Resolución sancionatoria N° 31331 de 2021

(29 OCTUBRE 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-79100 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, mediante denuncia presentada ante esta Superintendencia, radicada con el número 19-079100-00000 del 3 de abril de 2019, la cual fue trasladada por competencia a este Despacho por la Delegatura para Asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio mediante Auto No. 18805 del 27 de febrero de 2019, al interior de la cual el señor xxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xxxxxxxxxx, manifestó que presuntamente la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT. 860.052.634-2, consignó “(…) el teléfono personal de mi residencia (…)”1, dentro de la facturación emitida por “Los Coches” como contacto de la Distribuidora, lo que ocasionó llamadas y correos masivos de clientes solicitando los servicios prestados por la sociedad.

SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar de los hechos narrados en la denuncia presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxx, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección recolectó los elementos materiales probatorios que se enlistan a continuación: 2.1 Oficio con radicado 19-079100-00003 del 3 de octubre de 2019, mediante el cual esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, solicitó a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., entre otras cosas que informara: “1) (…) por qué razón aparecieron los datos de contacto del señor xxxxxxxxxxxxxxx xxxxxxx en las facturas de la sociedad y por qué fueron enviados unos mensajes de confirmación de citas de otros clientes a su correo electrónico.

Especifique cómo ocurrieron los hechos. (…) 10) indique en cuantas facturas fue visible el número telefónico del señor XXXXXXXXXXX xxxxxx. (…) 12) informe que medidas se tomaron frente a los hechos denunciados por parte del señor xxxxxxxxxxxxxxxxxxxxxxx, y qué medidas se tomaron frente a los empleados o personas naturales que estuvieron involucrados.

(…) 14) Determine específicamente las fechas y el tiempo que estuvo el número telefónico de la residencia del denunciante en las facturas de la DISTRIBUIDORA LOS COCHES DE LA SABANA S.A.S como número de contacto. De igual forma manifieste el tiempo en 1 Denuncia con radicado 19-079100-00000 del 3 de abril de 2019. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” que las confirmaciones de las citas de sus clientes se remitieron al correo electrónico del señor xxxxxx.

(…)”. 2.2 Comunicación presentada ante esta Superintendencia, radicada con el número 19-07910000005 del 22 de octubre de 2019, mediante la cual la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., en atención al requerimiento enunciado en el numeral anterior, informó lo siguiente: “1. (…). • El día 17 de noviembre de 2018, el Sr. xxxxxxxxxxxxxxxxxxxxxxxx solicitó la prestación de un servicio técnico en el taller de Los Coches para un vehículo de su propiedad.

Como resultado de la prestación del servicio se generó la orden de trabajo No. 247161 con fecha del mismo día de la prestación del servicio. • Como parte del procedimiento interno para la generación de la respectiva orden de trabajo, el asesor técnico responsable de la prestación del servicio, procedió a la actualización de los datos del cliente para su inclusión en el sistema DMS, mediante el cual se gestiona el proceso de facturación de la Compañía. • Al momento de realizar el proceso de actualización de datos, el asesor técnico encargado de realizar el registro de los datos, debido a un error involuntario no actualizó los campos de información del cliente, sino que modificó los campos de información de la sociedad Los Coches (…).

Al realizarse este cambio, las facturas generadas de manera automatizada por el mencionado sistema, reflejaban el número de teléfono del cliente como número de contacto de Los Coches. De igual forma el correo de contacto del cliente xxxxxxxxxxxxxxxxxxxxxxxxxx, quedó registrado internamente como un correo de los Coches para confirmar el agendamiento de las citas de servicio técnico de los clientes.

(…) 10. (…). El número telefónico del Sr xxxxxxxxxxxxxxxxxx se incluyó en un total de 3289 factura, emitidas a un total de 2.095 clientes de la Compañía. (…) 12. (…). Inmediatamente fue recibida la comunicación del cliente, se procedió a efectuar la corrección de la información, modificando el número telefónico de contacto de nuestra compañía 4233535.

Se procedió a generar control de software en la base de datos (“Triggers”), para que no fuera modificable ninguno de los terceros que se publican en la Factura. Se generó comunicación por las diferentes plataformas de redes sociales (Facebook y Twitter), recordando todos los datos de contacto de Los Coches en cada una de nuestras sedes y para cada una de nuestras marcas en las diferentes ciudades.

(…) Se realizan modificaciones en el almacenamiento de la información de la base de datos para que la auditoria sea detallada sobre todos los módulos que realizan cambios de los datos de clientes. El día 21 de diciembre del año 2018, se envió correo electrónico a cada uno de los clientes (en copia oculta) con facturación generada desde el 17 de noviembre hasta el 10 de diciembre del 2018, informando de acuerdo a la ciudad y a la marca nuestras líneas de contacto.

(…) Así mismo, a través de nuestro proveedor Call Center “Táctica Consultores”, se efectuaron campañas de información con los 2.095 clientes que recibieron facturas con “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” un numero de contacto equivocado, aclarando cuales eran nuestras líneas de atención para cada ciudad y marca.

El desarrollo de la campaña se llevó a cabo iniciando el 9 de abril y se dio por terminada el 25 de mayo de 2019. En ese tiempo se realizaron 6 barridos de la base de datos los cuales se llevaron a cabo en horas y días diferentes buscando contactar la mayor cantidad de clientes. (…) El número telefónico del denunciante registrado en las facturas, así como el envío de confirmaciones de las citas de los clientes en su correo electrónico se presentó desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2019, fecha en que el titular de información presentó su respectiva reclamación. 14.

(…). • El número telefónico del denunciante registrado en las facturas, así como el envío de confirmaciones de las citas de los clientes en su correo electrónico se presentó desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2019, fecha en que el titular de información presentó su respectiva reclamación. (…)”.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 31331 del 25 de junio de 2020, por medio de la cual se formuló UN (1) cargo a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2.

La mencionada resolución le fue notificada a la recurrente para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

CUARTO: Que dentro del término previsto para la presentación de descargos, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. presentó: i) comunicación con radicado 1979100-00013 del 3 de agosto de 2020, con la cual aportó carta fechada del 3 de agosto del 2020 y copia del acta de conciliación del caso No. 113898 del 13 de mayo de 2013 y; ii) comunicación con radicado 19-79100-000142 del 3 de agosto de 2020, contentiva del escrito de descargos y pruebas.

QUINTO: Que mediante Resolución No. 12740 del 11 de marzo de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-79100, con el valor legal que les corresponda y decretó las siguientes pruebas: “(…)  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.634-2, con el fin de que certifique respecto del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. xxxxxxxxxxx, hasta qué día, mes y año, (i) su teléfono fijo se registró en las facturas de la compañía y;

(ii) recibió al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxx mensajes de confirmación de citas de los servicios prestados por la empresa.  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.634-2, con el fin que respecto del documento Diagnóstico y Recomendaciones de Seguridad de la Información, anexo al escrito de descargos[3], remita la versión en la que se acredite (i) la fecha de emisión del 2 Con las comunicaciones con radicados 19-79100-00015 y 19-79100-00016 del 3 de agosto de 2020 la recurrente radicó nuevamente el escrito de descargos y las pruebas presentadas con el radicado 19-79100-00014.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” documento y (ii) quiénes, con los cargos correspondientes, la proyectaron, revisaron y aprobaron, con las respectivas rúbricas.  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. identificada con NIT 860.052.634-2 para que explique de forma minuciosa el video, anexo a los escritos de descargos[3], en particular, (i) el cargo en la compañía de la persona que realiza la ilustración, (ii) el objeto de la explicación dada en el vídeo y;

(iii) a qué se refiere cada una de las siguientes menciones: a)’(…) el informe desde que consulto el histórico de cliente es por rombos abiertos por fecha (…)’, b) ‘(…) ingreso por la ruta de informes 0401, taller, rombo informe 132, rombos abiertos por fecha (…), c) ‘(…) cuando genero el informe de máximo unas semanas atrás, me arroja información (…)’ y; d) ‘(…) si deseo consultar fechas anteriores me arroja el error de la pantalla (…)’”.

Que la Resolución No. 12740 de 2021 fue comunicada a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. el 12 de marzo de 2021, de acuerdo con la certificación con radicado 19-79100-00021 del 23 de marzo de 2021 emitida por la Secretaria Ad-Hoc de esta Superintendencia.

