Resolución sancionatoria N° 62807 de 2021

REPÚBLICA DE COLOMBIA (28 JUNIO DE 2021) “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Radicación 20-221206 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante oficio radicado bajo el número 20-221206-0 de fecha 8 de julio de 2020 este Despacho requirió a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit. 890.500.513-1, (en adelante CÁMARA DE COMERCIO), para que informara lo siguiente: 1. ¿La recolección y Tratamiento de los Datos la realizan directamente la Cámara de Comercio de Cúcuta o se acude a los servicios de un tercero (Encargado de Tratamiento) para que se encargue de todos o algunos de los aspectos que involucra del Tratamiento ese tipo de información?.

En caso de que acuda a los servicios de un tercero, por favor adjuntar el contrato correspondiente. 2. ¿Antes de diseñar la página web en lo relacionado con la recolección de Datos, se realizó un estudio de impacto de privacidad (Privacy Impact Assessment - PIA por sus siglas en inglés)?. De ser así, por favor remitirlo. 3. ¿Se realizó una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los Datos personales? Si así fue, deberá, anexar el respectivo documento que lo acredite. 4.

¿Se desarrolló y puso en marcha un sistema de administración de riesgos asociados al Tratamiento de Datos personales que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestas las personas como consecuencia del Tratamiento de su información a través de la página web de esa organización?.

En caso de que la respuesta a este interrogante sea positiva, por favor enviar la evidencia correspondiente. 5. ¿Qué medidas útiles, apropiadas, oportunas, efectivas y demostrables han adoptado para cumplir la regulación de Tratamiento de Datos personales respecto de la información que recolectan a través de su página web? 6. Qué medidas tecnológicas; humanas; administrativas; físicas; contractuales; entre otras, ha implementado la Cámara de Comercio de Cúcuta, con el fin de evitar lo siguiente respecto del manejo de la información: i. ii. iii. iv.

Accesos y/o usos indebidos o no autorizados; Manipulación; Destrucción; Circulación o suministro de la de los Datos a personas no autorizadas. 7. ¿Esas medidas de seguridad son objeto de revisión, evaluación y mejora permanente? 8. ¿Se han presentado incidentes de seguridad? De ser así, por favor informe ¿cuántos reclamos se han presentado y cuál fue la gestión adelantada frente a esto? 9.

¿Con cuáles empresas; plataformas digitales; y/o entidades se realiza intercambio o envió de Datos de los Titulares? Y ¿por qué causa? 10. ¿Dónde están almacenadas, y cómo se obtienen las Autorizaciones de los Titulares para el Tratamiento sus Datos por parte de terceros? 11. De ser el caso, ¿cuál es la información que se comparte y/o transmite? Por favor especificar. 12.

¿Cuál es el Tratamiento que aplica cada tercero a los Datos recolectados? 13. De conformidad con lo establecido en el artículo 11 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), y en atención a las limitaciones temporales en el Tratamiento de Datos personales, ¿Cuál ha sido el procedimiento establecido por esa organización para suprimir la información que se recolecte mediante su sitio web? “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA 14.

De conformidad con lo establecido en el artículo 4 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) ¿qué procedimientos se establecieron para determinar que la información solicitada en la página web, es pertinente y adecuada para la finalidad del registro? 15. Así pues, por favor explique, ¿Por qué razón cada uno de los Datos recolectados son indispensables para cumplir la finalidad informada? 16.

Finalmente, teniendo en cuenta los procedimientos fijados informe si, ¿se tuvo en cuenta lo dispuesto por el artículo 6 de la Ley 1581 de 2012, en concordancia con el artículo 6 del Decreto 1377 de 2013, sobre el Tratamiento de Datos personales sensibles de los Titulares?, en la medida que “ninguna actividad podrá condicionarse a que el Titular suministre Datos personales sensibles”.

SEGUNDO: Que, respecto del anterior requerimiento, la CÁMARA DE COMERCIO guardó silencio.

TERCERO: Que el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia, realizó la preservación de la página web de la CÁMARA DE COMERCIO (www.cccucuta.org), relacionando en el Acta No. 071 del 16 de julio de 2020, los hallazgos encontrados sobre la protección de datos personales.

CUARTO: Que mediante Resolución 62807 del 7 de octubre de 2020, este Despacho resolvió formular pliego de cargos contra la CÁMARA DE COMERCIO, como se indica a continuación: “ARTÍCULO PRIMERO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1, por la presunta vulneración del deber de solicitar la Autorización al Titular para el Tratamiento de sus Datos personales, contenido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley.

Así como del artículo 5 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015) de conformidad con lo señalado anteriormente y resumido en la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Cúcuta respecto del Tratamiento de Datos que realiza mediante formularios que utiliza en su página web.”

ARTÍCULO SEGUNDO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por el presunto incumplimiento del deber de informar al Titular al momento de solicitar la Autorización lo establecido en los literales a); b); c); y d) del artículo 12 de la Ley 1581 de 2012, en concordancia con los literales b); c) y e) del artículo 8 de la misma norma.

ARTÍCULO TERCERO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por la presunta violación del deber de informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus Datos personales, de conformidad con lo establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, de conformidad con la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Cúcuta respecto del Tratamiento de Datos que realiza mediante formularios que utiliza en su página web”.

ARTÍCULO CUARTO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por la presunta transgresión del numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015”.

QUINTO: Que la Resolución 62807 del 7 de octubre de 2020 fue notificada de forma electrónica a la CÁMARA DE COMERCIO el mismo día, según consta en la certificación expedida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-221206-15 de fecha 9 de noviembre de 2020.

SEXTO: Que mediante oficio radicado en el sistema de trámites de la entidad bajo el número 20-221206-14 de fecha 28 de octubre de 2020, el Presidente Ejecutivo de la CAMARA DE COMERCIO encontrándose dentro del término establecido para el efecto, presentó los respectivos descargos en los cuales manifestó, lo siguiente: I. NULIDAD PROCESAL 1.1.

Nulidad por indebida notificación del oficio 20-221206-0 del 8 de julio de 2020, por el cual presuntamente se pretendía realizar una indagación preliminar. Antes de rendir los respectivos descargos frente al Pliego de Cargos elevado por la SIC, es necesario poner de presente a esta autoridad administrativa, la existencia de unos flagrantes yerros procedimentales que afectan el debido proceso y el derecho de defensa de la CCC, por lo que este Despacho debe decretar la nulidad de todo lo actuado, como se sustenta a continuación: En primer lugar, deviene de máxime importancia poner de presente las garantías que comprenden el debido proceso en materia administrativa, las cuales fueron relatadas por la H. Constitucional de la siguiente manera: “[L]a jurisprudencia ha señalado que hacen parte de las garantías del debido proceso administrativo, entre otros, los derechos a: (i) ser oído durante toda la actuación, (ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad (de aquellas obtenidas con violación del debido proceso”.

(C-034 de 2014). Del aparte citado anteriormente, me permito poner de presente al H. Juzgador que el oficio 20-2221206-0 del 8 de julio de 2020 en donde la Dirección de Investigación de Protección de Datos Personales de la SIC requirió al Presidente Ejecutivo no fue debidamente notificada a la CCC, pues esta fue devuelta por el correo certificado por el cual presuntamente se remitió a la CCC, tal y como se puede constatar en la constancia de DEVOLUCIÓN de Servicios Postales Nacionales S.A. identificada con número de NIT. 900.062.917-9.

Aquella indebida notificación pretermitió el derecho de defensa de la CCC toda vez que no le brindó la oportunidad para ser oído y dar respuesta a los interrogantes del referido cuestionario, ante lo cual la SIC interpretó un erróneo silencio que dio paso a la apertura del presente procedimiento disciplinario y al elevamiento del pliego de cargos contenido en la Resolución 62807 de 2020.

Este yerro procedimental no permitió a esta CCC defenderse adecuadamente en esa etapa procesal. Por tal razón, la Resolución adolece de nulidad y puede constituye una falta al debido proceso, toda vez que esta se encuentra indebidamente motivada al relacionar supuestos de hecho que no se ajustan a la realidad, como se puede evidenciar en su considerando primero y segundo, pues determina que nuestra Entidad guardó silencio frente al oficio 20-2221206-0 del 8 de julio de 2020 situación que no es cierta, pues éste no nos fue notificado.

(…) En consecuencia, respetuosamente solicito declarar la nulidad de lo actuado hasta el requerimiento del 202221206-0 del 8 de julio de 2020. II. DESCARGOS 2.1 La CCC no requiere solicitar autorización para el tratamiento de datos personales por encontrarse en el supuesto de hecho del literal a del artículo 10 de la Ley 1581 de 2012. La Ley Estatutaria 1581 de 2012, en su artículo 10, literal a) relaciona las causales bajo las cuales un responsable no requiere autorización previa para efectuar tratamiento de datos personales.

De manera que, el referenciado artículo a la letra reza: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) b) c) d) e) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; Datos de naturaleza pública; Casos de urgencia médica o sanitaria; Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;

Datos relacionados con el Registro Civil de las Personas. (…) (Resaltado nuestro). A partir del aparte citado se evidencia que por disposición legal las entidades públicas o administrativas se encuentran legitimadas para realizar el tratamiento de datos personales sin que medie autorización previa, cuando estas se encuentren en ejercicio de sus funciones legales.

Frente a ello, resulta pertinente poner de presente que esta se configura cuando confluyen los siguientes supuestos de hecho: (i) la información es requerida por una entidad pública o administrativa; (ii) esta se encuentra en ejercicio de funciones de orden legal. En el presente acápite se expondrá porque a CCC le es aplicable la excepción contenida en el literal a del artículo 10 de la Ley 1581 de 2012, con base en que: (i) según la Jurisprudencia de la H. Corte Constitucional las Cámaras de Comercio ocupan la posición de la autoridad administrativa en cuanto al ejercicio de sus funciones;

(ii) estas ejecutan funciones públicas de orden legal, como lo son aquellas contenidas en el Código de Comercio, el Decreto 2042 de 2014, la Ley 1150 de 2007, el Decreto 19 de 2012 y el Decreto 1082 de 2015. Además, se encuentran sujetas a control fiscal y disciplinario que realizan la Contraloría General de la Nación y la Procuraduría General de la Nación, respectivamente. 2.1.1 Las Cámaras de Comercio poseen las mismas prerrogativas propias de las autoridades estatales: Las Cámaras de Comercio en el ordenamiento jurídico colombiano se encasillan bajo lo que ha sido denominado por la Jurisprudencia y la Doctrina como la descentralización por colaboración, tal y como lo ha expresado la H. Corte Constitucional[1]1.

Esta institución jurídica opera cuando se entrega a un particular la ejecución de una función pública estatal, para que éste, previa autorización de un acto administrativo habilitante desarrolle el ejercicio de la función pública de la misma manera y con controles similares a los que hubiera podido estar sujetas entidades estatales en ejecución de la misma labor[2]2.

