REPÚBLICA DE COLOMBIA (16 JUNIO 2023) “Por la cual se impone una sanción” VERSIÓN ÚNICA Radicación: 20-120564 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y
CONSIDERANDO
PRIMERO: Que la Dirección de Investigación de Protección de Datos Personales en virtud de la función de vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen de Protección de Datos Personales otorgada por el artículo 19 de la Ley 1581 de 2012, y conforme a la función de administración del Registro Nacional Público de Bases de Datos – en adelante RNBD- consagrada en el literal h) del artículo 21 ibídem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, advirtió que la sociedad ÉTICA ORAL LIMITADA, identificada con Nit. 800.176.600-7, llevó a cabo el Registro Nacional de Base de Datos según lo establecido por el artículo 25 de la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015, y frente al cuestionario de sobre “MEDIDAS DE SEGURIDAD DE LA INFORMACIÓN”, reconoció que: i) no ha implementado acuerdos de confidencialidad con las personas que tienen acceso a la información personal, ii) no cuenta con un procedimiento para la Gestión de usuarios con acceso a la información personal, iii) no ha implementado una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final) y iv) no cuenta con una política y procedimientos implementados de gestión de incidentes de seguridad de la información personal.
SEGUNDO: Que mediante Resolución número 31987 del 26 de junio de 2020, expedida por esta Dirección a través del Grupo de Investigación de Protección de Datos Personales, se ordenó lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ÉTICA ORAL LIMITADA identificada con NIT. 800.176.600) (sic) que, en su calidad de responsable del Tratamiento, cumpla con la siguiente orden: 1.1 Implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal. 1.2 Documentar e implementar una Política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final). 1.3 Incluir dentro de la Política de tratamiento de Datos Personales implementada por la sociedad (i) señalar la información a incluir lo siguiente: (i) Informar todos los derechos que le asisten como titular de la información consagrados en el artículo 8 de la Ley 1581 de 2012.
(ii) Señalar el período de vigencia de la base de datos.” HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA TERCERO: Que, la investigada tenía la obligación de acreditar el cumplimiento de las órdenes dadas en la Resolución número 31987 del 26 de junio de 2020, remitiendo a esta Superintendencia una certificación suscrita por el representante legal de la sociedad ÉTICA ORAL LIMITADA, que acreditara que se habían implementado las medidas ordenadas como se indicó en el parágrafo primero y segundo del artículo primero así: “ARTÍCULO SEGUNDO: La sociedad mencionada deberá cumplir lo ordenado en esta resolución dentro de los SEIS (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO PRIMERO: La sociedad mencionada, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto señalado en el parágrafo anterior. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.
Dicha certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas por esta Dirección y que las mismas están operando con suficiente efectividad.”
CUARTO: Que la sociedad ÉTICA ORAL LIMITADA, identificada con Nit. 800.176.600-7, fue notificada de la Resolución número 31987 del 26 de junio de 2020, mediante la notificación por aviso número 14143 del 15 de julio de 2020, de conformidad con la certificación expedida por la Secretaria General Ad- Hoc de esta Superintendencia.
QUINTO: Que, vencido el término establecido en el parágrafo primero del artículo segundo de la Resolución número 31987 del 26 de junio de 2020, la sociedad ÉTICA ORAL LIMITADA, identificada con Nit. 800.176.600-7 no ha acreditado el cumplimiento de las órdenes impartidas por este Despacho.
SEXTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 14 de septiembre de 2022 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 63124, por medio de la cual se formularon cargos a la sociedad ÉTICA ORAL LIMITADA, por el presunto incumplimiento del literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 de la misma norma.
SÉPTIMO: Que la Resolución N° 63124 del 14 de septiembre de 2022 fue notificada mediante aviso N° 24306 el 26 de septiembre de 2022 a la sociedad ÉTICA ORAL LIMITADA, de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 20-120564- -13 del 27 de septiembre de 2022.
OCTAVO: Que, la sociedad ÉTICA ORAL LIMITADA no presentó escritos de descargos ante este Despacho.
NOVENO: Que, mediante Resolución N° 4442 de 13 de febrero de 2023, esta Dirección: (i) Incorporó las siguientes pruebas del expediente radicado bajo el número 20-120564, con el valor legal correspondiente: 9.1 Resolución No. 31987 de 26 de junio de 2020. (ii) Así mismo, se cerró la etapa probatoria y se corrió traslado a la investigada para alegar de conclusión, en caso de que la misma lo considerara pertinente.