SEXTO: Que dentro del plazo otorgado por la Resolución No. 12740 de 2021, la recurrente mediante comunicación con radicado 19-79100-00022 del 23 de marzo de 2021 informó lo siguiente: “1. (…) RESPUESTA: en relación con este punto nos permitimos precisar: (i) El teléfono fijo del señor xxxxxxxxxxxxxxxxxxxx se registró en las facturas de la Compañía desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2018.

(ii) Los mensajes de confirmación de agendamiento de los servicios prestados por la Compañía, fueron remitidos al correo xxxxxxxxxxxxxxxxxxxxxxxxx hasta el día 10 de diciembre de 2018. 2. (…) RESPUESTA: El documento ‘Diagnóstico y Recomendaciones de Seguridad de la Información’ es el resultado de la gestión realizada por el equipo de asesores externos: Once Asesores & Consultores, quienes fueron contratados por la Compañía para adelantar de manera independiente y objetiva las labores tendientes a verificar y evaluar el estado de las medidas de seguridad de la información de la Compañía, tomando como referencia inicial la relación de controles de seguridad y privacidad de la información descritos en el Registro Nacional de Bases de Datos Personales, así como los estándares internacionales en la materia.

Este informe fue elaborado por el Ingeniero xxxxxxxxxxxxxx xxxxxxx y aprobado de parte del equipo consultor por xxxxxxxxxxxxxxxxxxxxxxxxxxx, Gerente general de la firma y coordinador del proyecto por parte del mencionado equipo consultor. El informe con fecha del 19 de diciembre de 2017 fue remitido por parte del equipo de Once Asesores & Consultores a xxxxxxxxxxxxxx, Directora de Tecnología el día 19 de diciembre de 2017, mediante correo electrónico remitido por el Ing. xxxxxxxxxxxxxxx xxxxxxxx desde el correo consultor@onceasesores.net el mismo día indicado en la fecha del informe según se evidencia en el correo remitido como anexo al presente documento (Ver Anexo No. 1).

Desde el equipo de la Compañía, el informe fue inicialmente revisado y aprobado por xxxxxxxxxxxxxx, quien revisó las recomendaciones efectuadas por el equipo de Once Asesores, aplicando cambios en las ‘POLÍTICAS Y PROCEDIMIENTOS PARA LA GESTIÓN DE LA SEGURIDAD Y LA CONSERVACIÓN DE LA INFORMACIÓN EN LA ORGANIZACIÓN’ (Anexo 2); posteriormente, su contenido se socializó con el representante legal de la Compañía, junto con los demás resultados de la consultoría contratada, de lo cual se dejó constancia en el documento remisorio del informe el día 05 del mes de marzo del año 2018, en el cual se indicaron las medidas aplicadas sobre las recomendaciones efectuadas por el equipo de Once Asesores, la cual se incluye como Anexo No. 3 del presente documento.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 3. (…) RESPUESTA: (i) Cargo: Asesor de Servicio de la marca Volvo, persona encargada de realizar la recepción de los vehículos que ingresan al taller ya sea por diagnóstico o reparación, así como la planificación (gestión de llamar confirmar asistencia verificar disponibilidad de tiempos de atención), en las citas agendadas de los clientes que asisten al taller de servicio.

(ii) El objeto de la explicación dada en el vídeo: Ilustrar el proceso de consulta de los vehículos que ingresaron al taller en un periodo de tiempo, el cual es requerido por el funcionario como parte de sus funciones, a fin de poder consultar y contactar al cliente para darle información con respecto al avance de reparación de su vehículo.

Se evidencia como el sistema controla que el funcionario solo pueda extraer información de hasta 7 días atrás de la fecha de consulta, control que se implementó con el fin que no pueda extraer periodos de tiempo superiores. Este video fue realizado como evidencia de la inmediata diligencia por parte de Los Coches por el incidente presentado en la fecha 26 de septiembre del año 2017 con numero (sic) de incidente 17-375516 (iii) a qué se refiere cada una de las siguientes menciones: a) ‘(…) el informe desde que consulto el histórico de cliente es por rombos abiertos por fecha (…)’, Cuando el funcionario menciona la palabra ‘rombos’, hace referencia a la codificación interna que se emplea en los talleres de la compañía para identificar y ubicar con más facilidad un vehículo que se encuentra en taller.

El rombo está asociado al número de la orden servicio con la que ingresa un vehículo al concesionario. De esta manera, al indicarse qué ‘el histórico de cliente es por rombos abiertos’, hace referencia a los vehículos ingresados al taller de servicio que cuentan con orden abierta de trabajo, permitiendo únicamente un término de consulta de hasta máximo 7 días sobre ordenes ya cerradas. b) ‘(…) ingreso por la ruta de informes 0401, taller, rombo informe 132, rombos abiertos por fecha (…): Hace referencia a la ruta de acceso o código para ingresar al módulo de reportes del sistema de gestión de información de la compañía - DMS (Dynamic Modular System) desde el cual se genera el informe en mención. c) ‘(…) cuando genero el informe de máximo unas semanas atrás, me arroja información (…)’ y;

El usuario ilustra que, al generar el informe de consulta de ‘rombos abiertos’ solo se le permite consultar hasta siete días atrás. d) ‘(…) si deseo consultar fechas anteriores me arroja el error de la pantalla (…)’. Cuando se desean consultar ordenes de trabajo cerradas desde hace más de 7 días, el sistema arroja un mensaje de error, informando que no se encuentra autorizado este tipo de consulta, por tratarse de información fuera del rango autorizado.

(…)”.

SÉPTIMO: Que mediante la comunicación con radicado 19-79100-00023 del 27 de mayo de 2021 se corrió traslado a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. para que presentara alegatos de conclusión, la cual los radicó oportunamente a través de la comunicación con radicado 19-79100-00024 del 11 de junio de 2021.

OCTAVO: Que mediante la Resolución No. 56651 del 1° de septiembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($ 50.831.200), equivalente a MIL CUATROCIENTAS (1400) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

A su vez, a través de la Resolución No. 56651 de 2021 se impartió el siguiente exhorto al representante legal de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S.: “ARTÍCULO SEGUNDO: EXHORTAR al señor xxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xxxxxxxxxx, en calidad de representante legal de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, para que adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: (i) Evitar que se repitan hechos que dieron origen a la presente investigación. (ii) Respetar y garantizar los derechos de los titulares de los datos.

(iii) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el Tratamiento de datos personales. (iv) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la ‘Guía para la implementación del principio de responsabilidad demostrada (accountability)’, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de circulación restringida y seguridad.

(v) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data”.

NOVENO: Que la Resolución No. 56651 de 2021 fue notificada por aviso No. 22521 el 15 de septiembre de 2021 a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., por conducto de su representante legal, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 19-79100-00032 del 22 de septiembre de 2021.

DÉCIMO: Que mediante las comunicación con radicado 19-79100-00033 del 28 de septiembre de 2021, a través de su representante legal, sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. presentó escrito de recurso de reposición y en subsidio de apelación a la Resolución No. 56651 de 2021. A su vez, mediante la comunicación con radicado 19-79100-00034 del 28 de septiembre de 2021 la recurrente aportó una serie de pruebas, las cuales ya habían sido aportadas en el curso de la investigación. Los argumentos expuestos por la recurrente en su escrito son los siguientes: 10.1 Manifiesta que este Despacho debe tener en cuenta el principio de buena fe, que para el caso concreto, se predica la buena fe objetiva y lo señala de la siguiente manera: “Por ello, en derecho el Principio de la Buena Fe prohíbe y evita el abuso del derecho, por ello busca la protección de los derechos y equilibrio legal.

La buena fe se clasifica y consistente en Buena Fe Objetiva y Buena Fe Subjetiva, teniendo bajo esta clasificación que, la primera hace referencia a un deber diligencia y que la misma tan solo se presume como excepción constitucional, es decir, la regla general es que no se presuma, puesto que impone a quien al que alega la necesidad de probar el hecho que aduce.