Así pues, cuando los particulares ejerzan funciones públicas, en virtud de la descentralización por colaboración, se encuentran investidos de las mismas prerrogativas del poder público, ocupando así la posición de la autoridad estatal. Al respecto la H. Corte Constitucional determinó, mediante Sentencia C-909 de 2007, lo siguiente: “Los particulares (…) cuando son investidos de la facultad de ejercer funciones administrativas, participan de la naturaleza administrativa, en cuanto toca con el ejercicio de esas funciones, en cuyo desempeño ocupan la posición de la autoridad estatal gozando, por Corte Constitucional, Sentencia C- 1051 DE 2001, PÁGINA 1: “La descentralización por colaboración se presenta cuando personas privadas ejercen funciones administrativas, v. gr.

Las Cámaras de Comercio” Cámara de Comercio de Medellín para Antioquia: Las Cámaras de Comercio en Colombia, Aspectos Jurídicos “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA ende, de las prerrogativas del poder público y encontrándose, en consecuencia, sometidas a la disciplina del derecho público; de modo que los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad que, según el artículo 209 Superior, guían el desarrollo de la función administrativa, les son por completo aplicables.” (resaltado ajeno al original).

De la anterior Jurisprudencia, se evidencia que cuando los particulares se ven investidos de funciones administrativas estos poseen las mismas prerrogativas que posee una autoridad estatal que llegare a desarrollar la misma función. Este investimento de funciones, para el caso de la CCC, se constituyó y declaró desde la expedición del Decreto 1807 del 29 de octubre de 1915, por el cual se crean las Cámaras de Comercio de Cúcuta, Cartagena, Cali y Bucaramanga, por lo cual esta se encuentra dotada de las mismas prerrogativas que poseen las entidades administrativas, por lo que le es aplicable la excepción contenida en el literal a del artículo 10 de la Ley 1581 de 2012.

En esta misma línea, a continuación, se expondrán algunas de las funciones que llevan a cabo las cámaras de comercio, funciones que son de origen legal. 2.1.2. Las Cámaras de Comercio ejecutan funciones de orden legal, por lo cual le es aplicable el literal a del artículo 10 de la Ley 1581 de 2012: A fin de poner de presente que las cámaras de comercio se encuentran en ejercicio de funciones legales, por lo cual le es aplicable la excepción contenida en el literal a del artículo 10 de la Ley 1581 de 2012 para la autorización de tratamiento de datos personales, es menester remitirnos principalmente al artículo 86 del Código de Comercio y a aquellas contenidas en el Decreto 2042 del 15 de octubre de 2014 expedido por el Presidente de la República.

(…) De lo cual se evidencia que las cámaras de comercio ejecutan funciones legales contenidas principalmente en los artículos 86 del Código de Comercio y en el 4° del Decreto 2042 de 2014, por lo cual se encuentran cobijadas por la excepción de requerir autorización para el tratamiento de datos personales como lo consagra el literal a del artículo 10 de la Ley 1581 de 2012.

Adicionalmente, la CCC lleva a cabo las siguientes funciones públicas, lo que reafirma que estas entidades se encuentran en ejercicio de funciones públicas de orden legal: 2.1.3. Función de llevar el Registro Único de Proponentes. Es función de las cámaras de comercio de Colombia, y es una de las más importantes de ellas, el llevar a cabo el Registro único de Proponentes, registro que se encuentra detalladamente regulado en la Ley 1150 de 2007, el Decreto 19 de 2012 y el Decreto 1082 de 2015. 2.1.4.

Función de llevar el registro de Entidades Sin Ánimo de Lucro (RUES). Tal y como manifiesta el Decreto 2150 de 1995 en su artículo 40, es función de las cámaras de comercio llevar a cabo la inscripción y registro de las organizaciones civiles, las corporaciones, las fundaciones, las juntas de acción comunal y de las demás entidades privadas sin ánimo de lucro.

Esta función de orden legal fue posteriormente desarrollada en extenso mediante la creación y designación a las cámaras de comercio de llevar a cabo la gestión del Registro Único Empresarial y Social (RUES), mediante la expedición del artículo 166 del Decreto Ley 019 de 2012. (…) 2.1.5. Función de llevar a cabo la publicidad de los Estados Financieros.

De acuerdo con el artículo 41 de la Ley 222 de 1995, es obligatorio, dentro del mes siguiente a la fecha en la cual sean aprobados los Estados Financieros, depositar copia de los mismos, junto con sus notas y el dictamen correspondiente, si lo hubiere, en la cámara de comercio del domicilio social. Esta ha de expedir copia de tales documentos a quienes lo soliciten y paguen los costos correspondientes. 2.1.6.

Función de llevar el registro de las veedurías ciudadanas. En virtud de la Ley 850 de 2003, la cual posteriormente fue modificadas por la Ley 1757 de 2014, compete a las cámaras de comercio la función de llevar el registro público, en compañía con las personerías municipales o distritales, de las veedurías ciudadanas que se constituyan en su jurisdicción. (…) 2.1.7.

Las Cámaras de Comercio recaudan tributos para su funcionamiento y sostenimiento. En primer lugar, es pertinente poner de presente que la principal fuente de financiamiento de las cámaras de comercio son las tasas que estas recaudan como contraprestación a los servicios que estas prestan. Al respecto, el artículo 182 de la Ley 1607 de 2012 manifiesta lo siguiente: “Articulo 182.

De la tasa contributiva a favor de las Cámaras de Comercio. Los ingresos a favor de las cámaras de comercio por el ejercicio de las funciones registrales, actualmente incorporadas e integradas en el Registro Único Empresarial y Social (RUES), son los previstos por las leyes vigentes. Su naturaleza es la de tasas, generadas por la función pública registral a cargo de quien solicita el registro previsto como obligatorio por la ley, y de carácter contributivo, por cuanto tiene por objeto financiar solidariamente, además del registro individual solicitado, todas las demás funciones de interés general atribuidas por la ley y los decretos expedidos por el Gobierno nacional con fundamento en el numeral 12 del artículo 86 del Código de Comercio.” (resaltado ajeno al original).

Por lo que la naturaleza jurídica de los ingresos de las cámaras de comercio provenientes de las tasas recaudadas por su función pública registral reafirma el hecho de que nos encontramos en sede de una entidad en ejercicio de funciones públicas. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA 2.1.8. Las Cámaras de Comercio se encuentran sujetas al control fiscal ejercido por la Contraloría General de la Nación y al disciplinario ejercido por la Procuraduría General de la Nación El artículo 88 del Código de Comercio[3]3 dispone que la Contraloría General de la Nación será la encargada de ejercer el control y vigilancia sobre el recaudo, manejo e inversión de los ingresos que reciban las cámaras de comercio, conforme al presupuesto de estas, el cual debe ser aprobado por la Superintendencia de Industria y Comercio.

Así mismo, en tanto las cámaras de comercio se encuentran ejerciendo una función pública administrativa, tal y como fue expuesto en extenso en el presente acápite, la Procuraduría General de la Nación ejerce control disciplinario sobre aquellos funcionarios que por competencia funcional ejecuten funciones públicas4. 2.1.9. Conclusión A partir de lo relatado en extenso en el presente acápite, es dable concluir que la CCC es una entidad que goza de las mismas prerrogativas propias de las entidades públicas, en tanto se encuentra ejerciendo funciones legales administrativas, por lo cual de acuerdo al literal a del artículo 10 de la Ley 1581 de 2012 no requiere autorización por parte de los titulares para el tratamiento de los datos personales que se recolecten para el ejercicio de tales funciones.

Ahora bien, si bien la CCC no requiere autorización para el tratamiento de datos personales, para lo que atañe al cumplimiento de sus funciones, dentro de las prácticas de protección de datos personales de la CCC se encuentra el solicitar autorización para el tratamiento de los datos de los titulares en pro de la salvaguarda del derecho de hábeas data de estos.

De igual manera, es pertinente manifestar que durante el mes de agosto de 2020, la CCC de manera proactiva y unilateral al evidenciar una oportunidad de mejora al formulario de solicitud de revisión de actas, decidió bloquear la dirección web del mismo. En esta misma línea, ante la notificación de la Resolución 62807 de 2020, por la cual se formuló el pliego de cargos, la CCC de manera proactiva los días 21 y 22 de octubre de 2020 procedió a modificar los formularios.

Bajo el anterior contexto, a continuación, se procederá a desestimar uno a uno los cargos endilgados por la SIC ante los presuntos incumplimientos en materia de datos personales, de la siguiente manera: 2.2. Frente al cargo endilgado en el artículo primero de la Resolución 62087 del 7 de octubre de 2020 Cargo endilgado: Artículo Primero. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1, por la presunta vulneración del deber de solicitar la Autorización al Titular para el Tratamiento de sus Datos personales, contenido en el literal del artículo 17 de la Ley 1581 de 2012 (…) de conformidad con lo señalado anteriormente y resumido en la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Cúcuta respecto del Tratamiento de Datos que realiza mediante formularios que utiliza en su página web.” En primer lugar, es pertinente poner de presente que la CCC se encuentra habilitada legalmente para realizar el tratamiento de datos personales para la ejecución de sus funciones de orden legal, sin que medie autorización del titular, habida cuenta de lo expresado en el primer acápite de este escrito de descargos.

No obstante, lo anterior, a continuación se expondrá las razones por las cuales los formularios para la recolección de datos personales sí solicitan la autorización a los titulares, y por lo tanto, a la fecha no incumplen lo manifestado en el artículo primero de la Resolución 62807 de 2020. 2.2.1. Formulario Contáctenos: Según la SIC este formulario: “(i) no pone en conocimiento del Titular la Política de Tratamiento de Información (en adelante PTI) tal y como lo dispone el párrafo segundo del artículo 13 del Decreto 1377 de 2013;

(ii) tampoco utiliza un aviso de privacidad en caso de que no sea posible poner a disposición del Titular las PTI de conformidad con lo que ordena el artículo 14 del Decreto 1377 de 2013; (iii) No informa al Titular del Dato lo que exige el artículo 12 de la Ley Estatutaria 1581 de 2012.” Frente a ello, nos permitimos determinar que el Formulario Contáctenos sí cumple con la normatividad anteriormente citada, ya que: (i) Pone en conocimiento del Titular la PTI y el aviso de privacidad de la Entidad: este formulario, en lo que respecta a la autorización relacionada en el numeral 7, manifiesta lo siguiente: Código de Comercio, artículo 88.

Control y vigilancia de recaudos. La Contraloría General de la República ejercerá el control y vigilancia del recaudo, manejo e inversión de los ingresos de las cámaras de comercio, conforme al presupuesto de las mismas, previamente aprobado por la “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Al dar clic en el enlace relacionado en la anterior imagen, se despliega un banner que permite acceder a la PTI y al aviso de privacidad de la CCC.

