
NOVENO: En tal sentido, a continuación, se muestra mediante “pantallazos” cada uno de los formularios que dieron origen a la sanción, y también las modificaciones que se hicieron a los mismos para dar cumplimiento a las ordenes impartidas por la SIC en relación con la Ley de Protección de Datos Personales. 9.1 El formulario Contáctenos fue eliminado de la página web de la entidad desde el mes de marzo del presente año y reemplazado por el formulario de Asesoría Virtual, tal y como consta en los pantallazos que se allegan a continuación: Formulario anterior Contáctenos: Formulario actual Servicios Virtuales: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA 9.2 El formulario de Fortalecimiento Empresarial fue modificado siguiendo las pautas establecidas por la SIC, tal y como consta en los pantallazos que se allegan a continuación: Formulario anterior Fortalecimiento Empresarial: Formulario actual Fortalecimiento Empresarial: 9.3 El formulario de Preinscribirme fue modificado siguiendo las pautas establecidas por la SIC, tal y como consta en los pantallazos que se allegan a continuación: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Formulario anterior Preinscribirme: Formulario actual Preincribirme: 9.4 El formulario de Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones fue modificado siguiendo las pautas establecidas por la SIC, tal y como consta en los pantallazos que se allegan a continuación: Formulario anterior Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones (imagen en la siguiente página) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Formulario posterior Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones:
DÉCIMO: Como una acción de mejora, la CCC eliminó el formulario Contacto para Revisión de Actas de la página web de la entidad.
DÉCIMO PRIMERO: Es importante resaltar que los hechos que sirvieron de fundamento para sancionar a la CCC desaparecieron, actuación que demuestra la buena fe y el compromiso de la CCC para dar cabal cumplimiento al requerimiento de la SIC. PETICIONES PRIMERA: Sírvase MODIFICAR el artículo PRIMERO de la Resolución 39504 del 28 de junio de 2021, en el sentido de disminuir la sanción impuesta a la CCC, por las razones expuestas en los hechos.
SEGUNDA: En caso de no acceder a la petición anterior, sírvase enviarla al Superintendente Delegado para la Protección de Datos Personales para que resuelva el recurso de apelación y emita una decisión de fondo.
FUNDAMENTOS DE HECHO Y DE DERECHO Como fundamentos de derecho, el presente recurso se fundamenta en lo dispuesto en la Ley 1581 de 2012, el Decreto 1377 de 2013, el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y demás normas concordantes. Igualmente, tal y como se manifestó en los hechos, pese a que en efecto la CCC incumplió con la Ley de Protección de Datos Personales, ésta procuró resarcir su incumplimiento y en aras de acatar las ordenes de la SIC procedió a modificar y actualizar los formularios objeto de sanción, con base en las instrucciones impartidas por la Superintendencia. Es importante destacar que, desde antes de recibir la notificación del pliego de cargos, la CCC había realizado acciones de mejora, las cuales empezaron en agosto de 2020, tal y como se manifestó anteriormente, situación que demuestra que la entidad ha aunado sus mejores esfuerzos para enmendar los errores cometidos, los cuales han sido reconocidos tácitamente.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Por lo anteriormente expuesto y lo manifestado en los hechos, se solicita respetuosamente que la sanción impuesta sea reducida.
CUARTO. Que, previa verificación del cumplimiento de los requisitos contemplados en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, procede este Despacho a estudiar los argumentos expuestos en el recurso de reposición.
1. LA CONFIGURACIÓN DEL HECHO SUPERADO NO LIBRA DE RESPONSABILIDAD JURÍDICA A QUIEN VULNERA LA REGULACIÓN DE DATOS PERSONALES NI LO EXIME DE SER SANCIONADO POR INCUMPLIR LA LEY. Sostuvo el RECURRENTE en su escrito que “[e]s importante resaltar que los hechos que sirvieron de fundamento para sancionar a la CCC desaparecieron, actuación que demuestra la buena fe y el compromiso de la CCC para dar cabal cumplimiento al requerimiento de la SIC”.
Es importante destacar que, desde antes de recibir la notificación del pliego de cargos, la CCC había realizado acciones de mejora, las cuales empezaron en agosto de 2020, tal y como se manifestó anteriormente, situación que demuestra que la entidad ha aunado sus mejores esfuerzos para enmendar los errores cometidos, los cuales han sido reconocidos tácitamente.