Todo lo contrario, ocurre con la Buena Fe Subjetiva, la cual no requiere prueba, es decir, se presume, siempre que esta hace referencia a un estado mental, es una creencia, confianza legítima o apariencia de derecho que una persona tiene. En efecto, en el caso concreto se ejercieron los actos de diligencia que exige la Buena Fe Objetiva, esto es, en general todo lo que corresponde al Régimen Corporativo de Protección de Datos Personales que comprende el Programa Corporativo Integral de Protección de Datos Personales de la compañía y los actos diligentes adicionales, adquiridos por la compañía como ejercicio de buenas prácticas y compromiso corporativo.

Actos y compromisos que han identificado el gobierno corporativo y que se han “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” implementado a lo largo de los años al interior de la compañía. Recordando así, que el caso en concreto objeto de investigación constituye un caso aislado que escapó de la esfera de control de la compañía. Evidenciando al respecto que en todo momento de las etapas de sostenibilidad del programa sostenibilidad del programa corporativo de protección de datos personales de los Coches, se ha actuado conforme lo exige el Principio de Buena Fe, cumpliéndose los requisitos del acto de Buena Fe Exenta de Culpa ejercidos por la compañía”. 10.2 Expresa que ha adoptado e implementado un Programa Corporativo de Protección de Datos Personales que debe ser tenida en cuenta, indicando: “(…) en desarrollo así del Programa Corporativo Integral de Protección de Datos personales.

Este es un aspecto que se debe valorar como un acto de debida diligencia, con fundamento en el principio de buena fe, tan así es que, para el efecto Los Coches diseño y adoptó un programa integral de protección de datos personales para el cumplimiento integral de cada obligación adquirida como compañía y como sujeto del estado social de derecho.

Lo anterior, constituye un acto demostrado de proceder conforme a los criterios de la Buena Fe Objetiva. Por tanto, en cumplimiento de las obligaciones de la Ley 1581 de 2012 y cada norma complementaria, se presentó como una prioridad de la compañía establecer un Programa Corporativo de Protección de Datos Personales. (…) Por lo anterior, el Despacho debe evaluar y valuar el contenido probatorio del Régimen Integral de Protección de Datos Personales de la compañía, que no solo incluye el Programa Corporativo Integral de Protección de Datos Personales, sino todos los actos y gestiones adicionales y los compromisos de la compañía en dar cumplimiento a la Constitución y la Ley.

Valorando en ese sentido, tanto la contratación de un equipo consultor y asesor para el diseño, aprobación e implementación del Programa Corporativo Integral de Protección de Datos Personales, como, asimismo, cada acto seguido del programa e iniciativa corporativa en la protección del derecho de habeas data y el régimen general de protección de datos personales establecido por la Ley.

Se destaca que como se informó a esta superintendencia en el escrito de descargos y aporte de pruebas resolución 31331 de 2020 remitido el 3 de agosto de 2020, La Compañía en atención del principio de debida diligencia y en el marco de este compromiso y en línea con las políticas y directrices del buen gobierno corporativo, La Compañía ha desplegado un conjunto de acciones orientadas a la implementación de un programa corporativo integral de protección de datos personales que ha diseñado y adoptado de manera efectiva en su operación, acreditando una diligencia demostrada conforme a los postulados de la normatividad y los lineamientos de esta Superintendencia para la acreditación del principio de ‘Accountability’, respecto a los hechos que motivan la resolución sancionatoria La Compañía aportó desde la etapa de investigación”. 10.3 Expone respecto de la situación generada con el denunciante que: “La Compañía ha reconocido el error en los procesos internos y la consecuente afectación a la expectativa del servicio del Sr. xxxxxxxxxxxxxxxxxx, por lo que no solo consideró el evento como un incidente de seguridad de la información, sino que además realizó el reporte del mismo ante esta Superintendencia, adelantando todos los procedimientos internos y acciones necesarias para la corrección, prevención y mitigación de los impactos ocasionados conforme a las medidas y acciones oportunamente desplegadas, las cuales no solo fueron informadas en el reporte de incidente y demás información complementaria suministrada, sino que además también fueron concertadas y definidas con el propio titular de información, el cual desempeño un papel activo en el trabajo realizado por la Compañía con miras a garantizar la defensa y garantía de sus derechos y libertades como eje central de toda la gestión adelantada por la Compañía”. 10.4 Señala “(…) las gestiones realizadas para el diseño, aprobación, adaptación (sic) y ejecución continua del programa corporativo integral de protección de datos personales de Coches” y respecto del principio de responsabilidad demostrada precisa: “La sola ocurrencia de un incidente de seguridad de la información no puede ser considerada como una causal o situación objetiva que conlleve a la imputación de responsabilidad administrativa para Coches, ya que ello desconocería los principios y “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” fundamentos de los estándares y prácticas de seguridad de información, así como el sentido y espíritu de la normatividad de protección de datos personales.

En donde la eventual responsabilidad por la eventual vulneración del cargo objeto de investigación, solo debería materializarse en el evento de comprobar un elemento subjetivo de dolo o culpabilidad en el actuar del responsable del tratamiento. Si bien la materialización del incidente de seguridad objeto de la presente investigación pudo haber sido prevenido, se destaca que esta es una conclusión común y general cuando se realiza un análisis retrospectivo de cualquier incidente de seguridad de la información, es decir, no existencia incidentes que tras un análisis posterior de los hechos no haya podido tener una medida de control que lo hubiera evitado.

Sin embargo, más allá de este análisis retrospectivo que ha sido esencial para los procesos de mejora y lecciones aprendidas, no existen elementos que permitan inferir que Coches vulneró bajo una conducta omisiva su deber de seguridad de los datos personales, por el contrario, se ha constatado a lo largo del presente proceso de investigación, que la acción de la Compañía ha estado enmarcada dentro de los parámetros de una conducta diligente, caracterizada por la asignación y aplicación de los medios y recursos razonables en función del tamaño y naturaleza de la operación de Coches.

(…) Tomando en cuenta lo anterior y en línea con lo establecido en el artículo 26 y 27 del Decreto 1377 de 2013, (subrogado por Decreto 1074 de 2015) sobre responsabilidad demostrada, destacamos que Coches ha desplegado y acreditado acciones claras tanto a nivel formal como práctico que reflejan su compromiso por la adopción y mejora continua de su programa corporativo de protección de datos personales, aspecto que solicitamos sea valorado por este despacho, absteniéndose de ordenar medidas sancionatorias derivadas de los hechos objeto de investigación”. 10.5 Alega que los fundamentos fácticos y jurídicos del acto administrativo recurrido son los mismos de la decisión adoptada el 14 de enero de 2019, caso en el cual “(…) la actuación de Los Coches se encontraba enmarcada dentro de las exigencias legales y no se identificaron elementos de responsabilidad frente a la vulneración del régimen normativo de protección de datos personales (…)”.

Así, agrega que las decisiones deben tomarse conforme con el precedente judicial, dando lugar a que en la investigación se aplique el precedente horizontal.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO SEGUNDO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 12.1 El recurso fue interpuesto por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. dentro del término legal, ya que fue radicado dentro del plazo otorgado en el Artículo Tercero de la parte resolutiva de la Resolución No. 56651 de 2021 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a: 12.1.1 La recurrente fue notificada por aviso No. 22521 el 15 de septiembre de 2021 de la Resolución No. 56651 de 2021, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 1979100-00032 del 22 de septiembre de 2021. 12.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 28 de septiembre de 2021 a través de la comunicación con radicado 19-79100-00033, encontrándose presentado dentro del término legal.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 12.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución No. 56651 de 2021, los cuales fueron expuestos en el numeral considerativo décimo de esta resolución. 12.3 Respecto de los documentos aportados como pruebas por la recurrente. 12.3.1 En el escrito del recurso de reposición y en subsidio de apelación3, señala la recurrente lo siguiente: “(…) nuevamente nos permitimos anexar cada uno de los elementos que respaldan el Régimen Corporativo de Protección de Datos Personales, los cuales hacen parte del Programa Corporativo Integral de Protección de Datos Personales y de cada actuación adicional desplegada por Los Coches como compromiso corporativo”.