DÉCIMO: Que, la Resolución N° 4442 de 13 de febrero de 2023 le fue comunicada a la investigada el 13 de febrero de 2023, de conformidad con la certificación radicada bajo el número 20-120564- 17 de 23 de febrero de 2023 expedida por la Secretaría General de esta Superintendencia.
DÉCIMO PRIMERO: Que, mediante escritos presentados el 7 de marzo de 2023 bajo radicados número 20-120564- -18 y 20-120564- -19 la investigada presentó los respectivos alegatos indicando: “(…) se solicita rendir los alegatos respectivos en los siguientes términos: HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA 1. Según la circular 003 del 1 de agosto de 2018 la superintendencia de industria y comercio estableció el plazo para realizar la inscripción de las bases de datos en el RNBD. 2.
La sociedad ETICA ORAL LIMITADA llevo a cabo el registro nacional de bases de datos en julio de 2020 cumpliendo con lo establecido en la circular 003 sin tener en cuenta que no estaba obligada a inscribirse como lo indica el artículo 1 del decreto 090 de 2018 de la SIC que dice: “Serán objeto de inscripción en el Registro Nacional de Bases de Datos las bases de datos que contengan datos personales cuyo tratamiento automatizado o manual sea realizado por los responsables del tratamiento que reúna las siguientes características: a) Sociedades y entidades sin ánimo de libro que tengan activos totales superiores a 100.000 Unidades de valor tributario (UVT).” 3.
Ética Oral presenta los siguientes Activos totales: Año 2018: $146.126.177 4.407 UVT Año 2019: $136.906.713 3.995 UVT Año 2020: $190.773.768 5.358 UVT Año 2021: $162.570.369 4.477 UVT Año 2022: $205.121.838 5.397 UVT Ética Oral dando cumplimiento a la circular 003, por error realizo dicho registro, pero como bien lo establece el artículo 1 del Decreto 090 de 2018 de la SIC No estamos obligados a dar cumplimiento a dicha circular.
(…) Como se puede evidenciar en los estados financieros ETICA ORAL NO supera a 100.000 unidades de UVT. Efectivamente cometimos un error al realizar la inscripción, pero Ética Oral se acoge a lo establecido el Decreto 090 de 2018. ”1 DECIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio Que el artículo 19 de la Ley 1581 de 2012 ordena a la Superintendencia de Industria y Comercio (SIC), como autoridad de protección de datos personales, ejercer vigilancia “para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.
DECIMO TERCERO: Análisis del caso 13.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal 1 Expediente Digital. Consecutivo número 19. Página 2. Folios 1 a 3 HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 de la misma norma.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de sanciones para lo cual se deberán tener el conjunto de pruebas obrantes en el expediente. 13.1 Valoración probatoria 13.2.1 Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentran las siguientes: “Artículo 21.
Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (ordenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.
En el presente caso, se encuentra que a través de la Resolución N° 63124 del 14 de septiembre de 2022 este Despacho estableció: “En el caso objeto de estudio, la Dirección de Investigación de Datos Personales evidenció preliminarmente que la sociedad ÉTICA ORAL LIMITADA adolece de medidas para conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Así mismo, se evidenció que si bien la investigada implementó una Política para el Tratamiento de Datos Personales, la misma no cuenta con los requisitos establecidos en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, finalmente, se pudo constatar que la sociedad no implementó una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final), por lo que mediante la Resolución 31987 del 26 de junio de 2020, ordenó con carácter preventivo a la sociedad ÉTICA ORAL LIMITADA lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ÉTICA ORAL LIMITADA identificada con NIT. 800.176.600) (sic) que, en su calidad de responsable del Tratamiento, cumpla con la siguiente orden: 1.1 Implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal.
HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA 1.2 Documentar e implementar una Política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final). 1.3 Incluir dentro de la Política de tratamiento de Datos Personales implementada por la sociedad (i) señalar la información a incluir lo siguiente: (i) Informar todos los derechos que le asisten como titular de la información consagrados en el artículo 8 de la Ley 1581 de 2012.
(ii) Señalar el período de vigencia de la base de datos.” Así pues, este Despacho encuentra preliminarmente que la sociedad investigada fue notificada mediante el aviso número 14143 del 15 de julio de 2020, el cual fue remitido a la dirección de notificación judicial (servietica@yahoo.com) establecida por la investigada en su certificado de existencia y representación, y luego de transcurrir el término legal establecido en el artículo segundo de la Resolución número 31987 del 26 de junio de 2020, de seis (6) meses siguientes a la ejecutoria de la decisión para cumplir con lo ordenado, y en el parágrafo primero de la misma resolución, de cinco (5) días hábiles siguientes a la expiración del primer término señalado para acreditar ante esta Superintendencia el cumplimiento de lo ordenado mediante una certificación emitida por el representante legal, se ha constatado que la misma aún no ha remitido comunicación alguna que permita acreditar el cumplimiento de la orden impartida.