Asimismo, permite acceder a un documento de seguridad en el cual los titulares pueden encontrar los mecanismos adoptados por la Entidad para realizar el tratamiento de datos personales bajo medidas de seguridad. De igual manera, el titular o el afiliado mediante tal banner puede encontrar algunos documentos elaborados por la CCC para que estos puedan ejercer sus derechos más fácilmente.

Lo anterior se puede constatar en la siguiente imagen: (ii) El formulario informa al titular lo determinado en el artículo 12 de la Ley 1581 de 2012, toda vez que de manera expresa y sucinta le relaciona el tratamiento al que estarán sujetos sus datos y las finalidades del tratamiento. Sobre este último aspecto, estas pueden consultarse, de igual manera, en el aviso de privacidad de la Entidad, al cual se puede tener acceso al dar clic en el enlace relacionado en la autorización del tratamiento.

La identificación, dirección física o electrónica y el teléfono de la CCC como responsable del Tratamiento se encuentran en la página 2 de la PTI de la Entidad, tal y como a continuación se puede constatar: Frente al literal b) del citado artículo 12, la CCC no realiza preguntas que soliciten datos de naturaleza sensible, o sobre los datos de las niñas, niños y adolescentes, por lo cual no se encuentra obligado a determinar el correspondiente aviso.

Lo anterior encuentra fundamento en que las funciones que desempeña la CCC, que son del orden legal, no tienen relación con datos sensibles o de niños, niñas o adolescentes. Frente al relacionamiento de los derechos que le asisten como titular, estos se encuentran en la PTI y el aviso de privacidad de la Entidad. Sobre este último particular, es importante resaltar que la CCC se encuentra comprometida con la garantía de los derechos de los titulares, motivo por el cual en el enlace relacionado en la autorización de datos se encuentran múltiples formatos que pueden ser utilizados por estos para hacer ejercicio de sus derechos. 2.2.2.

Formulario Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones: Según la SIC este formulario: (i) no pone en conocimiento del Titular la Política de Tratamiento de Información tal y como lo dispone el párrafo segundo del artículo 13 del Decreto 1377 de 2013; (ii) tampoco utiliza un aviso de privacidad en caso de que no sea posible poner a disposición del Titular las PTI de conformidad con lo que ordena el artículo 14 del Decreto 1377 de 2013;

(iii) No solicita autorización del titular del Dato como lo exige el literal b del artículo 17 de la Ley 1581 de 2012; (iv) No informa al Titular del Dato lo que exige el artículo 12 de la Ley Estatutaria 1581 de 2012. Frente a ello, nos permitimos determinar que el Formulario de Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones sí cumple con la normatividad anteriormente citada, ya que: (i) Frente a la primera y segunda observación, nos permitimos determinar que el Formulario Contáctenos Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones, contenía una oportunidad de mejora relacionada con la visualización de la PTI y el aviso de privacidad de Entidad, a partir de lo cual, la CCC procedió a incluir la visualización de la PTI y el aviso de privacidad mediante el relacionamiento del link http://www.cccucuta.org.co/secciones- 128-s/informacion-general-habeas-data.htm, que contiene dicha información. (ii) Frente a la tercera observación, si bien no requerimos autorización para el tratamiento de los datos personales, al efectuarse el tratamiento sobre funciones legales de la CCC, esta procedió a incluir una solicitud de autorización, en pro de la salvaguardar al derecho de hábeas data de los titulares.

Esta autorización se incluyó conforme a como fue relatado en extenso en el numeral 2.2.1. de este escrito. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA (iii) Frente a lo manifestado por el artículo 12 de la Ley 1581 de 2012, este formulario cumple a cabalidad lo exigido por aquel, por los mismos motivos establecidos en el literal (ii) del numeral 2.2.1. de este escrito. 2.2.3.

Formulario de contacto para revisión de actas Según la SIC este formulario: (i) no pone en conocimiento del Titular la Política de Tratamiento de Información tal y como lo dispone el párrafo segundo del artículo 13 del Decreto 1377 de 2013; (ii) tampoco utiliza un aviso de privacidad en caso de que no sea posible poner a disposición del Titular las PTI de conformidad con lo que ordena el artículo 14 del Decreto 1377 de 2013;

(iii) No solicita autorización del titular del Dato como lo exige el literal b del artículo 17 de la Ley 1581 de 2012; (iv) No informa al Titular del Dato lo que exige el artículo 12 de la Ley Estatutaria 1581 de 2012. Frente a este formulario, es pertinente poner de presente al H. Juzgador que este no se encuentra en funcionamiento desde el 6 de agosto de 2020.

No obstante, lo anterior, nos permitimos determinar que el Formulario para revisión de actas cumplía parcialmente con la normatividad anteriormente citada, ya que por tratarse de una función propia de la CCC derivada de su función pública registral, como lo es la revisión previa de las actas, no requiere autorización para el tratamiento de los datos. 2.2.4.

Formulario Preinscribirme De acuerdo a la formulación de cargos realizada por la SIC: (i) no pone en conocimiento del Titular la Política de Tratamiento de Información tal y como lo dispone el párrafo segundo del artículo 13 del Decreto 1377 de 2013; (ii) tampoco utiliza un aviso de privacidad en caso de que no sea posible poner a disposición del Titular las PTI de conformidad con lo que ordena el artículo 14 del Decreto 1377 de 2013;

(iii) No solicita autorización del titular del Dato como lo exige el literal b del artículo 17 de la Ley 1581 de 2012; (iv) No informa al Titular del Dato lo que exige el artículo 12 de la Ley Estatutaria 1581 de 2012. Frente a ello, nos permitimos determinar que el Formulario Preinscribirme sí cumple con la normatividad anteriormente citada, ya que: (i) Frente a la primera y segunda observación, nos permitimos determinar que el Formulario Preinscribirme, contaba con una oportunidad de mejora relacionada con la visualización de la PTI y el aviso de privacidad de Entidad, a partir de lo cual, la CCC procedió a incluir la visualización de la PTI y el aviso de privacidad mediante el relacionamiento del link http://www.cccucuta.org.co/secciones- 128s/informacion-general-habeas-data.htm, que contiene dicha información. (ii) Frente a la solicitud de autorización. (iii) Frente a lo manifestado por el artículo 12 de la Ley 1581 de 2012, este formulario cumple a cabalidad lo exigido por aquel, por los mismos motivos establecidos en el literal (ii) del numeral 2.2.1 de este escrito. 2.2.5.

Formulario Fortalecimiento Empresarial Según la SIC este formulario: (i) no pone en conocimiento del Titular la Política de Tratamiento de Información tal y como lo dispone el párrafo segundo del artículo 13 del Decreto 1377 de 2013; (ii) tampoco utiliza un aviso de privacidad en caso de que no sea posible poner a disposición del Titular las PTI de conformidad con lo que ordena el artículo 14 del Decreto 1377 de 2013;

(iii) No informa al Titular del Dato lo que exige el artículo 12 de la Ley Estatutaria 1581 de 2012. Frente a ello, nos permitimos determinar que el formulario para la revisión de actas sí cumple con la normatividad anteriormente citada, ya que: (i) (ii) Frente a la primera y segunda observación, nos permitimos determinar que el Formulario Fortalecimiento Empresarial contaba con una oportunidad de mejora relacionada con la visualización de la PTI y el aviso de privacidad de Entidad, a partir de lo cual, la CCC procedió a incluir la visualización de la PTI y el aviso de privacidad mediante el relacionamiento del link http://www.cccucuta.org.co/secciones-128s/informacion-general-habeas- data.htm, que contiene dicha información. Frente a lo manifestado por el artículo 12 de la Ley 1581 de 2012, este formulario cumple a cabalidad lo exigido por aquel, por los mismos motivos establecidos en el literal (ii) del numeral 2.2.1 de este escrito. 2.3.

Frente al cargo endilgado en el artículo segundo de la Resolución 62087 del 7 de octubre de 2020. Cargo endilgado: “Artículo Segundo. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por el presunto incumplimiento del deber de informar al Titular al momento de solicitar la Autorización lo establecido en los literales a); b); c); y d) del artículo 12 de la Ley 1581 de 2012, en concordancia con los literales b); c) y e) del artículo 8 de la misma norma.” “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Este cargo se relató en extenso en la Hoja 14 y subsiguientes de la Resolución 62807 de 2020, en donde la SIC manifestó lo siguiente: Es importante en primera instancia, (i) evidenciar que en nuestro concepto la SIC hace afirmaciones incumplimiento sin que aún esta entidad haya podido defenderse de tales cargos y (ii) las múltiples preguntas se encuentran repetidas.

Habiendo puesto de presente los anteriores yerros procedimentales, me permito dar respuesta a los presuntos incumplimientos manifestados por la SIC mediante la Resolución 62807 de 2020, de la siguiente manera: 1. ¿Se informa al momento de solicitar la Autorización el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? Y 2.

Se informa de manera clara y expresa el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? Descargo: En la PTI de la Entidad, a partir el numeral 3.4. de la misma se realiza una relación en extenso de las diferentes bases de datos que maneja la CCC, en donde en cada una de ellas se pone de presente que son bases de datos manuales o automatizadas, por lo cual sí se informa al titular sobre el tipo de tratamiento que será efectuado con sus datos personales.

La PTI, dicho sea de paso, puede ser consultada antes de brindar la autorización del tratamiento de los datos, mediante el enlace designado para el efecto que acompaña la casilla de verificación de la autorización de tratamiento de datos personales. 3. ¿Se informa al momento de solicitar la Autorización la finalidad de la recolección, uso o Tratamiento de los datos personales? Y 4.

¿Se informa de manera clara y expresa la finalidad de la recolección, uso o Tratamiento de los datos personales? Descargo: De manera sucinta, clara y expresa se realiza una descripción general de las finalidades para las cuales serán tratados los datos personales de los titulares. Anteriormente los formularios de contáctenos y preinscribirme no contemplaban de manera expresa la relación de las finalidades del tratamiento, no obstante, al constituir esto una oportunidad de mejora, durante el término de traslado de la Resolución 62807 de 2020 se corrigieron las mismas, tal y como puede constatar el H. Juzgador. 5.

¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles?; 6. ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles? 7 y 8. ¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los datos de las niñas, niños y adolescentes (menores de 18 años de edad)? Descargo: La CCC no recopila datos sensibles ni mucho menos datos sobre niños, niñas y adolescentes, toda vez que sus funciones provienen por ministerio de la Ley, y dentro de nuestras funciones no se encuentra ninguna relacionada con tal tipo de datos personales.

Por lo anterior no realiza preguntas relacionadas con los tipos de datos anteriormente señalados. 9 y 10. ¿Se informa al momento de solicitar la Autorización los derechos que le asisten como Titular? 11 Y 12. ¿Se informa al momento de solicitar la Autorización al Titular del Dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Este derecho se podrá́ ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, ¿o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? Descargo: Mediante la autorización de tratamiento de datos personales, el titular manifiesta que ha leído, entendido y aceptado los términos del tratamiento de datos personales de acuerdo con lo expuesto, entre otras, en la PTI y el aviso de privacidad de la Entidad.