Y, en el acápite de RELACIÓN DE ANEXOS indica: Imagen 1. Tomada del radicado 19-79100-00033. 12.3.2 A través de la comunicación con radicado 19-79100-00034 del 28 de septiembre de 2021, la recurrente aportó las pruebas señaladas en el acápite RELACIÓN DE ANEXOS del recurso de reposición y en subsidio de apelación, evidencias que ya se encontraban dentro del acervo probatorio previo a la expedición y notificación del acto administrativo recurrido. 12.4 Sobre la indicación del nombre y dirección de la recurrente, y correo electrónico si desea ser notificada por este medio.

Al respecto, la recurrente en el recurso de reposición y en subsidio de apelación no indica la dirección o correo electrónico para ser notificada, este Despacho, en aras de garantizar el debido proceso que le asiste a la recurrente, y en razón a que se conoce del expediente de la presente actuación administrativa la dirección física y electrónica de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., se considera que no hay óbice para rechazar el recurso por la omisión de lo previsto en el numeral 4 del artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

DÉCIMO TERCERO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en seis aspectos, a saber: i) principio de buena fe y debida diligencia, ii) principio de responsabilidad demostrada – “Accountability”, iii) responsabilidad objetiva y subjetiva, iv) retiro de la queja y la compensación al Titular, v) consideraciones y decisiones de la SIC en materia de protección de datos personales y; vi) de las pretensiones. 13.1 Respecto del principio de la buena fe y la debida diligencia La recurrente invoca el principio de buena fe, distinguiéndolo entre objetivo y subjetivo, para indicar que se predica su buena fe objetiva al llevar a cabo de forma diligente los actos del Régimen Corporativo de Protección de Datos Personales “(…) que comprende el Programa Corporativo Integral de Protección de Datos Personales de la compañía y los actos diligentes adicionales, adquiridos por la compañía como ejercicio de buenas prácticas y compromiso corporativo”, siendo el error de digitación de un funcionario “(…) un caso aislado que escapó de la esfera de control de la compañía”. 3 Obrante en el radicado 19-79100-00033.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ahora bien, este Despacho en primer término procede a referirse al principio de buena fe que está previsto constitucionalmente en el artículo 83 de la Carta Política, así: “[l]as actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante éstas”.

Respecto de este principio, el Consejo de Estado ha señalado4 que no se aplica tal cual es sino que está sujeto a unas precisiones técnicas, a saber: “1. Apreciación conceptual La buena fe es un elemento de la vida de relación, pero no se incorpora al derecho tal cual se da en la realidad, sino que recibe una carga o un plus que resulta de unas precisiones técnicas necesarias.

En el campo jurídico, el concepto de buena fe, aunque indeterminado en sus alcances, tiene un sustento real. No es creación del legislador, sino que este, partiendo de la realidad, adscribe a la buena fe ciertos contenidos y le impone determinadas limitaciones. Por ello, aun cuando creemos que puede hablarse de un principio general de buena fe, con su contenido más o menos uniforme en los diversos sistemas jurídicos, no podemos desconocer que en cada ordenamiento jurídico concreto se le asignan matices, que, sin afectar su esencia, modifican su aplicabilidad, su alcance y sus efectos.

Tal es lo que ocurre, entre nosotros, con el concepto de buena fe cuya concepción jurídica anterior, que era de raigambre legal, ha pasado a ser un ordenamiento de carácter constitucional. La clasificación tradicional de la buena fe distingue: 1) buena fe objetiva: la buena fe actúa como regla de conducta, portadora de normas en sí, o generadora de normas concretas; 2) Buena fe subjetiva: la buena fe consiste en la condición de un sujeto en una situación jurídica dada, con referencia al conocimiento que tenga de las circunstancias generales de la misma.

Dentro de esta categoría, y según las posturas asumidas, sobra hablar de que toda ocurrencia o ignorancia constituye buena fe, o de que sólo el error excusable genera una situación de buena fe; es decir, que sólo tiene buena fe el sujeto que actúa diligentemente. Por último, y en consonancia con el pensamiento del autor Diez Picazo, la buena fe tiene una triple función: 1) Como causa de exclusión de la culpabilidad en un caso formalmente ilícito y por consiguiente como una causa de exoneración de la sanción o por lo menos de atenuación de la misma (parte el autor de la concepción que diferencia el ilícito objetivo y el subjetivo); 2) Como causa o fuente de creación de especiales deberes de conducta exigibles, en cada caso, de acuerdo con la naturaleza de la relación jurídica y con la finalidad perseguida por las partes a través de ella.

Corresponde a lo que tradicionalmente se denomina fuente de integración del contrato aunque es necesario advertir que con acierto no limita la función de integración a la relación jurídica nacida del contrato, sino que la considera eficaz frente a cualquier relación jurídica. Resulta importante destacar también los límites que señala para el juego de esta función, los que resultan de la naturaleza de la relación y de la finalidad tenida en cuenta por las partes; 3) Como una causa de limitación en el ejercicio de un derecho subjetivo o de cualquier otro poder jurídico.

(…)”. Teniendo en cuenta la clasificación tradicional del principio de buena fe y partiendo de lo expuesto por la recurrente en el sentido que actúo bajo el principio de la buena fe objetiva y consecuentemente, con la debida diligencia al desplegar las acciones del Programa Corporativo Integral de Protección de Datos, este Despacho precisa que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no demostró en esta investigación que actuó diligentemente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Si bien la recurrente señala que con las pruebas aportadas se evidencia que actuó con la debida diligencia en el cumplimiento del mentado deber, este Despacho al valorar de forma conjunta las pruebas obrantes en el expediente encontró demostrado el desconocimiento del deber. Al respecto, es menester hacer referencia a lo expuesto en materia de buena fe por el Superintendente Delegado para la Protección de Datos Personales en la Resolución No. 82808 de 2020 manifestó: 4 Consejo de Estado, Sala de Consulta y Servicio Civil, C.E. 811 del 17 de abril de 1996, Consejero Ponente: Roberto Suárez Franco.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “(…) Así, no basta la simple intención o deseo de no infringir las normas, esto debe traducirse en un cumplimiento real. ‘La buena fe objetiva que implica una exigencia de comportamiento ‘diligente, advertido, pundonoroso, y la consiguiente carga probatoria del sujeto que ha de comportarse así’[8]”.

Aunado con esto, respecto de la carga probatoria, este Despacho entrará a hacer una serie de aclaraciones sobre el concepto de la carga probatoria. El Código de Procedimiento Civil señaló en su artículo 177 lo siguiente: “[i]ncumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen”.

En su lugar, el legislador en el vigente artículo 167 del Código General del Proceso, reiteró la misma disposición y agregó lo siguiente: “(…) No obstante, según las particularidades del caso, el juez podrá, de oficio o a petición de parte, distribuir, la carga al decretar las pruebas, durante su práctica o en cualquier momento del proceso antes de fallar, exigiendo probar determinado hecho a la parte que se encuentre en una situación más favorable para aportar las evidencias o esclarecer los hechos controvertidos.

La parte se considerará en mejor posición para probar en virtud de su cercanía con el material probatorio, por tener en su poder el objeto de prueba, por circunstancias técnicas especiales, por haber intervenido directamente en los hechos que dieron lugar al litigio, o por estado de indefensión o de incapacidad en la cual se encuentre la contraparte, entre otras circunstancias similares.

Cuando el juez adopte esta decisión, que será susceptible de recurso, otorgará a la parte correspondiente el término necesario para aportar o solicitar la respectiva prueba, la cual se someterá a las reglas de contradicción previstas en este código”. Lo anterior exige bajo la regla de la carga dinámica de la prueba que la parte que se encuentre en una situación más favorable es quien tiene que probar ese determinado hecho, sea por decisión oficiosa del juez o a petición de parte.

Por ello, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. está en mejor posición para probar, por lo cual en esta actuación administrativa era a quien le correspondía demostrar que dio cumplimiento al deber previsto previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley; no obstante, con las pruebas allegadas a esta actuación administrativa y que fueron aportadas nuevamente con el recurso de reposición y en subsidio de apelación, no logró demostrar que actuó diligentemente en el cumplimiento de dicho deber.

Frente a las pruebas allegadas a esta investigación, dentro de las cuales se encuentran las aportadas por la recurrente, es necesario señalar que este Despacho ha realizado una valoración conjunta de todas las evidencias obrantes en el expediente que llevaron a concluir que la DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. actuó negligentemente en el cumplimiento del antedicho deber.