Con fundamento en lo anterior, preliminarmente se infiere que la sociedad investigada no cumplió con las órdenes preventivas impartidas por este Despacho a través de la Resolución número 31987 del 26 de junio de 2020, conducta que se subsume típicamente en una presunta infracción al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 ejúsdem.
Por lo anterior, este Despacho procederá a adelantar la correspondiente investigación administrativa.”2 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1. La Resolución No. 31987 del 26 de junio de 2020 le fue notificada a la investigada mediante aviso N° 14143 el día 15 de julio de 2020, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 20-120564- -6 del 12 de agosto de 2020.
Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 30 de julio del 2020, de modo que la Resolución en cuestión quedó en firme a partir del 31 de julio del 2020. Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de seis (6) meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, es claro que el plazo para dar cumplimiento a estas vencía el 1 de febrero del 2021.
De igual forma, tomando en consideración que la sociedad debía acreditar el cumplimiento de lo ordenado dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto, se evidencia que la sociedad tenía hasta el 8 de febrero de 2021 para acreditar el cumplimiento de lo ordenado en la Resolución en mención. 2. La investigada guardó silencio, y no acreditó el cumplimiento de las órdenes administrativas impartidas en la Resolución N° 31987 del 26 de junio de 2020 dentro del término legal. 3.
La investigada mediante escritos presentados el 7 de marzo de 2023 bajo radicados números 20-120564- -18 y 20-120564- -19 indicó: “(…) se solicita rendir los alegatos respectivos en los siguientes términos: 1. Según la circular 003 del 1 de agosto de 2018 la superintendencia de industria y comercio estableció el plazo para realizar la inscripción de las bases de datos en el RNBD. 2.
La sociedad ETICA ORAL LIMITADA llevo a cabo el registro nacional de bases de datos en julio de 2020 cumpliendo con lo establecido en la circular 003 sin tener en cuenta que no estaba obligada a inscribirse como lo indica el artículo 1 del decreto 090 de 2018 de la SIC que dice: “Serán objeto de inscripción en el Registro Nacional de Bases de Datos las bases de datos que contengan datos personales cuyo tratamiento automatizado o 2 Resolución N° 63124 del 14 de septiembre.
Folio 3. HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA manual sea realizado por los responsables del tratamiento que reúna las siguientes características: b) Sociedades y entidades sin ánimo de libro que tengan activos totales superiores a 100.000 Unidades de valor tributario (UVT).” 3. Ética Oral presenta los siguientes Activos totales: Año 2018: $146.126.177 4.407 UVT Año 2019: $136.906.713 3.995 UVT Año 2020: $190.773.768 5.358 UVT Año 2021: $162.570.369 4.477 UVT Año 2022: $205.121.838 5.397 UVT Ética Oral dando cumplimiento a la circular 003, por error realizo dicho registro, pero como bien lo establece el artículo 1 del Decreto 090 de 2018 de la SIC No estamos obligados a dar cumplimiento a dicha circular.
(…) Como se puede evidenciar en los estados financieros ETICA ORAL NO supera a 100.000 unidades de UVT. Efectivamente cometimos un error al realizar la inscripción, pero Ética Oral se acoge a lo establecido el Decreto 090 de 2018. ”3 De igual forma, la sociedad aportó los estados financieros de los años 20184, 20195, 20206, 20217 y 20228.
Por lo anterior, una vez revisado nuevamente el expediente se tiene que la sociedad ÉTICA ORAL LIMITADA efectivamente no estaba obligada a inscribirse en el Registro Nacional de Bases de Datos - RNBD en virtud de lo establecido en el Decreto 090 de 2018:
ARTÍCULO 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así: "ARTÍCULO 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública".
Así, tomando en consideración de acuerdo a las pruebas remitidas que los activos de la sociedad ÉTICA ORAL LIMITADA no ascienden a los 100.000 UVT, este Despacho evidencia que la obligación contenida en la norma no le era exigible a la sociedad ÉTICA ORAL LIMITADA. No obstante, el anterior deber no exime a la investigada del cumplimiento de los demás deberes establecidos en la Ley 1581 de 2012.
Por una parte, al Decreto 090 de 2018 establece un deber de registrar las bases de datos en el RNBD a Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). Y por otra parte, la Ley 1581 de 2012 establece los deberes específicos que deben cumplir los Responsables del tratamiento de los datos de los Titulares.