En la PTI, en su numeral 6, se realiza una relación en extenso sobre los derechos que le corresponden a los titulares de los datos que trate la CCC. Para el efecto, podrá corroborar lo expuesto mediante la PTI que se aporta al presente documento de descargos. 13 y 14. ¿Se informa al momento de solicitar la Autorización al Titular del Dato que tiene derecho a “solicitar prueba de la Autorización otorgada al responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? Descargo: En primer lugar, es pertinente poner de presente que la CCC no requiere de autorización para el tratamiento de datos personales, tal y como ya fue expuesto.

No obstante, lo anterior, en el numeral 4 de la PTI de nuestra Entidad manifiesta lo siguiente: “4. PRERROGATIVAS Y DERECHOS DE LOS TITULARES “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA La Cámara de Comercio de Cúcuta reconoce y garantiza a los titulares de los datos personales los siguientes derechos fundamentales: (…) • Solicitar prueba de la existencia de la autorización otorgada a la Cámara de Comercio de Cúcuta, salvo los casos en los que la Ley exceptúa la autorización.” Cabe aclarar que la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad. 15 y 16.

¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a “ser informado por el responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus Datos personales”? Descargo: Sí se informa el derecho de información que tiene el titular en virtud del literal c del artículo 8 de la Ley 1581 de 2012, pues el numeral 4 de la PTI de nuestra Entidad manifiesta lo siguiente: “4.

PRERROGATIVAS Y DERECHOS DE LOS TITULARES La Cámara de Comercio de Cúcuta reconoce y garantiza a los titulares de los datos personales los siguientes derechos fundamentales: (…) • Recibir información por parte de la Cámara de Comercio de Cúcuta, previa solicitud, respecto del uso que les ha dado a sus datos personales.” Cabe aclarar, la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad, por lo cual se da cabal cumplimiento a lo requerido respecto de esta pregunta. 17.

¿Se informa al momento de obtener la Autorización al Titular del dato que tiene derecho a “presentar ante la normas que la modifiquen, adicionen o complementen? Y 18. ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? Descargo: Si se informa el derecho que tiene el titular en virtud del literal d del artículo 8 de la Ley 1581 de 2012, para interponer quejas por infracciones al régimen de protección de datos personales ante la SIC pues el numeral 4 de la PTI de nuestra Entidad manifiesta lo siguiente: “4.

PRERROGATIVAS Y DERECHOS DE LOS TITULARES La Cámara de Comercio de Cúcuta reconoce y garantiza a los titulares de los datos personales los siguientes derechos fundamentales: (…) • Presentar quejas por infracciones a lo dispuesto en la normatividad vigente ante la Cabe aclarar, la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad, por lo cual se da cabal cumplimiento a lo requerido respecto de esta pregunta. 19.

¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a revocar la Autorización y/o solicitar la supresión del Dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? y 20. ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a revocar la Autorización y/o solicitar la supresión del Dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? Descargo: Si se informa el derecho que tiene el titular en virtud del literal e del artículo 8 de la Ley 1581 de 2012, para modificar y revocar la autorización y/o solicitar la supresión de los datos personales, pues el numeral 4 de la PTI de nuestra Entidad manifiesta lo siguiente: “4.

PRERROGATIVAS Y DERECHOS DE LOS TITULARES La Cámara de Comercio de Cúcuta reconoce y garantiza a los titulares de los datos personales los siguientes derechos fundamentales: (…) • Modificar y revocar la autorización y/o solicitar la supresión de los datos personales, cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales vigentes.

Este Derecho de revocatoria de la autorización no es absoluto siempre y cuando exista una obligación legal o contractual que limite este Derecho.” Cabe aclarar, la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad, por lo cual se da cabal cumplimiento a lo requerido respecto de esta pregunta. 21.

¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a “acceder en forma gratuita a sus Datos personales que hayan sido objeto de Tratamiento”? y 22. ¿Se informa de manera clara y “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA expresa al Titular del Dato que tiene derecho a “acceder en forma gratuita a sus Datos personales que hayan sido objeto de Tratamiento”? Descargo Si se informa el derecho que tiene el titular en virtud del literal f del artículo 8 de la Ley 1581 de 2012, para acceder en forma gratuita a los datos personales que hayan sido objeto de su tratamiento, pues el numeral 4 de la PTI de nuestra Entidad manifiesta lo siguiente: “4.

PRERROGATIVAS Y DERECHOS DE LOS TITULARES La Cámara de Comercio de Cúcuta reconoce y garantiza a los titulares de los datos personales los siguientes derechos fundamentales: (…) • Tener conocimiento y acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.” Cabe aclarar, la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad, por lo cual se da cabal cumplimiento a lo requerido respecto de esta pregunta. 23.

¿Se informa al momento de obtener la Autorización la identificación, dirección física o electrónica y teléfono del responsable del Tratamiento? Y 24. ¿Se informa de manera clara y expresa la identificación, dirección física o electrónica y teléfono del responsable del Tratamiento? Descargo: en la página 2 de la PTI de nuestra Entidad que corresponde a la Introducción de la misma se relaciona lo siguiente: Cabe aclarar, la PTI se encuentra disponible para su consulta y acceso dando clic en el enlace relacionado en las autorizaciones para el tratamiento de datos personales de la Entidad, por lo cual se da cabal cumplimiento a lo requerido respecto de esta pregunta.

De igual manera, en la parte final de nuestra página web se relaciona lo siguiente: A partir de lo cual se concluye y reafirma que la CCC sí cumple con la manifestación de la identificación, dirección física o electrónica y teléfono contenida en el literal d del artículo 12 de la Ley 1581 de 2012. 2.4. Frente al cargo endilgado en el artículo tercero de la Resolución 62087 del 7 de octubre de 2020 Cargo endilgado: “ARTÍCULO TERCERO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por la presunta violación del deber de informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus Datos personales, de conformidad con lo establecido en el literal c) del artículo 17 (…)” Al respecto me permito establecer que, tal y como se ha manifestado en extenso de este escrito en los formularios correspondientes se determinan las finalidades por las cuales se realiza la recolección de los datos personales de quienes diligencien los mismos, Por ejemplo, en el formulario de Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones se relaciona lo siguiente “los datos personales que la Cámara de Comercio de Cúcuta solicita será utilizados con el fin de comunicarles cualquier situación o evento relacionado con la solicitud, queja, reclamos, sugerencias/solicitudes y felicitaciones”.

Así mismo, los demás formularios manifiestan en la solicitud de autorización de tratamiento de datos personales, lo siguiente: “En mi calidad de titular de los datos personales aquí diligenciados, me permito manifestar mi autorización para su tratamiento por parte de la Cámara de Comercio de Cúcuta, con el fin de que sean utilizados para el aviso de otros productos o servicios que la Cámara de Comercio de Cúcuta realice, incluyendo las finalidades previstas en el Decreto 898 de 2000.

La Cámara de Comercio de Cúcuta protege los datos aquí diligenciados, de acuerdo a lo previsto en la Ley 1581 de 2012, y dentro de los términos del Aviso de Privacidad y “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA la Política de Protección de Datos Personales de la Cámara de Comercio de Cúcuta, la cual se puede consultar en la página http://www.cccucuta.org.co/secciones-128-s/informacion-general-habeas-data.htm”.

De igual manera, en el aviso de privacidad, al cual pueden acceder los titulares al momento de que autorizan el tratamiento de sus datos personales a través del link http://www.cccucuta.org.co/secciones-128-s/informaciongeneral-habeas-data.htm, se evidencian finalidades adicionales para las cuales podrán sr recolectados los datos personales.

No obstante, lo anterior, la CCC reconoce que la PTI de nuestra Entidad cuenta con oportunidades de mejora frente al establecimiento de finalidades generales y específicas para el tratamiento de los datos personales, motivo por el cual se procederán a realizar los ajustes correspondientes dentro de los (2) meses siguientes a la presentación del presente escrito de descargos, surtiendo los trámites necesarios para el efecto.

Lo anterior para que sea tenido en cuenta a la atenuación de la sanción, de acuerdo con el literal f del artículo 24 de la Ley 1581 de 2012, en caso de que la SIC considere pertinente imponer alguna de ellas. 2.5. Frente al cargo endilgado en el artículo cuarto de la Resolución 62087 del 7 de octubre de 2020. Cargo endilgado: “ARTÍCULO CUARTO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por la presunta transgresión del numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Articulo 2.2.2.25.3.1 del Decreto 1074 de 2015” En la misma línea de lo expresado en líneas anteriores, la CCC reconoce que la PTI de la Entidad cuenta con oportunidades de mejora frente al establecimiento de finalidades específicas, así como el establecimiento del periodo de vigencia de las bases de datos que trate la Entidad.

Por lo anterior, la CCC se compromete a realizar los ajustes correspondientes dentro de los (2) meses siguientes a la presentación del presente escrito de descargos, surtiendo los trámites necesarios para el efecto. III. PETICIÓN Como se puede evidenciar a lo largo del escrito, la CCC ha ejecutado el tratamiento de datos personales, en líneas generales, dando cumplimiento a lo establecido por la Ley 1581 de 2012 y el Decreto 1377 de 2013, y frente a las oportunidades de mejora evidenciadas, nuestra Entidad procederá a subsanarlas dentro de los dos (2) meses siguientes a la radicación de estos descargos, por lo que consideramos que el H. Juzgador no debe proceder a imponer sanción de ningún tipo a la CCC.

IV. ATENUACIÓN DE LA SANCIÓN, CONFORME LO DICTA EL ARTÍCULO 27 DEL DECRETO 1377 DE 2013 Y EL ARTÍCULO 24 DE LA LEY 1581 DE 2012 En caso de que el H. Juzgador determine que en el caso sub examine la conducta de la CCC configuró la adecuación típica para imponer sanción, comedidamente solicitamos esta sea atenuada de acuerdo a los criterios establecidos en el artículo 27 del Decreto 1377 de 2013 y en el artículo 24 de la Ley 1581 de 2012.

SÉPTIMO: Que mediante Resolución 11000 del 4 de marzo de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-221206, con el valor legal correspondiente, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que presentara los alegatos de conclusión respectivos.

OCTAVO: Que la Resolución 11000 del 4 de marzo de 2021 fue comunicada al Presidente Ejecutivo de la CÁMARA DE COMERCIO el 5 de marzo de 2021, según consta en la certificación expedida el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-22120619, de fecha 17 de marzo de 2021.

NOVENO: Que, dentro del término concedido para el efecto, el Presidente Ejecutivo de la CÁMARA DE COMERCIO presentó alegatos de conclusión, bajo el radicado 20-221206-20 del 18 de marzo de 2021, mediante os cuales se ratifica lo argumentado en el escrito de descargos.