Al respecto, a continuación, frente al cargo objeto de la investigación se presenta la valoración probatoria de las evidencias aportadas por la recurrente en dos etapas, con antelación y con posterioridad a la ocurrencia de los hechos, así: (i) La recurrente, previo a la ocurrencia de los hechos denunciados, adoptó algunas medidas que tenían por finalidad garantizar la confidencialidad y seguridad de la información, a saber:  Contrató asesores externos para el análisis de la gestión de la seguridad de la información de la empresa y los resultados se plasmaron por estos asesores en el documento denominado Diagnóstico y Recomendaciones de Seguridad de la Información5, cuyo objeto se definió así: 5 Obrante en la comunicación con radicado 19-79100-00022 del 29 marzo de 2021.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Identificar la situación actual de la organización frente a la seguridad de la información tomando como guía los aspectos definidos por la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos y estándar internacional de Seguridad de la Información”.

Respecto de este documento, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. en comunicación con radicado 19-79100-00022 del 29 marzo de 2021 indicó lo siguiente: “El documento ‘Diagnóstico y Recomendaciones de Seguridad de la Información’ es el resultado de la gestión realizada por el equipo de asesores externos: Once Asesores & Consultores, quienes fueron contratados por la Compañía para adelantar de manera independiente y objetiva las labores tendientes a verificar y evaluar el estado de las medidas de seguridad de la información de la Compañía, tomando como referencia inicial la relación de controles de seguridad y privacidad de la información descritos en el Registro Nacional de Bases de Datos Personales, así como los estándares internacionales en la materia.

Este informe fue elaborado por el Ingeniero xxxxxx xxxxxxxxxxxxxxx y aprobado de parte del equipo consultor por xxxxxxxxxxxxxxxxxx xxxxxxxx, Gerente general de la firma y coordinador del proyecto por parte del mencionado equipo consultor. El informe con fecha del 19 de diciembre de 2017 fue remitido por parte del equipo de Once Asesores & Consultores a xxxxxxxxxxxxxx, Directora de Tecnología el día 19 de diciembre de 2017, mediante correo electrónico remitido por el Ing. xxxxxxxxxxxxxxxx xxxxxxx desde el correo consultor@onceasesores.net el mismo día indicado en la fecha del informe según se evidencia en el correo remitido como anexo al presente documento (Ver Anexo No. 1).

Desde el equipo de la Compañía, el informe fue inicialmente revisado y aprobado por xxxxxxxxxxxxxx, quien revisó las recomendaciones efectuadas por el equipo de Once Asesores, aplicando cambios en las ‘POLÍTICAS Y PROCEDIMIENTOS PARA LA GESTIÓN DE LA SEGURIDAD Y LA CONSERVACIÓN DE LA INFORMACIÓN EN LA ORGANIZACIÓN’ (Anexo 2); posteriormente, su contenido se socializó con el representante legal de la Compañía, junto con los demás resultados de la consultoría contratada, de lo cual se dejó constancia en el documento remisorio del informe el día 05 del mes de marzo del año 2018, en el cual se indicaron las medidas aplicadas sobre las recomendaciones efectuadas por el equipo de Once Asesores, la cual se incluye como Anexo No. 3 del presente documento”.

Como se demuestra en la siguiente imagen, dicho análisis fue remitido por los asesores externos a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. el 4 de diciembre de 2017: Imagen 2. Tomada de anexo a la comunicación con radicado 19-79100-00022.  Adopción del documento Políticas y Procedimientos para la Gestión de la Seguridad de la Conservación de la Información en la Organización6, creado el 31 de enero de 6 Obrante en la comunicación con radicado 19-79100-00022 del 29 de marzo de 2021.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2017, el cual fue actualizado por la recurrente atendiendo el Diagnóstico y Recomendaciones de Seguridad de la Información de los asesores externos.  Como se evidencia en el video obrante en la comunicación con radicado 19-7910000014 del 3 de agosto de 2020, el cual es explicado en la respuesta con radicado 19-79100-00022 del 29 de marzo de 2021, en el sistema de control de los vehículos al que accede el Asesor de Servicio al encontrarse dentro de sus funciones, para efectos de “(…) consultar y contactar al cliente para darle información con respecto al avance de reparación de su vehículo (…)”7 solo puede consultar información no mayor a 7 días.

Este “(…) control que se implementó con el fin que no pueda extraer periodos de tiempo (sic) superiores”8.  Documentos en los que se visualizan los diagramas de ciclo de vida de información personal9, versiones del 10 de febrero de 2018, denominados así: Asistente de Gerencia, Diagrama de Calidad y Sistemas Integrados de Gestión, Diagrama Comercial VolksWaguen, Diagrama Tramites y Facturación, Diagrama Gestión Humana, Diagrama Seguridad Física, Servicio al Cliente, Post Venta FORD, Servicios Administrativos, Diagrama Ventas Corporativas y Diagrama Ventas Digitales.

De acuerdo con las anteriores medidas y acciones, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. previo a la ocurrencia de los hechos adoptó medidas encaminadas a garantizar la confidencialidad y seguridad de la información; no obstante, se confirma que estas fueron insuficientes en consideración a que ninguna de ellas evitó que el 17 de noviembre de 2018 el asesor que atendió al Titular no cambiara los datos de la compañía por los del Titular.

Además, dentro del acervo probatorio no obra una sola prueba con la que se demuestre que la recurrente adoptó las medidas necesarias, útiles y pertinentes para evitar que el 17 de noviembre de 2018 se pudieran modificar los datos de la compañía por los del Titular en las facturas de la empresa. (i) La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. tras tener conocimiento de la ocurrencia de los hechos denunciados por el Titular, adoptó las siguientes medidas concretas respecto del caso en particular:  En el incidente de seguridad radicado ante esta Superintendencia el 14 de enero de 2019 bajo el radicado 19-06831-000000, la recurrente informó y demostró que adoptó las siguientes medidas de mitigación: - Modificó desde el 10 de diciembre de 2018, fecha en la cual recibió la queja del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, el número telefónico de contacto del Titular en las facturas de la compañía al de esta, soportándolo a través de la siguiente imagen de su sistema de registro: Imagen 3.

Tomada de anexo a la comunicación con radicado 19-79100-00014. - El 17 de diciembre de 2018 en las redes sociales Twitter y Facebook informó los números telefónicos de contacto de la empresa, demostrándolo a través de las siguientes imágenes: 7 Respuesta obrante en la comunicación con radicado 19-79100-00022 del 29 de marzo de 2021 8 Ibídem. 9 Anexas en la comunicación con radicado 19-79100-00034.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Imagen 4. Tomada del anexo a la comunicación con radicado 19-79100-00014. Imagen 5. Tomada de anexo a la comunicación con radicado 19-79100-00014. - Con copia oculta enviaron el 21 de diciembre de 2018 correos electrónicos a los clientes, a quienes generaron las facturas del 17 de noviembre al 10 de diciembre de 2018, con el objeto de informarles las líneas de contacto de la empresa.

El soporte de esto es: Imagen 6. Tomada de anexo a la comunicación con radicado 19-79100-00014.  Por conducto de su proveedor de Call Center “Táctica Consultores” efectuó compañas con los 2095 clientes, a quienes se les expidió factura con el número telefónico del Titular, precisándoles cuáles son los números telefónicos de contacto de la compañía por ciudad.

Mediante comunicación fechada del 25 de mayo de 2019 suscrita por el gerente de “Táctica Consultores”, se acreditó: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “El desarrollo de la campaña se llevó a cabo iniciando el 9 de abril y se dio por terminada el 25 de mayo. En ese tiempo se realizaron 6 barridos de la base de datos los cuales se llevaron a cabo en horas y días diferentes buscando contactar la mayor cantidad de clientes.

Los resultados fueron los siguientes: Cuadro resumen con los resultados de llamadas por cliente: El total de la base de datos fue de 2.095 clientes, de ellos, fueron contactados 1.696 que representan el 77% y 391 (23%) no fueron contactados; estos últimos bien sea porque no contestaron la llamada, el teléfono no estaba en uso o porque era número equivocado.