Sobre el particular, resulta importante señalar que, ni la responsabilidad, ni la sanción frente al incumplimiento del régimen jurídico de protección de Datos Personales, se desvanece ante la configuración de un hecho superado. Dentro de la presente actuación administrativa se demostró que la CÁMARA DE COMERCIO vulneró las normas de protección de datos personales, relacionadas con los deberes establecidos en los literales b) y c) del artículo 17 de la Ley 1581 de 2012, pues al momento en que se realizó la preservación del sitio web de la entidad, los formularios (i) Quejas, Reclamos, Sugerencias / Solicitudes y Felicitaciones (ii) Contacto para Revisión de Actas y (iii) Preinscribirme, no se solicitaba la autorización previa a los titulares ni tampoco se les informaba la finalidad para la cual se estaba recolectando la información personal.
El hecho superado recuerda el Despacho, tiene lugar cuando en el curso de la actuación administrativa o incluso antes de iniciada la misma, desaparece la amenaza o cesa la vulneración del derecho fundamental -habeas data- que motivó el inicio de una actuación administrativa de oficio o a petición de parte, evento en el cual las acciones que realice la administración para su salvaguarda resultarían innecesarias.
No obstante, es necesario precisar que, aún cuando la CÁMARA DE COMERCIO, haya realizado las actividades necesarias para que la vulneración cesara, tal y como lo señaló el RECURRENTE, la Ley 1581 de 2012 otorga a esta Superintendencia, funciones especiales en el ejercicio de su actividad de vigilancia que permiten el inicio de la respectiva investigación administrativa de carácter sancionatorio, y cuyo resultado puede ser la imposición de una sanción de carácter pecuniario.
Así las cosas, este Despacho reitera que la implementación de medidas efectivas para la protección de los datos personales sólo tuvo ocurrencia cuando la presente actuación administrativa ya había iniciado, situación que no la exonera del cumplimiento de los deberes establecidos en la Ley 1581 de 2012, en su calidad de Responsable del tratamiento.
La multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz, lo cual no fue lo que resultó demostrado en el presente caso. En este orden de ideas, se confirmará la sanción impuesta a la CÁMARA DE COMERCIO en los términos establecidos en el acto administrativo que se revisa.
2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA El artículo 231, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “Potestad sancionatoria”, la Corte Constitucional ha señalado: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.
Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.”2 En el mismo sentido, y en relación con los principios3 señalados, dicha corporación por medio de la Sentencia C-948 de 2002 manifestó: “En la doctrina[36]4se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.
Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta[37]5), de proporcionalidad o el denominado non bis in ídem”.
Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.
Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”6. Por lo tanto, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Corte Constitucional. Sentencia C-748 de 2011 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 [36] Juan Alfonso Santamaría Pastor.
Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. [37] Ver Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.
Arandazi. Madrid. 1996. [203] Sentencia C-406 de 2004. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA una connotación sancionable por mandato legal. En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”7.
Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia 748 de 2011 sostuvo: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Se concluye entonces que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que la administración pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del Tratamiento de la información. Así las cosas, en el caso bajo estudio, se dan los presupuestos requeridos para determinar que la conducta desplegada por la CÁMARA DE COMERCIO vulneró las normas de protección del derecho de habeas data relacionadas con el deber de solicitar la autorización previa e informar al titular sobre la finalidad de la recolección de los datos personales.
Por su parte, el artículo 24, ordena que “las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Como se observa, este último establece los factores o elementos de juicio pertinentes que, según las particularidades de cada caso, se deben aplicar para imponer una sanción, respetando las garantías del artículo 29 constitucional8.. Esos criterios, según la Sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una de atenuación o disminución de la sanción, correspondiente al literal f).
Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de Datos personales debe analizar los criterios de graduación que sean pertinentes o, como lo indica el artículo 24 de la Ley 1581 de 2012 que “resulten aplicables” con miras a establecer cómo se usan en el caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Nótese que la parte final del párrafo primero de dicho artículo no exige la aplicación en abstracto de todos los factores mencionados en el mismo, sino la consideración de aquellos que, según las particularidades de cada caso, sean apropiados.
Ahora bien, respecto de la solicitud de disminución de la sanción impuesta, resulta necesario indicarle que, para la aplicación de la citada circunstancia de atenuación, es requisito indispensable el reconocimiento o aceptación expresa de la comisión de la falta, con anterioridad a la imposición de la sanción. Sentencias C-827 de 2001 y C-343 de 2006.
Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la estimación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia impuesta en contra de la persona natural o jurídica que viole las disposiciones de la citada ley9. Ese efecto negativo tiene como finalidad no solo sancionar por violar las leyes sino promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el Derecho Fundamental a la Protección de Datos Personales, entre otros10.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de Datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el en el artículo 15 de la Constitución Política Nacional, y que, en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana; el buen nombre; la intimidad; etc.
Del mismo modo, la vulneración del Derecho Fundamental a la Protección de Datos Personales no solo afecta los derechos de una persona en particular, sino que, pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para comprender su notoria importancia en la sociedad. De conformidad con lo indicado, la sanción impuesta es proporcional si se tiene en cuenta que el monto límite de las sanciones establecido en el artículo 23 de la Ley 1581 de 2012 es de dos mil (2000) salarios mínimos legales mensuales vigentes, por lo que, la multa impuesta a la CÁMARA DE COMERCIO corresponde al 4.99%, del límite dispuesto en la ley.
3. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.
Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante11”. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Decreto 1074 de 2015, reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2.2.2.25.6.112 del citado Decreto, establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y El artículo 22 de la Ley 1581 de 2012 define que la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
(negrita añadida). Al respecto dijo la Corte Constitucional en la Sentencia C-748 de 2011: “Esta norma [el artículo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.” (negrita añadida) Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Cfr. Corte Constitucional, sentencia T-227 de 2003. El texto completo del artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 establece: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplircon las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
A su vez, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.” 13 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada14(accountability)15”.
El término “accountability”16, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.
Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza17 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los La naturaleza de los datos personales objeto del tratamiento.
El tipo de Tratamiento. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un req uerimiento de la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recol ectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva El texto completo del artículo 2.2.2.25.6.2. del Decreto 1074 de 2015 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas polít icas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respues ta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 2. 3. 4.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019.
Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimism o involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”18.
(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. 4.
CONCLUSIONES. a) La CÁMARA DE COMERCIO respecto de los formularios evaluados (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones; (ii) Contacto para Revisión de Actas y (iii) Preinscribirme, en la medida que no están desarrollando la función registral, están en la obligación de cumplir con los deberes relacionados en los literales b) y c) del artículo 17 de la Ley 1581 de 2012 y sus normas reglamentarias, sin que puedan ser exceptuadas de acuerdo con lo dispuesto en el artículo 10 de la citada Ley. b) La implementación de medidas en materia de protección de datos personales por parte de la CÁMARA DE COMERCIO, posterior al incumplimiento de los deberes que dio origen a la presente actuación administrativa, no la exonera de responsabilidad, ni tampoco de la imposición de la sanción correspondiente.
QUINTO. Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Se precisa que, con el fin de garantizar los derechos fundamentales de la CÁMARA DE COMERCIO DE CUCUTA, con Número de Identificación Tributaria 890.500.513-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial cindoccc@cccucuta.org.co quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la entidad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN NO RESERVADA Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la CÁMARA DE COMERCIO considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo expuesto, este Despacho.
RESUELVE
ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 39504 del 28 de junio de 2021, de conformidad con lo establecido en el presente acto administrativo.
ARTÍCULO SEGUNDO. CONCEDER el recurso subsidiario de apelación interpuesto en contra de la Resolución N° 39504 del 28 de junio de 2021, y en consecuencia trasladar el presente expediente al despacho del Superintendente Delegado para la Protección de Datos Personales, para que proceda de acuerdo con su competencia.
ARTÍCULO TERCERO. NOTIFICAR personalmente el contenido de la presente resolución a CÁMARA DE COMERCIO DE CUCUTA, identificada con Nit. 890.500.513-1 a través de su representante legal o quien haga sus veces, en calidad de investigada, entregándole copia de la misma.
ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 07 FEBRERO DE 2022 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2022.02.07 16:30:49 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: NTL Revisó: CESM Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CÁMARA DE COMERCIO DE CUCUTA Nit. 890.500.513-1 ARMANDO PEÑA CASTRO C.C. 88.233.703 Calle 10 No. 4 – 38 Torre A Piso 3 San José de Cúcuta (Norte de Santander) cindoccc@cccucuta.org.co