DÉCIMO: Que de conformidad con lo expuesto en la presente actuación administrativa, y de conformidad con lo establecido en el artículo 19 de la Ley 1581 de 2012, se presentan las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES 1. CONSIDERACIONES PREVIAS. Para el desarrollo de la presente decisión, este Despacho en primer lugar se pronunciará respecto de la solicitud de nulidad por la violación al debido proceso planteada por el Presidente Ejecutivo de la CÁMARA DE COMERCIO, en segundo lugar se pronunciará frente a la naturaleza jurídica de las Cámaras de Comercio y frente a cada uno de los cargos formulados en la presente actuación administrativa, para finalmente considerar si se impone o no una sanción de carácter pecuniario a la investigada o se emitirán órdenes tendientes al mejoramiento del sistema de protección de datos personales implementado.

2. DE LA SOLICITUD DE NULIDAD. NO HUBO VIOLACIÓN DEL DEBIDO PROCESO. Fundamentó el Presidente de la CÁMARA DE COMERCIO esta solicitud, en los siguientes argumentos: “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA “el oficio 20-221206-0 del 8 de julio de 2020, en donde la Dirección de Investigación de Protección de Datos Personales de la SIC requirió al Presidente Ejecutivo no fue debidamente notificada a la CCC, pues esta fue devuelta por el correo certificado por el cual presuntamente se remitió a la CCC, tal y como se puede constatar en la constancia de DEVOLUCIÓN de Servicio Postales Nacionales S.A., identificada con número de NIT. 900.062.917-9.

Aquella indebida notificación pretermitió el derecho de defensa de la CCC toda vez que no le brindo la oportunidad para ser oído y dar respuesta a los interrogantes del referido cuestionario, ante lo cual la SIC interpretó un erróneo silencio que dio paso a la apertura del presente procedimiento disciplinario y al elevamiento del Priego de cargos contenido en la Resolución 62807 de 2020.

Este yerro procedimental no permitió a esta CCC defenderse adecuadamente en esa etapa procesal. Por tal razón, la Resolución adolece de nulidad y puede constituye (sic) una falta al debido proceso, toda vez que esta se encuentra indebidamente motivada al relacionar supuestos de hecho que no se ajustan a la realidad, como se puede evidenciar en su considerando primero y segundo, pues determina que nuestra Entidad guardó silencio frente al oficio 20-2221206-0 (sic) del 8 de julio de 2020” Respecto de la solicitud de nulidad, esta Dirección carece de competencia para realizar pronunciamiento alguno, en la medida que esa potestad corresponde únicamente a la jurisdicción de lo contencioso administrativo.

Sobre el tema en particular, la doctrina4 ha indicado: “[l]a declaración de nulidad del Acto Administrativo le compete a la jurisdicción de lo contencioso administrativa, y es el resultado de una demanda, el proceso que debe seguirse, razones de hecho y de derecho que aporta el demandante, para finalizar con un fallo declarándolo o no la respectiva nulidad”.

En el mismo sentido, se ha manifestado “que la anulación del acto administrativo solo se puede promover a través de acción judicial ante la jurisdicción contencioso-administrativa, según las competencias fijadas en las disposiciones atrás mencionadas (…) Lo anterior, no requiere mayor desarrollo jurídico si se tiene en cuenta que las competencias se encuentran establecidas en la Ley.

No obstante, advierte el Despacho que, dentro de la presente actuación administrativa, contrario a lo dicho por la CÁMARA DE COMERCIO, se ha respetado el debido proceso. Pues bien, el debido proceso es un derecho fundamental consagrado la Constitución Política5, que se traduce en las garantías mínimas que tiene todo ciudadano frente a las prerrogativas ejercidas por las autoridades administrativas y judiciales en sus diferentes actuaciones.

De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca: “( ) “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”6. De igual forma, la Corte se refirió a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “(…) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”7.

(Negrilla fuera de texto) De conformidad con lo establecido en el literal b) del artículo 21 de la Ley 1581 de 2012, esta Superintendencia, tiene como función la de iniciar de oficio o a petición de parte las investigaciones que considere pertinentes en contra de los Responsables o Encargados del tratamiento de datos personales, así una vez establecido el incumplimiento de las disposiciones establecidas en la citada ley, podrá adoptar las medidas necesarias o imponer las sanciones si a ello hubiese lugar.

PENAGOS, Gustavo. El Acto Administrativo Tomo II. Ediciones Doctrina y Ley. Bogotá D.C., 2008 Constitución Política, artículo 29: “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.

En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso“. Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo. Ibidem. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Mediante oficio radicado con el número 20-221206-00 de fecha 8 de julio de 2020 se requirió al Presidente Ejecutivo de la CÁMARA DE COMERCIO, para que diera respuesta a unos interrogantes relacionados con los procedimientos establecidos por la entidad para la protección de datos personales, conforme a la Ley 1581 de 2012; requerimientos que, no fueron resueltos.

Frente a lo anterior, la Secretaria de Gobierno y Auditoría Corporativa de la CÁMARA DE COMERCIO, mediante oficio radicado con el número 20-221206-7 de fecha 15 de octubre de 2020, indicó: “Al analizar los supuestos fácticos de la Resolución No. 62807 de 2020, por medio de la cual se formula un pliego de cargos en contra de la Cámara de Comercio de Cúcuta, encontramos que la Superintendencia de Industria y Comercio advierte haber remitido un requerimiento mediante el oficio No. 20-221206-0 del 8 de julio de 2020, sin que este haya sido respondido en por Ente Cameral.

En base a dicha manifestación, la Cámara de Comercio de Cúcuta procedió a realizar la verificación de recibo de del documento en mención. Sin embargo, para la fecha de la presunta comunicación, la base de datos del Sistema de Gestión Documental no registra documento alguno relacionado con los aspectos abordados en la Resolución No. 62807 de 2020.” Este Despacho, mediante oficio radicado con el número 20-221206-9 de fecha 20 de octubre de 2020, dio respuesta al citado requerimiento en los siguientes términos: “Al respecto, esta Dirección le informa que la comunicación No. 20-221206-0-0 fue enviada mediante correo físico a la dirección Calle 10 No. 4-38 en la ciudad de Cúcuta (Norte de Santander)” (se anexa imagen de la guía de envío) Así mismo tenga en cuenta que, la Resolución No. 62807 de 7 de octubre de 2020 mediante la cual esta autoridad formular un pliego de cargos, se basó en el Acta de Preservación de sitios web No. 71 de 2020.

Así pues, y sin perjuicio de posteriores requerimientos, se anexa a este escrito la solicitud inicial (…) Recuerde que, en todo el camino de la actuación administrativa la Superintendencia de Industria de Comercio ofrece las garantías que le permiten evaluar las condiciones de transparencia y seguridad jurídica que caracterizan estos procesos, como por ejemplo la publicidad del proceso; derecho a presentar pruebas; recursos; entre otros”.

De acuerdo con lo indicado anteriormente, los cargos formulados en la Resolución 62807 del 7 de octubre de 2020, no hacen referencia a sí hubo o no respuesta al requerimiento inicial radicado con el número 20221206-0 de fecha 8 de julio de 2020, únicamente se relacionan los hallazgos contenidos en el Acta No. 071 del 16 de julio de 2020. Efectivamente, con base en la competencia otorgada por la Ley 1581 de 2012 esta Dirección, a través del Grupo de Trabajo de Informática Forense y Seguridad Digital, realizó la preservación de la página web8 de la CAMARA DE COMERCIO, (https://www.cccucuta.org.co), con el fin de recaudar material probatorio que sirviera de apoyo técnico para el análisis jurídico relacionado con el cumplimiento de las normas de protección de datos personales.

Así las cosas, considera este Despacho que en la presente actuación administrativa no hubo vulneración al debido proceso en la medida que la CAMARA DE COMERCIO ha tenido activa participación, ha presentado las pruebas que ha considerado conducentes y los resultados del acta de preservación tenidos en cuenta para la formulación de cargos fueron presentados en la Resolución 62807 del 7 de octubre de 2020, en la medida que se trata de capturas de pantalla de la página web y la descarga de los documentos que son publicados en la misma, y que son de pleno conocimiento por parte de la investigada. 3.

DEFINICIÓN Y NATURALEZA JURÍDICA DE LAS CÁMARAS DE COMERCIO. De conformidad con lo establecido en el artículo 76 del Código de Comercio, las Cámaras de Comercio son “instituciones de orden legal con personería jurídica, creadas por el Gobierno Nacional, de oficio o a petición de los comerciantes del territorio donde hayan de operar”. El artículo 2.2.2.38.1.1 del Decreto 1074 de 2015, dispone: “Artículo 2.2.2.38.1.1.

Naturaleza jurídica. Las cámaras de comercio son personas jurídicas de derecho privado, de carácter corporativo, gremial y sin ánimo de lucro, administradas y gobernadas por los comerciantes matriculados en el respectivo registro mercantil que tengan la calidad de afiliados. Son creadas de oficio o a solicitud de los comerciantes mediante acto administrativo del Gobierno Nacional y adquieren personería jurídica en virtud del acto mismo de su creación, previo cumplimiento de los requisitos legales exigidos para el efecto y verificación de su sostenibilidad económica que garantice el cumplimiento eficiente de sus funciones”.

La preservación de un sitio web tiene como objeto su conservación y resguardo en un instante de tiempo determinado. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Sobre la definición y naturaleza de las Cámaras de Comercio, la Corte Constitucional en la sentencia C-135 del 17 de marzo de 2016, indicó: “Las Cámaras de Comercio son personas jurídicas de derecho privado, de naturaleza corporativa, gremial y sin ánimo de lucro, que por expresa disposición legal ejercen funciones públicas mediante la figura de la descentralización por colaboración. En su calidad de particulares se encuentran sometidas a los principios de la función administrativa que establece el artículo 209 de la Constitución Política, respecto del cumplimiento de las funciones públicas encomendadas, sin que ello implique una mutación en su condición de sujeto sometido al régimen privado en lo atinente a su organización y al desarrollo de sus actividades propias, las cuales se encuentran bajo la vigilancia y control de la Superintendencia de Industria y Comercio.

(…) Queda claro entonces, que las Cámaras de Comercio son entidades de carácter privado que por expresa disposición de la ley cumplen funciones de carácter administrativo, a través de la descentralización por colaboración, figura que fue definida por la Corte Constitucional en la sentencia C-909 del 31 de octubre de 2007, en los siguientes términos: “cuando la administración pública no asume la prestación de determinados servicios, puede ocurrir que la ley autorice a los particulares para que tomen a su cargo la actividad respectiva, presentándose, entonces, la figura de la descentralización por colaboración, autorizada mediante los artículos 1º., 2º., 123, 209, 210 y 365 de la Constitución Política.