Entre los contactados, el 53% (979 clientes) fueron informados de los números de teléfono según el taller que visitan, el 16% (265 clientes) se les dejó el mensaje en el buzón de voz, 3% (58 clientes) contestó otra persona que conoce al cliente, 8% (132 clientes manifestaron que no les interesa el servicio principalmente porque: no viven en la ciudad en que Los Coches presta servicio, en algunos casos porque no tienen vehículo o algunos otros porque no quieren regresar al taller; 6% (94 clientes) contestaron pero manifestaron no tener tiempo para tomar datos o atender la llamada; 2% (41 clientes) dijeron que ya tienen los datos de contacto con el taller; y el 1% (11 personas) manifestaron alguna inconformidad y se abrió un caso de servicio”.  Convocó al Titular a audiencia de conciliación, acorde con el acta de conciliación del caso No. 11389810 del 13 de mayo de 2019 del Centro de Conciliación y Arbitraje de la Cámara de Comercio de Bogotá, en la cual se lograron los siguientes acuerdos tendientes a garantizar que el denunciante se abstenga de hacer uso no autorizado de los datos personales de clientes de la DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. que obtuvo por mensajes de agendamiento recibidos directamente a su correo electrónico, así como a través de las llamadas recibidas a su número telefónico.

Los acuerdos son los siguientes: Imagen 7. Tomada del anexo a la comunicación con radicado 19-79100-00013. Imagen 8. Tomada del anexo a la comunicación con radicado 19-79100-00013. (ii) La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., tras la ocurrencia de los hechos materia de investigación, desplegó acciones generales tendientes a evitar que no vuelvan a ocurrir hechos similares respecto de otros Titulares, a saber: 10 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”  En la presentación del incidente de seguridad radicado ante esta Superintendencia el 14 de enero de 2019 bajo el radicado 19-06831-000000, la recurrente informó y demostró que generó “(…) control de software en la base de datos (‘Triggers’), para que no fuera modificable ninguno de los terceros que se publican en la Factura” 11.

En comunicación fechada del 21 de agosto de 201912, anexa soporte de esta acción: Imagen 9. Tomada de anexo a la comunicación con radicado 19-79100-00014.  En comunicación 19-6831-00003 del 21 de agosto de 2019, obrante en el expediente 19-6831 y en esta investigación en el radicado 19-79100-00014, respecto del incidente de seguridad la recurrente indicó: “Las modificaciones en el almacenamiento de la información solo se realizan para el tercero ‘Distribuidora Los Coches la Sabana S.A.S.’, Nit. 860052634 y demás sociedades aliadas de manera que los datos relacionados con estas compañías no pudieran ser modificables salvo solicitud del jefe de tecnologías al desarrollar del (sic) software.

A continuación un ejemplo de lo manifestado: Ahora bien, frente a la auditoría detallada sobre los módulos que realizan cambios de los datos de los clientes, se procedió con el desarrollo de software a la corrección del módulo para que registrara en la tabla de auditoría una relación detallada de todos los cambios que se ejecutan sobre un tercero (clientes), ejemplo: 11 Incidente de seguridad con radicado 19-06831-00000 obrante en la comunicación con radicado 19-79100-00014 del 3 de agosto de 2020. 12 Comunicación del expediente con radicado 19-06831-00000, la cual está en el radicado 19-79100-00014 del 3 de agosto de 2020 de esta actuación administrativa.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” ” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Respecto de las evidencias sobre las acciones y medidas adoptadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., en conjunto fueron pertinentes frente a la falla de seguridad presentada respecto de los hechos puestos en conocimientos del Titular de la información, ya que: (i) el mismo día que la recurrente tuvo conocimiento que el número telefónico del denunciante estaba consignado en la factura, lo modificó por el de la empresa, (ii) presentó el incidente de seguridad13 ante esta Superintendencia informando las medidas adoptadas, (iii) desplegó una campaña a través de Call Center para aclarar el número telefónico de la empresa en las distintas ciudades y;

(iv) convocó al denunciante a audiencia de conciliación extrajudicial para lograr un acuerdo, en el cual logró un compromiso para que él no haga uso de los datos personales obtenidos a través de los correos electrónicos de agendamiento de citas recibidos. Adicional a ello, implementó otras medidas tendientes a evitar que hechos similares a los denunciados vuelvan a ocurrir en la compañía que pueden llevar a que los datos de los Titulares puedan ser accedidos sin autorización por terceros.

En todo caso, estas medidas y acciones fueron posteriores a la ocurrencia de los hechos materia de la investigación, de manera que con ellas la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no demostró que previo al 17 de noviembre de 2018 adoptó las medidas necesarias, pertinentes y útiles con las que hubiese evitado que el asesor técnico que atendió al Titular no incurriera en el error humano de cambiar el número telefónico en la factura y en el sistema de agendamiento al relacionar el correo electrónico del Titular.

También es de señalar que respecto a lo invocado por la recurrente sobre el error del asesor comercial, en el sentido de que “[u]n error de digitación que para la compañía se sale de la esfera de control. Entendiendo así que el talento humano a pesar de estar capacitado, instruido y bajo las mejores calificaciones técnicas y personales, está siempre expuesto a que la probabilidad de error acaezca”, no es de recibo al no demostrarse en esta investigación que respecto del asesor comercial que cometió el error, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. adoptó e implemento las medidas y acciones pertinentes de forma previa para evitar ese yerro, por ejemplo, acreditando que lo capacitó sobre el manejo del sistema y en protección de datos personales o que contaban con un sistema que imposibilitaba la modificación de la información de la compañía por parte de sus empleados.

Así las cosas, se confirma por este Despacho que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, al no aportar pruebas suficientes con las que lograra demostrar que adoptó medidas y acciones necesarias, pertinentes y útiles para que el asesor comercial no hubiese incurrido en el error humano el 17 de noviembre de 2018. 13 Respecto a la oportunidad para la presentación de los incidentes de seguridad, téngase presente que es máximo dentro de los 15 días hábiles siguientes al momento en que se hayan detectado.

Así lo dispone el numeral (ii) del literal f) del numeral 2.1 del capítulo 2 del Título V de la Circular Única de la Superintendencia de Industria y Comercio, en los siguientes términos: “(…) (ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes de seguridad reportados en el RNBD no estará disponible para consulta Pública”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 13.2 Respecto del principio de responsabilidad demostrada – “Accountability” La recurrente manifiesta que en virtud de la debida diligencia en la realización de todas las acciones que se derivan del Programa Corporativo Integral de Protección de Datos Personales, la compañía ha garantizado el principio de “Accountability” y “(…) respecto a los hechos que motivan la resolución sancionatoria La Compañía aportó desde la etapa de investigación los elementos necesarios para demostrar su debida diligencia antes, durante e incluso con posterioridad a la ocurrencia del incidente de seguridad (…)”.

Al respecto y como se analizó en el acto administrativo recurrido por parte de este Despacho, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del Responsable, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto del Tratamiento; (iii) el tipo de Tratamiento y; (iv) los riesgos potenciales que el Tratamiento podría causar sobre el derecho de los Titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar el Responsable, dispuso: “Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

De acuerdo con lo expuesto sobre la valoración conjunta de las pruebas en esta actuación administrativa, la recurrente previo a la ocurrencia de los hechos investigados desplegó acciones para evitar el desconocimiento de los principios de confidencialidad y seguridad de la información; no obstante, no fueron pertinentes, útiles y efectivas para prevenir el error humano incurrido por el asesor comercial que conllevó a que se vulnerara el deber previsto literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Además, también se valoraron las acciones y medidas adoptadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. tras la ocurrencia de los hechos que dieron origen a esta investigación, las cuales al haberse implementado con posterioridad al 17 de noviembre de 2018, de modo alguno evitaron el error humano del asesor comercial. Así, se confirma que sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no acreditó que previo a la ocurrencia de los hechos investigados dio cumplimiento efectivo al principio de responsabilidad demostrada.

Al respecto, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución No.12192 del 1 de abril de 2012, en la cual se indica: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “El término ‘accountability’, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

Medidas ‘apropiadas’ son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y ‘efectivas’, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas. Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones”. Así las cosas, se ratifica que para que el principio de responsabilidad demostrada sea tomado como atenuante de la sanción es necesario que la recurrente (i) hubiese adoptado medidas pertinentes, útiles, efectivas y verificables, que garanticen “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” y;

(ii) hubiese adoptado, previo al 17 de noviembre de 2018, medidas que evitaran los hechos objeto de esta investigación y haya aplicado el principio de responsabilidad demostrada de acuerdo con la “Guía de Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, así como lo previsto en lo correspondiente en el Decreto Único Reglamentario 1074 de 2015.

