Sanciones por protección de datos en Colombia

Las sanciones del artículo 23

Recaen sobre los responsables y los encargados del tratamiento:

• Multas de carácter personal e institucional de hasta 2.000 salarios mínimos mensuales legales vigentes al momento de imponerlas. Pueden ser sucesivas mientras siga el incumplimiento.
• Suspensión de las actividades de tratamiento por hasta 6 meses, con los correctivos que hay que adoptar.
• Cierre temporal de las operaciones de tratamiento, si pasado el plazo de suspensión no se han adoptado esos correctivos.
• Cierre inmediato y definitivo de la operación que trate datos sensibles.

Qué se sanciona: los deberes de la ley

La Ley 1581 no enumera las infracciones. La Corte Constitucional (sentencia C-748 de 2011) entendió que la infracción es incumplir la ley y, en concreto, los deberes de los responsables (art. 17) y de los encargados del tratamiento (art. 18). El titular es la persona natural cuyos datos se tratan. Entre esos deberes:

• garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;
• solicitar y conservar copia de la autorización que dio el titular (solo el responsable);
• informar al titular de la finalidad de la recolección y de los derechos que le da la autorización (solo el responsable);
• conservar la información con la seguridad necesaria para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
• tramitar las consultas y los reclamos en los términos de la ley;
• adoptar un manual interno de políticas y procedimientos, en especial para atender consultas y reclamos;
• informar a la SIC cuando se violen los códigos de seguridad y haya riesgos en la administración de la información;
• cumplir las instrucciones y requerimientos de la SIC.

El encargado debe además actualizar la información que le reporte el responsable en 5 días hábiles desde que la recibe (art. 18.d). Si una misma persona es responsable y encargado, se le exigen los deberes de los dos (art. 18, parágrafo).

Cómo se gradúan

La SIC tiene en cuenta, cuando proceda, los criterios del artículo 24:

• la dimensión del daño o peligro a los intereses que protege la ley;
• el beneficio económico obtenido por el infractor o por terceros;
• la reincidencia;
• la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la SIC;
• la renuencia o desacato a cumplir las órdenes de la SIC;
• el reconocimiento expreso de la infracción antes de la sanción.

Las autoridades públicas no reciben estas sanciones

Las sanciones del artículo 23 solo se aplican a las personas de naturaleza privada. Si la SIC advierte un posible incumplimiento de una autoridad pública, remite la actuación a la Procuraduría General de la Nación.

El procedimiento

Una vez establecido el incumplimiento, la SIC adopta las medidas o impone las sanciones. En lo que no regula, la ley remite a las normas del Código Contencioso Administrativo (art. 22).

El titular o sus causahabientes solo pueden quejarse ante la SIC después de haber agotado el trámite de consulta o reclamo ante el responsable o el encargado (art. 16). Está explicado en el hábeas data en Colombia.