Bajo ese entendido la sociedad ÉTICA ORAL LIMITADA aunque no tiene el deber legal de inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), si tiene la obligación de acuerdo al literal o) del artículo 17 de la ley 1581 de 2012 de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. 3 Expediente Digital.
Consecutivo número 19. Página 2. Folios 1 a 3 4 Expediente Digital. Consecutivo número 19. Página 2. Folios 4 a 8. 5 Expediente Digital. Consecutivo número 19. Página 2. Folios 9. 6 Expediente Digital. Consecutivo número 19. Página 2. Folios 10 a 12. 7 Expediente Digital. Consecutivo número 19. Página 2. Folios 13 a 15. 8 Expediente Digital.
Consecutivo número 19. Página 2. Folios 16 a 18. HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA Al respecto, este Despacho destaca que mediante Resolución No. 31987 del 26 de junio de 2020, se ordenó con carácter preventivo a la sociedad ÉTICA ORAL LIMITADA lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ÉTICA ORAL LIMITADA identificada con NIT. 800.176.600) (sic) que, en su calidad de responsable del Tratamiento, cumpla con la siguiente orden: 1.1 Implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal. 1.2 Documentar e implementar una Política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final). 1.3 Incluir dentro de la Política de tratamiento de Datos Personales implementada por la sociedad (i) señalar la información a incluir lo siguiente: (i) Informar todos los derechos que le asisten como titular de la información consagrados en el artículo 8 de la Ley 1581 de 2012.
(ii) Señalar el período de vigencia de la base de datos.” Sin embargo, la sociedad nunca acreditó ante este Despacho el cumplimiento de las órdenes impartidas en la Resolución No. 31987 del 26 de junio de 2020. Por lo tanto, se evidencia que la sociedad investigada, de manera negligente, incumplió el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.
Por ende, este Despacho procederá a imponer una sanción a la sociedad ÉTICA ORAL LIMITADA.
DÉCIMO CUARTO: CONCLUSIÓN Este Despacho evidenció que: (i) La sociedad ÉTICA ORAL LIMITADA nunca acreditó ante este Despacho el cumplimiento de las órdenes administrativas impartidas en la Resolución No. 31987 del 26 de junio de 2020. DÉCIMO QUINTO Imposición y graduación de la sanción 15.1. Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23, el cual señala lo siguiente: “ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Por una otra, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional9 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la 9 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada. Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulta excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad10 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad11”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia12.
La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2313 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 11 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos. 12 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 13 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.
HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA 15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad14” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados15.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por cuanto se encontró demostrado que la sociedad de manera negligente incumplió el deber de cumplir las instrucciones y requerimientos que imparta la las ordenes administrativas impartidas en la Resolución No. 31987 del 26 de junio de 2020.
Así las cosas, como sanción esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de DOS MILLONES CIENTO VEINTE MIL SEISCIENTOS PESOS M/CTE ($2.120.600) equivalente a CINCUENTA (50) Unidades de Valor Tributario (UVT)16, por la vulneración del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem. 15.1.2 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, 14 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 15 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” La Dirección de Impuestos y Aduanas Nacionales –DIAN- mediante la Resolución 1264 del 18 de noviembre del 2022, fijó en $42.412 el valor de la unidad de valor tributario (UVT), que entra a regir a partir del 1º de enero del 2023.
HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; Así mismo, no se beneficiará del criterio de atenuación del literal f) ibídem, en la medida en que la sociedad no reconoció la infracción de los cargos.
DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ÉTICA ORAL LIMITADA identificada con NIT. 800.176.600-7, con el correo electrónico de notificación judicial: servietica@yahoo.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-120564. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ÉTICA ORAL LIMITADA identificada con NIT 800.176.600-7 de DOS MILLONES CIENTO VEINTE MIL SEISCIENTOS PESOS M/CTE ($2.120.600) equivalente a CINCUENTA (50) Unidades de Valor Tributario (UVT), por el incumplimiento a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales e) y f) del artículo 21 ejúsdem.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ÉTICA ORAL LIMITADA, identificada con NIT 800.176.600-7, a través de su representante legal y apoderados especiales, entregándoles copia de esta Resolución e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO TERCERO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co" contactenos@sic.gov.co - HOJA “Por la cual se impone una sanción” VERSIÓN ÚNICA Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 16 JUNIO 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2023.06.16 12:12:07 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: ÉTICA ORAL LIMITADA N.I.T. 800.176.600-7 HUMBERTO VILA VALERA C.C. No. 79.151.462 CLL 127 No. 19 A - 44 / 62 P2 CONS 202-203- ACOMEDICA 2 Bogotá D.C. servietica@yahoo.com