En la descentralización por colaboración, un determinado tipo de entidad privada, nacida de la libre iniciativa de los particulares, y que inicialmente se constituye para cumplir propósitos que sólo interesan a éstos, en razón del conocimiento y la experiencia por ella acumulados, es investida por ley de determinadas funciones públicas, bajo la consideración de que su cumplimiento resulta más eficiente en cabeza suya que en cabeza de una entidad estatal.

En cada caso de asignación de tales funciones, la misma ley regula de manera cuidadosa todos los aspectos relacionados con el carácter público de la función encomendada”. Ahora, el hecho que las Cámaras de Comercio realicen por disposición legal ciertas funciones de carácter administrativo o público, no quiere decir que su naturaleza privada cambie o se confunda con una de carácter público 9, sobre este punto en particular, vale la pena traer nuevamente a colación la sentencia C-135 del 17 de marzo de 2016, veamos: “El artículo 210 de la Constitución señala que los particulares pueden cumplir funciones administrativas en las condiciones que señale la ley, por lo cual además, están sometidos en su desarrollo a los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, sin que ello implique una mutación en la naturaleza de la institución a la que se le atribuye la función, ya que por el contrario conserva inalterada su condición de sujeto privado sometido al régimen del derecho privado en lo atinente a la organización y al desarrollo de las actividades relacionadas con su específica finalidad.

En efecto, las personas jurídicas cuando son investidas de la facultad de ejercer funciones administrativas, participan de la naturaleza administrativa en cuanto toca con el ejercicio de esas funciones, en cuyo desempeño ocupan la posición de autoridad estatal con las prerrogativas del poder público, siendo una de ellas el estar sometidas a la disciplina del derecho público y concretamente a la responsabilidad que éste impone.

Ello brinda garantías para el resto de los asociados y justifica la operación de controles especiales ubicados en cabeza de la administración pública. Respecto de las funciones que cumplen las Cámaras de Comercio, la ya citada sentencia C- 135 de 2016 sostuvo: “En cuanto a las funciones que les compete ejercer a tales instituciones, por virtud de la asignación que les hizo el legislador extraordinario en el artículo 86 del Código de Comercio, les corresponde primordialmente llevar el registro mercantil y certificar sobre los actos y documentos inscritos en él. Además, leyes posteriores les han asignado otras funciones como llevar el registro único de proponentes, el registro de entidades privadas sin ánimo de lucro, y de forma más reciente el Decreto Ley 019 de 2012 (Ley Anti trámites) les otorgó la administración de cinco nuevos registros: el registro nacional de turismo, el registro de todas las entidades de la economía solidaria, el registro de veedurías ciudadanas, el registro nacional de vendedores de juegos de suerte y azar, y el registro de entidades privadas extranjeras sin ánimo de lucro.

Tales registros integrados y que administran las Cámaras de Comercio se conocen como Registro Único Empresarial y Social (RUE). Así mismo, como lo ha reconocido esta Corte, según previsiones de orden legal, las Cámaras de Comercio desarrollan funciones especiales en el marco de lo previsto en el artículo 116 Superior, relacionadas con el carácter judicial como son las que se cumplen a través de los centros de conciliación y arbitraje que aquellas se encargan de organizar y desde los cuales transitoriamente se realiza el servicio de administrar justicia”.

La Corte Constitucional mediante Sentencia C-144 del 20 de abril de 1993, manifestó: “Las Cámaras de Comercio a las cuales se ha encargado el ejercicio de la función de llevar el registro mercantil y certificar sobre los actos y documentos en él inscritos, no son entidades públicas, pues no se avienen con ninguna de las especies de esta naturaleza contempladas en la Constitución y la Ley.

Sin bien nominalmente se consideran “instituciones de orden legal”, creadas por el Gobierno, lo cierto es que ellas se integran por los comerciantes inscritos en su respectivo registro mercantil. La técnica autorizatoria y la participación que ella reserva a la autoridad pública habida consideración de las funciones que cumplen las Cámaras de Comercio, no permite concluir por si solas su naturaleza pública.

No se puede dudar sobre su naturaleza corporativa, gremial y privada. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Entonces, en cuanto a la naturaleza jurídica de las Cámaras de Comercio, éstas son entidades privadas10, que no se integran a la organización de la administración pública en ninguno de sus niveles.

La función pública que realizan a través de la descentralización por colaboración se circunscribe primordialmente al desarrollo de su actividad registral, pues es la única que podría otorgar el estado en virtud de los servicios que presta, en la medida que “las autoridades administrativas solamente pueden atribuir a los particulares las funciones que son de su competencia. Por lo cual las autoridades administrativas sólo pueden atribuir a los particulares el ejercicio de funciones jurídicamente suyas (…)11” De lo anterior entiende el Despacho que, si bien es cierto todas las funciones que desarrollan las Cámaras de Comercio tienen un origen legal o reglamentario, también lo es que, no todas sus actuaciones corresponden al ejercicio de funciones públicas12, éstas se limitan primordialmente a las de carácter registral, que es las que involucra el ejercicio de una función estatal 13.

El hecho de que una función asignada a las Cámaras de comercio por la ley o el reglamento no hace que ella tenga la naturaleza de pública. Aclarada la anterior cuestión, este Despacho entrará a determinar si los formularios relacionados en la Resolución 62807 del 7 de octubre de 2020, se enmarcan o no dentro de la función registral alegada por la CÁMARA DE COMERCIO y que la exime de exigir la autorización, así como de informar la finalidad para el tratamiento de los datos personales.

4. DEL DEBER DE SOLICITAR Y CONSERVAR LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR. El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. En desarrollo de lo anterior, el literal b) del artículo 17 la Ley 1581 de 2012 le impone a los Responsables del Tratamiento de Datos Personales el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

Respecto de la autorización para el tratamiento de datos personales, el artículo 9 de la mencionada Ley, dispone: ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: “Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.1 Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los titulares de datos personales para el Tratamiento de los mismos”. Por su parte el artículo 10 de la Ley 1581 de 2012, dispone lo siguiente: El artículo 110 de la Ley 489 de 1998 establece que Las personas naturales y jurídicas privadas podrán ejercer funciones administrativas.

Así mismo indica como una de sus condiciones que La regulación, el control, la vigilancia y la orientación de la función administrativa corresponderá en todo momento, dentro del marco legal a la autoridad o entidad pública titular de la función la que, en consecuencia, deberá impartir las instrucciones y directrices necesarias para su ejercicio.

Sentencia C – 037 del 28 de enero de 2003. MP. Dr. Álvaro Tafur Galvis. De conformidad con lo establecido en el artículo 27 del Código de Comercio, el registro mercantil se llevará por las cámaras de comercio, pero la instrucciones que tiendan al perfeccionamiento de la institución. Los numerales 17 y 18 del artículo primero del Decreto 4886 de 2011, estableció como funciones de la Superintendencia las de (17) Ejercer el control y vigilancia de las cámaras de comercio, sus federaciones y confederaciones de acuerdo con las disposiciones vigentes sobre la materia y coordinar lo relacionado con el registro mercantil.

(18) Determinar los libros necesarios para que las Cámaras de Comercio lleven el registro mercantil, la forma de hacer las inscripciones e instruir para que dicho registro y el de las personas jurídicas sin ánimo de lucro se lleve de acuerdo con la ley. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. De conformidad con las normas anteriormente citadas, el Responsable del tratamiento debe solicitar al titular la respectiva autorización, que no es otra que informarle que sus datos personales serán tratados conforme a las normas legales; dicha autorización debe ser solicitada en todos los casos excepto aquellos que estén relacionados en el ya citado artículo 10 de la Ley 1581 de 2012.

Ahora bien, indicó la CÁMARA DE COMERCIO, en el escrito de descargos que es una entidad que goza de las mismas prerrogativas propias de las entidades públicas, en cuanto se encuentra ejerciendo funciones legales administrativas, por lo que no requiere autorización por parte de los titulares para el tratamiento de los datos personales que se recolecten para el ejercicio de tales funciones, de conformidad con lo establecido en el literal a) del artículo 10 de la Ley 1581 de 2012, mencionado en líneas anteriores.

Efectivamente, las entidades públicas o administrativas por las funciones que realizan no están en la obligación de solicitar al titular al momento de recaudar el dato, la autorización de que trata el artículo 9 antes transcrito, pero la excepción es bastante clara y sencilla, debe tratarse de una entidad pública o administrativa en ejercicio de sus funciones legales.

Cuando se realizó el análisis de la naturaleza jurídica de las Cámaras de Comercio se concluyó que estas son personas jurídicas de derecho privado, de naturaleza corporativa, gremial y sin ánimo de lucro, que por expresa disposición legal ejercen funciones públicas mediante la figura de descentralización por colaboración, sin que ello implique una mutación en su condición de sujeto sometido al régimen privado.

No hacen parte de la organización del estado en ninguno de sus niveles. Igualmente se indicó que, si bien las funciones que realizan las Cámaras de Comercio son de origen legal, no todas cumplen con una función pública, pues esta se reduce primordialmente a la registral. Teniendo en cuenta esta premisa, al analizar la formulación de cargos, encuentra el Despacho que los formularios (i) Contáctenos (ii) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;

(iii) Contacto para Revisión de Actas (iv) Preinscribirme (v) Fortalecimiento Empresarial no están relacionados con la función registral, sino con las actividades propias de las cámaras de comercio razón por la que, se debió obtener en su momento la autorización correspondiente para realizar el tratamiento de los datos. (i) Formulario “Contáctenos”.

El Acta de Preservación No. 071 del 16 de julio de 2020, encontró lo siguiente: “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA El citado aviso informa lo siguiente: “7. En mi calidad de titular de los datos personales aquí diligenciados, me permito manifestar mi autorización para su tratamiento por parte de la Cámara de Comercio de Cúcuta, con el fin de que sean utilizados para el aviso de otros productos o servicio que la Cámara de Comercio de Cúcuta realice incluyendo las finalidades previstas en el Decreto 898 de 2000.

La Cámara de Comercio de Cúcuta protege los datos aquí diligenciados, de acuerdo a lo previsto en la Ley 1581 de 2012, y dentro de los términos del Aviso de Privacidad y la Política de Protección de Datos Personales de la Cámara de Comercio de Cúcuta, la cual se puede consultar en la página http://cccucuta.org.co/secciones-128-s/informacion-general-habeas-data-htm Al ingresar al mencionado link, se despliega la siguiente información: “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Respecto de los documentos: Aviso de Privacidad, Manual de Políticas y Procedimiento de Protección de Datos, Documento de Seguridad, Solicitud de rectificación o actualización, Solicitud de revocatoria de autorización y Solicitud de supresión de datos de carácter personal, se indicó en el Acta, que los mismos se encontraban disponibles para su consulta en formato PDF.

