Impacto Legal de la Resolución 60011 de 2024 sobre Protección de Datos Personales
El 9 de octubre de 2024, la Superintendencia de Industria y Comercio (SIC) impuso una sanción a la sociedad Centro de Idiomas Evolución S.A.S. por incumplir disposiciones de la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 en el tratamiento de datos personales. Este fallo, resultado de una investigación iniciada en 2021, establece importantes precedentes en la protección del derecho fundamental al hábeas data en Colombia.
Contexto y Hallazgos
La denuncia surgió de una usuaria que afirmó que la empresa gestionó un crédito a su nombre sin su autorización para el tratamiento de datos personales. Pese a los requerimientos de la SIC, la empresa no presentó pruebas de haber obtenido una autorización válida, previa, expresa e informada, lo que constituye una violación a los artículos 9 y 17 de la Ley 1581 de 2012. Además, no adoptó procedimientos para conservar dicha autorización, incumpliendo con las disposiciones legales.
Aspectos Legales Relevantes
- Consentimiento Previo, Expreso e Informado:
- El consentimiento es el pilar del régimen de protección de datos personales, como lo establece el artículo 4, literal c) de la Ley 1581 de 2012.
- Este debe obtenerse antes de cualquier tratamiento de datos, garantizando que el titular esté plenamente consciente de las finalidades y efectos de su autorización.
- Responsabilidad de los Responsables del Tratamiento:
- Según el artículo 17 de la Ley 1581, los responsables están obligados a implementar procedimientos claros para solicitar y conservar el consentimiento de los titulares.
- La omisión en la adopción de estas medidas no solo infringe la norma, sino que también afecta la confianza pública en la administración de datos personales.
- Principio de Responsabilidad Demostrada (Accountability):
- Este principio, desarrollado en el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015, exige que las empresas acrediten la implementación de medidas que aseguren el cumplimiento de las normas de protección de datos.
- Facultad Sancionatoria de la SIC:
- En virtud del artículo 23 de la Ley 1581 de 2012, la SIC puede imponer sanciones administrativas hasta por 2,000 salarios mínimos legales mensuales vigentes (SMLMV) y otras medidas correctivas.
- En este caso, se impuso una multa de $2.540.632 (2 SMLMV) y se ordenó a la empresa implementar mecanismos adecuados para solicitar y conservar la autorización.
Implicaciones y Lecciones
Este caso destaca varios puntos cruciales para las empresas en Colombia:
- Cumplimiento Normativo Obligatorio:
El fallo reitera que el manejo adecuado de los datos personales es una obligación legal que trasciende la actividad económica, implicando sanciones severas para quienes incumplen.
- Protección de los Derechos Fundamentales:
La infracción al hábeas data no solo vulnera derechos individuales, sino que pone en riesgo la confianza de la sociedad en el sistema de protección de datos.
- Impacto Económico y Reputacional:
Aunque la sanción económica en este caso fue moderada, el daño reputacional para las empresas que incumplen puede ser significativo, afectando su competitividad en el mercado.
- Precedente en la Jurisprudencia:
Este fallo refuerza la aplicación de los principios de la Ley 1581 de 2012, estableciendo un estándar de diligencia que otras empresas deben observar para evitar sanciones similares.
Conclusión
La Resolución 60011 de 2024 constituye un llamado de atención para las empresas sobre la importancia del cumplimiento de la normativa de protección de datos en Colombia. Este caso subraya que la falta de implementación de medidas adecuadas no solo acarrea sanciones económicas, sino que también afecta la confianza de los ciudadanos en el sistema. La SIC, a través de su facultad sancionatoria, reafirma el derecho de los titulares a la autodeterminación informática, consolidando el régimen de protección de datos en el país.