Por último, se corrobora que varias de las medidas y acciones adoptadas por la recurrente, son posteriores al 17 de noviembre de 2018 y las pruebas aportadas con fechas anteriores no demuestran que efectivamente la recurrente cumpliera de forma material y real con el deber de “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, específicamente respecto de los principios de seguridad y circulación restringida. 13.3 Respecto de la responsabilidad objetiva y subjetiva La recurrente arguye lo siguiente: “La sola ocurrencia de un incidente de seguridad de la información no puede ser considerada como una causal o situación objetiva que conlleve a la imputación de responsabilidad administrativa para Coches, ya que ello desconocería los principios y fundamentos de los estándares y prácticas de seguridad de información, así como el sentido y espíritu de la normatividad de protección de datos personales.

En donde la eventual responsabilidad por la eventual vulneración del cargo objeto de investigación, solo debería materializarse en el evento de comprobar un elemento subjetivo de dolo o culpabilidad en el actuar del responsable del tratamiento”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Frente a lo expuesto por la recurrente, este Despacho precisa que la responsabilidad objetiva en materia de derecho administrativo sancionatorio no es procedente, por regla general.

Al respecto, la Corte Constitucional, a través de la sentencia C-699/15, indicó: “El objeto del derecho administrativo sancionatorio es la prevención de las conductas que ponen en riesgo o lesionan bienes protegidos por el ordenamiento jurídico, a través de procedimientos que deben garantizar el debido proceso. En reiteradas ocasiones la Corte se ha pronunciado en el sentido de que la determinación de la responsabilidad administrativa, requiere que la infracción se haya realizado con dolo, o con culpa, como elemento que debe concurrir para la imposición de la sanción. En efecto, en la Sentencia C-597 de 1996, esta Corporación precisó que en materia sancionatoria administrativa está proscrita toda forma de responsabilidad objetiva y las faltas sólo son sancionables a título de dolo o culpa: “La Corte coincide con el actor en que en Colombia, conforme al principio de dignidad humana y de culpabilidad acogidos por la Carta (CP arts. 1º y 29), está proscrita toda forma de responsabilidad objetiva en materia sancionadora.” La culpabilidad constituye un elemento subjetivo esencial sobre el cual se edifica la responsabilidad administrativa.

(…)”. (Se subraya fuera de texto) Aunado con el pronunciamiento jurisprudencial, se precisa que la Delegatura de Protección de Datos Personales en ejercicio de su potestad de vigilancia en el cumplimiento del Régimen de Protección de Datos Personales, despliega su facultad sancionatoria en los términos previstos en el artículo 21 de la Ley 1581 de 2012; de manera que, al demostrarse dentro de una actuación administrativa que el Responsable cometió o está cometiendo una infracción contra este régimen, es sancionado por esta autoridad administrativa.

Adviértase que se debe configurar un actuar negligente por parte del Responsable para que sea sancionable, es decir que se predique una responsabilidad subjetiva y no objetiva. En el caso concreto, este Despacho impuso una sanción pecuniaria a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. al encontrarse demostrado su actuar negligente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, al acreditarse que realizó la divulgación no autorizada del número telefónico del Titular en 3289 facturas emitidas a clientes, así como envió al correo electrónico del denunciante los datos personales de clientes para agendamiento de citas, del 18 de noviembre al 10 de diciembre de 2018.

Así, en forma alguna se sancionó dentro de un marco de responsabilidad objetiva, ya que se valoró que la recurrente incumplió un deber que le es exigible y de obligatorio cumplimiento en calidad de Responsable del Tratamiento y que no tenía implementadas medidas, mecanismos, procedimientos, etc., tendientes a evitar que se presentara exposición de datos personales como en el caso bajo estudio.

Además, la valoración de si el Responsable actuó o no negligentemente en el cumplimiento de sus deberes previstos en la Ley 1581 de 2012, no está dado por la cantidad de veces que desconoció el Régimen General de Protección de Datos Personales sino en razón a que haya o no infringido este régimen. Así, si su actuar negligente llevado a cabo en una ocasión dio lugar a la vulneración de la Ley 1581 de 2012, el Responsable es susceptible de ser sancionado en los términos del artículo 23 de la Ley 1581 de 2012.

De manera que, dentro de esta actuación administrativa la sanción impuesta a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. es producto de su actuar negligente frente al deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, al ocasionar que se divulgaran sin autorización los datos de personales del denunciante y otros Titulares del 17 de noviembre al 10 de diciembre de 2018, no siendo la multa consecuencia de un juicio de responsabilidad objetiva. 13.4 Respecto del retiro de la queja y la compensación al Titular La recurrente señala que el Titular de manera voluntaria desistió de la queja presentada ante esta Superintendencia, ya que él aceptó que las acciones, compromisos y medidas adoptadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. fueron conducentes, pertinentes “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” y efectivas frente al error acaecido.

Agrega, que se logró un acuerdo conciliatorio con el Titular y una compensación económica a su favor “(…) con el propósito de contribuir de forma razonable a la mitigación y compensación de la afectación derivada del incidente de seguridad”. Sobre estos argumentos, este Despacho en el acto administrativo recurrido se manifestó en el sentido que el desistimiento por parte de los Titulares de las denuncias presentadas ante esta entidad por la presunta vulneración del derecho de hábeas data y/o el desconocimiento del Régimen General de Protección de Datos Personales, no conlleva al archivo de actuación administrativa alguna ni constituye una causal de atenuación de la sanción en los términos de los artículos 23 y 24 de la Ley 1581 de 2012.

Además, se precisó que independientemente del medio a través del cual esta Superintendencia conozca sobre hechos y conductas que presuntamente desconocen el derecho de hábeas data y/o el Régimen General de Protección de Datos Personales, está dentro de sus facultades “[v]elar por el cumplimiento de la legislación en materia de protección de datos personales”14 y “[a]delantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

(…)”15. Así, nótese que incluso de oficio esta Superintendencia puede iniciar una investigación administrativa. Justamente, si esta Superintendencia advierte que se han configurado hechos que posiblemente han quebrantado el derecho fundamental de hábeas data y/o el Régimen General de Protección de Datos Personales, con el objeto de reestablecer el derecho del Titular o Titulares y/o sancionar a los investigados con fines disuasorios para que no se vuelva a desconocer los deberes a su cargo que prevé dicho Régimen, ejerce todas las potestades conferidas en la Ley 1581 de 2012 independientemente si los hechos fueron o no denunciados.

De manera que, en el caso concreto que el Titular desistiera mediante carta fechada del 3 de agosto de 202016 de la denuncia17 por él presentada ante esta Superintendencia, no implica de modo alguno que este Despacho archive esta investigación, ya que frente a los hechos puestos en conocimiento del Titular esta autoridad administrativa debe analizar si hubo un desconocimiento por parte de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. del deber previsto el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Por otra parte, en cuanto a la compensación económica a la que hace referencia la recurrente, esta Dirección también expuso en la Resolución No. 56651 de 2021 que el artículo 19 de la Ley 1581 de 2012 dispuso que esta entidad, “(…) a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

A su turno, en el artículo 21 de la misma ley dispone las funciones que le fueron asignadas, dentro de las cuales se encuentran: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…) 14 Literal a) del artículo 21 de la Ley 1581 de 2012. 15 Literal b) del artículo 21 de la Ley 1581 de 2012. 16 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020. 17 Obrante en la comunicación con radicado 19-79100-00000 del 3 de abril de 2019.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” k) Las demás que le sean asignadas por ley”. De acuerdo con estas especificaciones normativas, téngase presente que a través de esta entidad se busca salvaguardar el derecho fundamental de hábeas data y garantizar el pleno cumplimiento de todos los derechos, deberes, principios, garantías y procedimientos del Régimen General de Protección de Datos Personales.