Al verificar las capturas de pantalla relacionadas anteriormente y los citados documentos, constata este Despacho, que, respecto del formulario “Contáctenos” la CÁMARA DE COMERCIO cumplía con el deber de solicitar a los titulares la autorización de que trata el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma Ley.

No obstante, advierte el Despacho que el texto relacionado en el numeral 7 del Formulario, relaciona el Decreto 898, en primer lugar, la citada norma fue expedida en el año 2002 y en segundo, se encuentra derogada por el Decreto 2042 de 2014, por lo que se ordenará a la CÁMARA DE COMERCIO realizar las actualizaciones correspondientes, sí aún no lo ha hecho.

(ii) Formulario Formación Empresarial: Respecto de este Formulario, en la ya citada Acta de Preservación y de la cual se hizo mención al momento de formular los cargos, se encontró lo siguiente: “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Del citado formulario, nota el Despacho que en el numeral 9 contiene el mismo aviso que el formulario Contáctenos, y remite de igual manera al enlace http://cccucuta.org.co/secciones-128-s/informacion-generalhabeas-data-htm ya mencionado.

Razón por la que se considera que cumplía con el deber de relacionado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma norma. “Por la cual se impone una sanción y se imparten unas órdenes” (iii) VERSIÓN ÙNICA Respecto de los Formularios: (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;

(ii) Contacto para Revisión de Actas y (iii) Preinscribirme, tal y como se dijo en la Resolución que formuló los cargos, la CÁMARA DE COMERCIO no cumple con el deber de solicitar la autorización de que trata el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma Ley. Ahora, en el escrito de descargos la CÁMARA DE COMERCIO cuando se pronunció frente a cada uno de los citados formularios, indicó que se realizaron modificaciones ajustándolos de acuerdo con los hallazgos relacionados en la Resolución 62807 del 7 de octubre de 2020.

No obstante, dichas mejoras sólo se realizaron una vez intervino esta Superintendencia, situación que no la exonera de la Responsabilidad de cumplir con las normas relacionadas con la Protección de datos personales, razón por la cual se impondrá la sanción correspondiente.

5. DEL DEBER DE INFORMAR AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA. Establece el literal c) del artículo 17 de la Ley 1581 de 2012, lo siguiente:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

Así mismo, el artículo 12 de la misma norma, indica: “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. A su vez, el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, establece: “Artículo 2.2.22.25.2.1. Recolección de los datos Personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la Ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimiento usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. (destacamos) En relación el principio de finalidad, la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó: “Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.

La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

“Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas.

En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado.

En la Sentencia C-1011 de 2008[228]14, la Corporación reiteró la importancia de la existencia de unos criterios razonables sobre la permanencia de datos personales en fuentes de información. Además, sostuvo que este periodo se encuentra en una estrecha relación con la finalidad que pretende cumplir. Así, a partir del estudio de la jurisprudencia, construyó una doctrina constitucional comprehensiva sobre la caducidad del dato negativo en materia financiera y concluyó que dentro de las prerrogativas mismas del derecho al habeas data, se encuentra esta garantía, como una consecuencia del derecho al olvido.

Sobre el particular observó la providencia: “De acuerdo con lo señalado en el artículo 15 Superior, la Corte identifica como facultades que conforman el contenido del derecho al hábeas data, las de (i) conocer la información personal contenida en las bases de datos, (ii) solicitar la actualización de dicha información a través de la inclusión de nuevos datos y (iii) requerir la rectificación de la información no ajustada a la realidad.

Junto con las prerrogativas expuestas, la Corte, habida cuenta los precedentes jurisprudenciales anteriores que señalaban la necesidad de establecer un límite al reporte financiero negativo, estableció un nuevo componente del derecho al hábeas data, la de la caducidad del dato negativo.” (…) La Corte reitera que los procesos de administración de datos personales de contenido crediticio cumplen un propósito específico: ofrecer a las entidades que ejercen actividades de intermediación financiera y, en general, a los sujetos que concurren al mercado, información relacionada con el grado de cumplimiento de las obligaciones suscritas por el sujeto concernido, en tanto herramienta importante para adoptar decisiones sobre la suscripción de contratos comerciales y de crédito con clientes potenciales.

Esta actividad es compatible con los postulados superiores, pues cumple con propósitos legítimos desde la perspectiva constitucional, como son la estabilidad financiera, la confianza en el sistema de crédito y la protección del ahorro público administrado por los establecimientos bancarios y de crédito. Es precisamente la comprobación acerca de la finalidad específica que tienen los operadores de información financiera y crediticia la que, a su vez, permite determinar los límites al ejercicio de las actividades de acopio, tratamiento y divulgación de datos.” (Resaltado fuera del texto) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos.

En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos”. Conforme a lo anteriormente indicado, sólo podrá ser recolectada aquella información que sea imprescindible para cumplir con la finalidad del tratamiento, la cual deberá ser informada de manera clara y expresa al titular de la información al momento en que es otorgada la autorización. Ahora bien, los deberes de solicitar la autorización previa al tratamiento de los datos y el de informar la finalidad para la cual son recolectados, se encuentran estrechamente relacionados, en la medida que el titular autoriza el tratamiento de su información de acuerdo con la finalidad que se le vaya a dar a la misma.

Al mismo tiempo deberá informársele al titular respecto de los derechos que le asisten. Cuando se analizaron los Formularios en el acápite anterior, se concluyó que respecto de los formularios “Contáctenos” y “Formación Empresarial”, sí solicitaron a los titulares la autorización para el tratamiento de sus datos personales, ahora, al verificar nuevamente el enlace http://cccucuta.org.co/secciones-128s/informacion-general-habeas-data-htm y que fuera puesto a disposición en ambos formularios describe la finalidad por la cual son recolectados, así mismo se informa los derechos que como titulares tienen.

Situación que no se presenta respecto de los formularios: “(i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones; (ii) Contacto para Revisión de Actas y (iii) Preinscribirme”. Se reitera en este punto, que, no todas las funciones asignadas a las cámaras de comercio son del orden público, la función registral que ejercen es la única que tiene esa naturaleza, por lo que, respecto de la información recolectada en los citados formularios, al no poder relacionarse específicamente con esa función [228] M.P. Jaime Córdoba Triviño “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA pública, debía informársele a los titulares la finalidad por la cual es recolectada, razón por la cual se impondrá la sanción correspondiente.

6. CARGO FORMULADO EN EL ARTÍCULO SEGUNDO DE LA RESOLUCIÓN 62807 DEL 7 DE OCTUBRE DE 2020. Dispuso el Despacho en la Resolución 62807 del 7 de octubre de 2020, lo siguiente:

ARTÍCULO SEGUNDO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Cúcuta identificada con el Nit. 890.500.513-1 por el presunto incumplimiento del deber de informar al Titular al momento de solicitar la Autorización lo establecido en los literales a); b); c); y d) del artículo 12 de la Ley 1581 de 2012, en concordancia con los literales b); c) y e) del artículo 8 de la misma norma.

Pues bien, en la medida que, cuando se analizó el incumplimiento de las normas relacionadas en el Cargo formulado en el ARTÍCULO TERCERO del citado acto administrativo, se concluyó que respecto de los formularios “(i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones; (ii) Contacto para Revisión de Actas y (iii) Preinscribirme”, la CÁMARA DE COMERCIO no informó a través de los canales correspondientes la finalidad con la cual son recolectados los datos personales de sus usuarios, este Despacho procederá al Archivo del Cargo relacionado en el ARTÍCULO SEGUNDO.

7. CARGO FORMULADO EN EL ARTÍCULO CUARTO DE LA RESOLUCIÓN 62807 DEL 7 DE OCTUBRE DE 2020 El literal k) del artículo 17 de la Ley 1581 de 2012, dispone:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

Por su parte los artículos 2.2.2.25.3.1 y 2.2.2.25.3.6 del Decreto 1074 de 2015, disponen: Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

Artículo 2.2.2.25.3.6. Procedimientos para el adecuado tratamiento de los datos personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información. En lo que tiene que ver con este Cargo, se ordenará a la CÁMARA DE COMERCIO, para que subsane la observación relacionada con la vigencia de las bases de datos, de conformidad con lo indicado en la resolución que formuló los cargos.

8. POTESTAD SANCIONATORIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. PROPORCIONALIDAD DE LA SANCIÓN • Aplicación del artículo 49 de la Ley 1955 de 2019. “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA El artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: SMLV = Multa en UVT UVT vigente 2021 La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso - tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional15.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. • Potestad Sancionadora de esta Superintendencia. Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señaló: “ARTÍCULO 22.

TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes”. Respecto de la “Potestad sancionatoria” que ejerce la administración, la Corte Constitucional ha señalado: “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.” 16 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

Corte Constitucional. Sentencia C-748 de 2011 “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA En el mismo sentido, y en relación con los principios17 señalados, dicha corporación por medio de la sentencia C-948 de 2002 manifestó: “En la doctrina[36]18se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta [37] 19 ), de proporcionalidad o el denominado non bis in ídem”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”20. De esta manera, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal.

En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”21.

Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia C-748 de 2011 sostuvo: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Entonces, es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que se pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del tratamiento de la información. Debe este Despacho precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen una cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley; tienen como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA.

La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”.

Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 [36] Juan Alfonso Santamaría Pastor. Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. [37] Ver Ramón Parada Vásquez. Derecho Administrativo.

Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”. Arandazi. Madrid. 1996. [203] Sentencia C-406 de 2004. Sentencias C-827 de 2001 y C-343 de 2006. VERSIÓN ÙNICA “Por la cual se impone una sanción y se imparten unas órdenes” ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

La vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad” 22. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia23. De conformidad con lo anteriormente indicado, este Despacho procederá a determinar la sanción a imponer y la graduación de la misma. • Imposición de la Sanción al caso concreto. Los artículos 23 y 24 de la Ley 1581 de 2012, establecen las sanciones que podrá imponer esta entidad, así como los criterios en que éstas deberán ser graduadas, veamos:

ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

De acuerdo con las consideraciones anteriormente hechas y de lo establecido en el literal a) del citado artículo 24, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, para la imposición de una sanción. Para el caso que nos ocupa, quedó demostrado que la CÁMARA DE COMERCIO, vulneró los deberes contemplados en la Ley 1581 de 2012 razón por la que considera el Despacho procedente imponer una sanción de carácter pecuniario, como se indica a continuación: i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015; en la medida que respecto de los formularios: (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;

(ii) Contacto para Revisión de Actas y (iii) Preinscribirme, la CÁMARA DE COMERCIO no solicitó la autorización de los titulares para el tratamiento de los datos personales recolectados. Como consecuencia se impondrá la sanción pecuniaria de CUARENTA Y CINCO MILLONES TRESCIENTOS OCHENTA Y CINCO MIL PESOS M/CTE ($45.385.000), equivalente a 1.250 Unidades de Valor Tributario (UVT).

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana en:http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2.

Decreto 1074 de 2015; en la medida que respecto de los formularios (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones; (ii) Contacto para Revisión de Actas y (iii) Preinscribirme la CÁMARA DE COMERCIO no informa al Titular de manera clara y expresa la finalidad de la recolección de los datos personales, como tampoco los derechos que le asiste.

Como consecuencia se impondrá la sanción pecuniaria de CUARENTA Y CINCO MILLONES TRESCIENTOS OCHENTA Y CINCO MIL PESOS M/CTE ($45.385.000), equivalente a 1.250 Unidades de Valor Tributario (UVT). • Graduación de la Sanción Impuesta. El ya citado artículo 24 de la Ley 1581 de 2012, enumera los criterios que debe tener en cuenta la administración para la imposición de una sanción de carácter pecuniario.

Al respecto, la Corte Constitucional en sentencia C – 748 de 2011, manifestó que, de dichos criterios, los relacionados en los literales a), b), c), d) y e) corresponden a los de agravación, determinando que únicamente el criterio relacionado en el literal f) será el de atenuación. La CÁMARA DE COMERCIO respecto de la atenuación de la sanción indicó en su escrito de descargos lo siguiente: “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA Pues bien, este Despacho para la imposición de la sanción tuvo en cuenta lo establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, en la medida que, como se dijo, basta que la conducta o conductas investigadas hayan puesto en peligro los intereses jurídicos protegidos por la Ley.

Cuando el Responsable del tratamiento no cumple con los deberes que le impone la Ley, vulnera el derecho de habeas data protegido por la Ley 1581 de 2012. En lo que tiene que ver con los criterios señalados en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 no se aplicará en la presente actuación administrativa, toda vez que la CÁMARA DE COMERCIO. en calidad de Responsable, en ninguna de sus etapas reconoció expresamente que respecto de los formularios relacionados anteriormente, (i) no solicitó autorización del titular para el tratamiento de los datos personales; y que (ii) no informó la finalidad de la recolección y los derechos que le asisten al titular por virtud de la autorización otorgada.

9. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante24”. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Decreto 1074 de 2015, reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2.2.2.25.6.1 25 del citado Decreto, establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que Cfr. Corte Constitucional, sentencia T-227 de 2003.

El texto completo del artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 establece: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplircon las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la “Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

A su vez, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.”26 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada27(accountability)28”.

El término “accountability”29, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.

Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza30 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recol ectada y una explicación sobre la relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva El texto completo del artículo 2.2.2.25.6.2. del Decreto 1074 de 2015 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas polít icas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimism o involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

“Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”31.

(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Sobre el citado principio, la CÁMARA DE COMERCIO, manifestó lo siguiente: La CCC desde el 8 de noviembre de 2013 adoptó el Procedimiento de Datos Personales, el cual me permito aportar al presente escrito de descargos, documento que creó el Comité de Seguridad de la Información y Protección de Datos Personales, el cual es el encargado de la salvaguarda del régimen de datos personales al interior de la Entidad.

Dentro de las funciones de este comité se resaltan las siguientes: - Establecer y respaldar los programas de concientización de la compañía en materia de seguridad y protección de la información Revisar y seguir los incidentes de seguridad de la información. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 para, en especial, lo relativo.

Las consultas y reclamos que se presenten. Garantizar que la seguridad de la información forma parte integral del proceso de planeación estrategia de la organización. Entre otras. Así mismo, es importante poner de presente que el nombrado procedimiento de protección de datos personales estableció una estructura administrativa en donde se ve involucrada la Junta Directiva de la Entidad (máximo órgano decisorio) y múltiples niveles de la misma.

De igual manera, se designó un oficial de seguridad informática, en línea con la guía de accountability emitida por la SIC. De la misma manera, con el fin de facilitar que los titulares puedan ejercer sus derechos, presentando consultas, peticiones y reclamos, la Entidad ha estandarizado los siguientes formularios: - Solicitud de rectificación o actualización - DE-13-9 - Solicitud de revocatorio de autorización de uso de datos de carácter personal DE-13-10 - Solicitud de supresión de datos de carácter personal DE-13-11 - Solicitud de acceso a datos de carácter personal DE-13-12.

El ya citado artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, establece lo siguiente: Artículo 2.2.2.25.6.2 Políticas Internas efectivas. (…) La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

A lo largo de la presente actuación administrativa, ha indicado el Despacho que la CÁMARA DE COMERCIO vulneró los deberes que como Responsable en el tratamiento de datos personales está llamada a cumplir. Tal y como se indicó en el aparte pertinente, los formularios (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones; (ii) Contacto para Revisión de Actas y (iii) Preinscribirme, no corresponden a la función registral que realiza la CÁMARA DE COMERCIO, sino a las actividades propias de la entidad, por lo que, estaba en la obligación de solicitar de los titulares de la información la autorización para el tratamiento así como informar respecto de la finalidad de dicho tratamiento.

De acuerdo con lo informado por el Presidente Ejecutivo de la CÁMARA DE COMERCIO la implementación de medidas efectivas para la protección de los datos personales sólo tuvo ocurrencia cuando la presente actuación administrativa ya había iniciado, situación que no la exonera del cumplimiento de los deberes Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

“Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA establecidos en la Ley 1581 de 2012, en su calidad de Responsable del tratamiento. La multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz, lo cual no fue lo que resultó demostrado en el presente caso.

De conformidad con lo anteriormente indicado, este Despacho no tuvo en cuenta lo dispuesto en el inciso segundo del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015 para efectos de la graduación de la sanción impuesta, en la medida que, como se dijo las medidas tomadas por parte de la CÁMARA DE COMERCIO, se realizaron con posterioridad a la intervención de esta Superintendencia. 10.

CONCLUSIONES. a) La nulidad de un acto administrativo sólo puede ser declarada por la jurisdicción de lo contencioso administrativo, conforme a la competencia otorgada por la Ley. b) En la presente actuación administrativa, no hubo violación a ninguna de las garantías del debido proceso. c) Las Cámaras de Comercio son entidades de carácter privado que por expresa disposición de la ley cumplen funciones de carácter administrativo, a través de la descentralización por colaboración. Son entidades que no se integran a la organización pública en ninguno de sus niveles. d) No todas las funciones que realizan las Cámaras de Comercio corresponden al ejercicio de funciones públicas, pues estas se limitan primordialmente a las registrales, que son las que involucran el ejercicio de una función del estado. e) La CÁMARA DE COMERCIO respecto de los formularios evaluados (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;

(ii) Contacto para Revisión de Actas y (iii) Preinscribirme, en la medida que no están desarrollando la función registral, están en la obligación de cumplir con los deberes relacionados en los literales b) y c) del artículo 17 de la Ley 1581 de 2012 y sus normas reglamentarias, sin que puedan ser exceptuadas de acuerdo con lo dispuesto en el artículo 10 de la citada Ley. f) En lo que tiene que ver con el cargo formulado en el ARTÍCULO SEGUNDO de la Resolución 62807 del 7 de octubre de 2020, será archivado, en la medida que las normas allí relacionadas también fueron incluidas en el cargo del relacionado en el artículo tercero del citado acto administrativo. g) Sobre el cargo formulado en el ARTÍCULO CUARTO, se procederá a impartir una orden con el fin que sean subsanadas las observaciones realizadas en el acto administrativo que formuló los cargos, respecto del documento que contiene la Política de Tratamiento de la Información de la CÁMARA DE COMERCIO, si aún no lo han hecho. h) Igualmente, se ordenará a la CÁMARA DE COMERCIO a que adecúe el aviso relacionado en los numerales 7 y 9 de los formularios Contáctenos y Formación Empresarial, respectivamente, en lo que tiene que ver con la mención del Decreto 898, pues, la norma fue expedida en el año 2002, y en este momento se encuentra derogada por el Decreto 2042 de 2014, lo anterior, sí aún no lo ha hecho. i) La implementación de medidas en materia de protección de datos personales por parte de la CÁMARA DE COMERCIO, posterior al incumplimiento de los deberes que dio origen a la presente actuación administrativa, no la exonera de responsabilidad, por lo que no se tuvo en cuenta lo dispuesto en el parágrafo del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

DÉCIMOPRIMERO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la CÁMARA DE COMERCIO, deberá: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la entidad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

“Por la cual se impone una sanción y se imparten unas órdenes” VERSIÓN ÙNICA En mérito de lo expuesto, este Despacho.

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 de NOVENTA MILLONES SETECIENTOS SETENTA MIL PESOS MCTE ($90.770.000) equivalentes a 2.500 UVT Unidad de Valor Tributario, por la vulneración de lo dispuesto en las normas que se relacionan a continuación, respecto de los formularios (i) Quejas, Reclamos, Sugerencias/Solicitudes y Felicitaciones;

(ii) Contacto para Revisión de Actas y (iii) Preinscribirme, así: i. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. ii. El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 que realice, si no lo ha hecho, las actividades necesarias para subsanar las observaciones que hizo este Despacho respecto al documento que contiene la Política de Tratamiento de la Información relacionada con el numeral 6 del artículo 2.2.2.2.25.3.1 del Decreto 1074 de 2015.

ARTÍCULO TERCERO: ORDENAR a la CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1 que realice, si no lo ha hecho, las actividades necesarias para subsanar las observaciones que hizo este Despacho, respecto de los numerales 7 y 9 de los formularios Contáctenos y Formación Empresarial, respectivamente.

ARTÍCULO CUARTO: La CÁMARA DE COMERCIO DE CÚCUTA, identificada con el Nit.890.500.513-1, deberá acreditar el cumplimiento de lo ordenado en los artículos segundo y tercero ante esta Superintendencia dentro de los veinte (20) días hábiles siguientes notificación del presente acto administrativo.

PARÁGRAFO. El incumplimiento de lo ordenado en el presente acto administrativo hará a la CÁMARA DE COMERCIO DE CÚCUTA, acreedora de las sanciones previstas en la Ley.

ARTÍCULO QUINTO: ARCHIVAR el cargo formulado en el artículo segundo de la Resolución 62807 del 7 de octubre de 2020, de conformidad con la parte considerativa del presente acto administrativo.

ARTÍCULO SEXTO: Notificar personalmente el contenido de la presente resolución a CÁMARA DE COMERCIO DE CÚCUTA, identificada con Nit. 890.500.513-1 a través de su representante legal o quien haga sus veces, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,28 JUNIO DE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.06.28 11:14:54 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: NTL Revisó: CESM Aprobó: CESM “Por la cual se impone una sanción y se imparten unas órdenes” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CÁMARA DE COMERCIO DE CUCUTA Nit. 890.500.513-1 SERGIO ANDRÉS ENTRENA FERNANDEZ C.C. 88.244.188 Calle 10 No. 4 – 38 Torre A Piso 3 San José de Cúcuta (Norte de Santander) cindoccc@cccucuta.org.co VERSIÓN ÙNICA