Respecto a este segundo aspecto, el inicio de una investigación administrativa de carácter sancionatorio, como la que dio origen a esta actuación mediante la Resolución No. 56651 de 2020, tiene por fin determinar si se desconoció este Régimen por parte de los Responsables y/o Encargados del Tratamiento, y de concluirse que se configuró una vulneración a los deberes por parte estos, hay lugar a la imposición de las sanciones previstas en el artículo 2318 de la Ley 1581 de 2012 y en lo que sea aplicable, los criterios de graduación de las sanciones contemplados en el artículo 2419 de la ley en mención. La facultad sancionatoria de esta entidad en materia de protección de datos personales no tiene por objeto que se resarzan los daños y perjuicios causados al Titular de la información sino que se garantice el cumplimiento del Régimen General de Protección de Protección de Datos Personales previsto en la Ley 1581 de 2012, el cual fue reglamentado con el Decreto 1377 de 201320.

El resarcimiento de daños y perjuicios en materia contractual es competencia de la Jurisdicción Ordinaria. En ese orden de ideas, que la recurrente haya compensado económicamente al Titular de la información por los perjuicios ocasionados por la divulgación de sus datos, no tiene efecto alguno en esta investigación, por cuanto este Despacho no está llamado a cuantificar daños y perjuicios sino a sancionar y adoptar las medidas a que haya lugar ante el desconocimiento del Régimen General de Protección de Datos Personales. 13.5 Respecto de las consideraciones y decisiones de la SIC en materia de protección de datos personales La recurrente señala que ante la afectación del Titular, se consideró el evento como un incidente de seguridad de la información que fue reportado ante la Superintendencia de Industria y Comercio y en virtud de lo cual, la entidad dentro del expediente 19-6831 adoptó una decisión el 14 de enero de 2019 que guarda relación de identidad con los presupuestos de esta investigación, por lo cual en aplicación del precedente judicial la decisión adoptada en esta actuación administrativa debería ser congruente con la del 14 de enero de 2019.

Además, indica que se debe tener en cuenta el precedente horizontal que “(…) cual hace referencia a las decisiones proferidas por autoridades del mismo nivel jerárquico o, incluso, por el mismo funcionario (…)”. 18 “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. 19 “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”. 20 Incorporado al Decreto Único Reglamentario 1074 de 2015.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Sobre el expediente 19-6831, este Despacho se pronunció al indicar que se dio una respuesta favorable 7 de febrero de 2020 en el radicado 19-6831-00005, en el siguiente sentido: “En atención al incidente de seguridad reportado a través del SISTEMA INTEGRAL DE SUPERVISIÓN INTELIGENTE de esta Superintendencia, el día 14 de enero de 2019 bajo el número de radicado 19-6831-0, así como la respuesta remitida por parte de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. a los requerimientos efectuados por este Despacho, les informamos lo siguiente: Una vez realizada la revisión de la información aportada, este Despacho observó debida gestión del incidente de seguridad por parte de la Sociedad y la adopción de las medidas de seguridad pertinentes para la contención de los riesgos a los que fue sometida la información; motivo por el cual, se procederá al archivo de las diligencias adelantadas bajo el número de radicado 19-6831”.

La anterior respuesta de esta entidad, en consideración a que la recurrente en calidad de Responsable del Tratamiento reportó el incidente de seguridad, en cumplimiento del deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, el cual dispone: “[i]nformar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”.

Por su parte, esta actuación administrativa se adelantó con el objeto de determinar si se vulneró el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012: “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”. Así, contrario a lo expuesto por la recurrente no hay identidad en los presupuestos en la medida en que en esta investigación se ha valorado si la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. vulneró el antedicho deber y no el previsto en el mencionado literal n).

Además, el expediente con radicado 19-6831, a diferencia de la presente actuación administrativa, no corresponde a una investigación sino a la gestión del incidente de seguridad en cumplimiento del deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012. En consecuencia, el radicado 19-6831-00005 del 7 de febrero de 2020 corresponde a una respuesta frente a dicha gestión por parte de la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección y no a una decisión de naturaleza sancionatoria.

Incluso, si la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no hubiese dado cumplimiento al mentado literal n) a través de la presentación del incidente de seguridad, hubiese sido susceptible a la formulación de cargos también por dicho deber. Por último, la recurrente se refiere a la decisión adoptada el 14 de enero de 2019, a lo cual es menester aclarar que en dicha fecha no se tomó ninguna decisión por esta entidad sino que corresponde a la fecha de radicación del incidente de seguridad por parte de la recurrente. 13.6 Respecto de las pretensiones La recurrente expone las razones de inconformidad respecto de la Resolución No. 56651 de 2021; no obstante, no señala de forma expresa si solicita que se aclare, modifique, adicione o revoque conforme con el numeral 1 y 2 del artículo 74 de la Ley 1437 de 201121.

En todo caso, en consideración a que a través del recurso de reposición se puede solicitar la aclaración, adición, modificación o revocación, este Despacho entiende en razón a los argumentos de la recurrente que su intención es la modificación y/o revocación del acto administrativo recurrido. Este Despacho confirma que se encuentra plenamente demostrado en esta investigación que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en 21 “ARTÍCULO

74. RECURSOS CONTRA LOS ACTOS ADMINISTRATIVOS. Por regla general, contra los actos definitivos procederán los siguientes recursos: 1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque. 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. (…)”.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” concordancia con los literales f) y g) del artículo 4 de la misma Ley. Así mismo, se confirma la sanción pecuniaria impuesta en la Resolución No. 56651 de 2021. Así las cosas, en razón a que no es procedente revocar ni modificar la Resolución No. 56651 de 2021, se concederá el recurso de apelación ante el Delegado para la Protección de Datos Personales.

DÉCIMO CUARTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución No. 56651 de 2021.

DÉCIMO QUINTO: Conclusiones 15.1 Se confirma que la recurrente actuó negligentemente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, al no aportar pruebas suficientes con las que lograra demostrar que adoptó medidas y acciones necesarias, pertinentes y útiles para que el asesor comercial no hubiese incurrido en el error humano el 17 de noviembre de 2018. 15.2 La recurrente no acreditó el cumplimiento del principio de responsabilidad demostrada para que se atenuara la sanción impuesta, en consideración a que con antelación al error humano del asesor comercial no adoptó las medidas y acciones pertinentes, útiles y efectivas para evitar dicho hecho que conllevó a que se vulnerara el deber previsto literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 15.3 La recurrente no se sancionó dentro de un marco de responsabilidad objetiva, ya que se valoró que incumplió un deber que le es exigible y de obligatorio cumplimiento en calidad de Responsable del Tratamiento y que no evitó, de modo alguno, que el asesor comercial por error humano cambiara los datos en las facturas y en el sistema de agendamiento. 15.4 El desistimiento de la queja por parte del Titular no implica de modo alguno que este Despacho archive esta investigación, ya que frente a los hechos puestos en conocimiento del Titular esta autoridad administrativa debe analizar si hubo un desconocimiento del Régimen General de Protección de Datos Personales por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. 15.5 La facultad sancionatoria de esta entidad en materia de protección de datos personales no tiene por objeto que se resarzan los daños y perjuicios causados al Titular de la información sino que se garantice el cumplimiento del Régimen General de Protección de Protección de Datos Personales previsto en la Ley 1581 de 2012, el cual fue reglamentado con el Decreto 1377 de 2013.

El resarcimiento de daños y perjuicios en materia contractual es competencia de la Jurisdicción Ordinaria. 15.6 En el expediente 19-6831 obra el reporte del incidente de seguridad reportado por la recurrente, con lo cual dio cumplimiento al deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012. Distinto es el objeto de esta investigación, el cual correspondió a determinar si la recurrente cumplió con el deber contemplado en el literal d) del 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma norma, por lo cual no hay identidad en los presupuesto previsto en el antedicho expediente y esta actuación administrativa.

DÉCIMO SEXTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, esta “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificaciones@loscoches.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 56651 de 2021 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, a través de su representante legal, entregándole copia de la misma.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente resolución al señor xxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 29 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente CARLOS ENRIQUE por CARLOS ENRIQUE SALAZAR MUÑOZ SALAZAR Fecha: 2021.10.29 MUÑOZ 14:54:40 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA / Revisó: AMVJ / Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Investigada: Sociedad: DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. Identificación: NIT 860.052.634-2 Representante Legal: xxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: Av.

El Dorado No. 77 – 04 Ciudad: Bogotá Correo electrónico: notificaciones@loscoches.com.co COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: xxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxx