Decisión 18303 de 2021 — SIC

(31 MARZO 2021) VERSIÓN ÚNICA “Por la cual se imponen unas sanciones” Radicación 19-127859 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad ECLECTICUS S.A, (en adelante “la investigada”), identificada con Nit. 900.010.103-8, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos, narrados por ANONIMO 1: El día 07 de junio de 2019 la Superintendencia de Industria y Comercio recibió una i.) denuncia anónima remitida por la Superintendencia Financiera de Colombia, donde ANONIMO manifestó lo siguiente: “AGRADEZCO REVISEN DETALLADAMENTE LA ACTIVIDAD DE LA PÁGINA WWW.GUIAVITAL.COM, LA CUAL OFRECE CRÉDITOS A TRAVÉS DE TERCEROS PERO LE PIDE TODA LA INFORMACIÓN PERSONAL Y FINANCIERA DETALLADA AL USUARIO, DE UNA FORMA DIRECTA, CON EL FIN DE VALIDARLE SI ES O NO CANDIDATO A UN CRÉDITO, VIOLANDO ADEMÁS LA INFORMACION PERSONAL DE LAS PERSONAS INCAUTAS.

ES IMPORTANTE ANALIZAR EL MODUS OPERANDI DE ESTA SUPUESTA PÁGINA QUE APOYA EL CRÉDITO PARA CIRUGÍAS PLÁSTICAS CON DUDOSOS MÉTODOS.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: i. ii. iii. Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el segundo inciso del artículo 2.2.2.25.2.1 y el segundo inciso del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015 El 29 de noviembre 2019 se inició la presente investigación administrativa, mediante la expedición de la Resolución 411732 del 24 Julio 2020, por medio de la cual se formularon tres cargos a la sociedad ECLECTICUS S.A., identificada con Nit. 900.010.103-8.

TERCERO: Que la Resolución 41173 del 24 Julio 2020, fue notificada por aviso 17435 el día 5 de agosto de 2020, al señor MAURICIO SANCHEZ BASTIDAS en representación de la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicado bajo el número 19-127859- 12 del 25 de agosto de 2020.

Denuncia presentada por anónimo de la información el 7 de junio 2019 de 2019, visible en el expediente bajo el consecutivo número 19-12785900000-000. Resolución 41173 del 24 Julio 2020, radicada bajo el número 19-127859-00007-0001 del 27 de julio de 2020. HOJA N, “Por la cual se imponen unas sanciones”

CUARTO: Que, una vez vencido el término de quince (15) días hábiles para que la sociedad ECLECTICUS S.A ejerciera su derecho de defensa y contradicción de acuerdo con lo establecido por el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad guardó silencio QUINTO: Que mediante Resolución 70714 de 06 de noviembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-127859-13 del 9 de noviembre de 2020.

En el mismo acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 70714 de 06 de noviembre de 2020 fue notificado el señor MAURICIO SANCHEZ BASTIDAS en representación de la sociedad investigada el 9 de noviembre de 2020, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 19-127859- -16 del 14 de diciembre de 2020.

SÉPTIMO: Que, una vez vencido el término de diez (10) días hábiles para que la sociedad ECLECTICUS S.A ejerciera su derecho de defensa y contradicción de acuerdo a lo establecido por el inciso tercero del artículo 48 del Código Administrativo y de lo Contencioso Administrativo, la sociedad guardó silencio OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: i. ii. Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se imponen unas sanciones” iii.

Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el segundo inciso del artículo 2.2.2.25.2.1 y el segundo inciso del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015 En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados en la denuncia interpuesta, así como el conjunto de pruebas allegadas al expediente, en razón a que la investigada guardó silencio en la oportunidad procesal para presentar los descargos y los alegatos de conclusión. 9.2 Valoración probatoria y conclusiones 9.2.1 Consideraciones preliminares Previo a analizar los cargos objeto de investigación, es necesario precisar que, como consecuencia de la revisión y preservación de la página web www.guiavital.com el 27 de febrero de 2020, consignada en el acta número 018-204, se determinó que “ • Revisión de dominio, Según la consulta realizada por WHOIS del sitio web se identifica el propietario y/o responsables del sitio inspeccionado así: (…) Registrant Organization Eclecticus S A” siendo la sociedad ECLECTICUS S.A. identificada con Nit: 900.010.103-8, quien actúa como Responsable del Tratamiento de dicho sitio web. 9.2.2 Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

At respecto la Corte Constitucional mediante sentencia C- 748 de 2011, ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su 'imagen informática".

Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realizó el análisis constitucional de la Ley Estatutaria 1581 de 2012, manifestó: "De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien por que se está haciendo Acta de preservación de páginas web No 018-20 radicada bajo el número 19-127859-00004-0001 del 4 de marzo de 2020. HOJA N, “Por la cual se imponen unas sanciones” un uso indebido de ella, o por simple voluntad del titular-salvo las excepciones previstas en la normativa." A su turno Decreto Único Reglamentario 1074 de 2015 estableció en los Artículo 2.2.2.25.2.2 y 2.2.2.25.2.5 que: “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso. entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y l a finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar aI momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (Subrayado fuera de texto). Artículo 2.2.2.25.2.5: "Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” En el caso objeto de estudio, se encuentra que esta Dirección recibió una denuncia ANÓNIMA remitida por la Superintendencia Financiera de Colombia radicada bajo el número 19-12785900000-000 del 7 de junio de 2019, en la cual se puso en conocimiento que, la página web WWW.GUIAVITAL.COM estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: (…) AGRADEZCO REVISEN DETALLADAMENTE LA ACTIVIDAD DE LA PÁGINA WWW.GUIAVITAL.COM, LA CUAL OFRECE CRÉDITOS A TRAVÉS DE TERCEROS PERO LE PIDE TODA LA INFORMACIÓN PERSONAL Y FINANCIERA DETALLADA AL USUARIO, DE UNA FORMA DIRECTA, CON EL FIN DE VALIDARLE SI ES O NO CANDIDATO A UN CRÉDITO, VIOLANDO ADEMÁS LA INFORMACION PERSONAL DE LAS PERSONAS INCAUTAS… " Ahora bien, con el propósito de esclarecer los hechos narrados en la denuncia, y verificar el cumplimiento de los deberes a cargo de la sociedad ECLECTICUS S.A., el día 27 enero de 2020 el Laboratorio de Informática Forense de esta Superintendencia realizó una preservación del sitio web www.guiavital.com. de la cual quedó evidencia en el acta suscrita mediante radicado bajo el número 19-127859-00004-0001 del 4 de marzo de 2020.

Dicho informe de preservación contiene las siguientes imágenes y observaciones, en relación con el procedimiento para la recolección de datos de los titulares: “Por la cual se imponen unas sanciones” (…) (…) (…) HOJA N, “Por la cual se imponen unas sanciones” (…) (…) HOJA N, HOJA N, “Por la cual se imponen unas sanciones” De acuerdo con lo evidenciado en la inspección técnica realizada a la página web www.guiavital.com por parte de esta Superintendencia, ECLECTICUS S.A no cuenta con un mecanismo para que los titulares otorgaran su autorización y tuvieran conocimiento de las finalidades dispuestas para el tratamiento de sus datos personales.

Ahora bien, está Dirección procederá a analizar en primer lugar la naturaleza de los datos objeto de estudio, a la luz de la clasificación de los datos personales elaborada por la jurisprudencia y recogida en la Ley 1266 de 2008; entonces, según el artículo 3 de la citada ley, los datos personales se clasifican de la siguiente forma: (…) e. Dato Personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f. Dato Público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos. sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g. Dato semiprívado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h. Dato privado Es el dato que por su naturaleza íntima o reservada sólo es relevante para el Titular.” Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: "[el dato público, en los términos de la norma estatutaria, corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas". Los datos semiprivados corresponden a aquellos que no tienen naturaleza íntima, reservada, ni pública y que. por ende: su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que. como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel ' que por su naturaleza íntima o reservada sólo es relevante para el Titular" La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011 al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012.

En la referida sentencia dijo esa Corporación lo siguiente: "la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266 en virtud del principio de conservación del derecho, el literal c) seré declarado exequible en este respecto" Como consecuencia de lo anterior, y del informe de preservación la investigada recolectó datos considerados tal y como se desarrolló previamente, así: Dato semiprivado: teléfono, correo electrónico.

Precisado lo anterior, encuentra este Despacho que la sociedad ECLECTICUS S.A, por medio del sitio web www.guiavital.com tenía dispuesto un formulario para la recolección de datos personales semiprivados, sin contar con mecanismos para solicitar la autorización previa, expresa e informada de los Titulares conforme lo prevé el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

HOJA N, “Por la cual se imponen unas sanciones” Ahora bien, con el propósito de contar con más elementos de juicio, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, requirió a la sociedad ECLECTICUS S.A, mediante oficio radicado bajo el numero 19-127859- -5 del 29 de abril de 2020, con el propósito de que informara, entre otras cosas, lo siguiente: “(…) 1.2 Respecto a los formularios para solicitud de registro de especialistas, clínicas, hoteles y contáctenos ¿cuenta con las herramientas necesarias para validar la autorización expresa y previa de la recolección de datos? 1.3 En cuanto a los formularios para registro de especialistas, clínicas, hoteles y contáctenos, ¿cuenta con las medidas necesarias para la protección de los datos ingresados por menores de edad? 1.4 Indique si cuenta con la autorización previa, expresa e informada para el tratamiento de esos datos.” Sin embargo, la sociedad ECLECTICUS S.A., no suministró respuesta a este Despacho.

De acuerdo con el material probatorio recolectado, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la sociedad ECLECTICUS S.A no demostró el cumplimiento del deber de conservar copia de la autorización de la denunciante, para su posterior consulta; y tampoco, el de contar con mecanismos para la obtención del consentimiento de los titulares a través de su página web www.guiavital.com,.

En consecuencia, este Despacho formuló cargos mediante la Resolución 41173 del 24 Julio 2020, sustentada en las siguientes consideraciones: “Conforme a lo anterior, de acuerdo con la información aportada por el GTIFSD tras efectuar la revisión y preservación del sitio web de la investigada, se tiene que la sociedad ECLECTICUS S.A., Responsable del tratamiento de datos recolectados en los formularios titulados “SalaVital Tiquetes”, “TEST DE VIABILIDAD DE CREDITO”, “SalaVital Alojamiento”, “Atención inmediata”, y “Registro Especialistas”, ubicados en el sitio web “https://www.guiavital.com”, presuntamente lleva a cabo la recolección de datos personales sin obtener el consentimiento, previo, expreso e informado de los titulares para realizar el tratamiento de los mismos, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Según la información aportada por el GTIFSD, en el acta de preservación número 018-20, en el formulario titulado “SalaVital Tiquetes” ubicado en “https://www.guiavital.com/registropaciente/registrar_paciente.php?tipo=aerolineas” presuntamente se recolectan sin autorización previa, expresa e informada los datos personales: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico6; en el formulario titulado “TEST DE VIABILIDAD DE CREDITO” ubicado en “https://www.guiavital.com/registropaciente/tar_financiacion.php” presuntamente se recolectan sin autorización previa, expresa e informada los datos personales: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico y datos socioeconómicos7; en el formulario titulado “SalaVital Alojamiento” ubicado en “https://www.guiavital.com/registropaciente/registrar_paciente.php?tipo=hospedaje” presuntamente se recolectan sin autorización previa, expresa e informada los datos personales: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico8; en el formulario titulado “Atención inmediata” ubicado en “https://www.guiavital.com/contacto.php” presuntamente se recolectan sin autorización previa, expresa e informada los datos personales: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil, (iv) correo electrónico y (v) ciudad9; y en el formulario titulado “Registro Especialistas” ubicado en “https://www.guiavital.com/registro/reg_esp.php?tipo=especialistas” presuntamente se recolectan sin autorización previa, expresa e informada los datos personales: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico10 …” En este punto es importante señalar que la sociedad investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión y ante el requerimiento 5 de información realizado por esta Dirección guardó silencio.

Por ello, la presente investigación se basará en el material probatorio recolectado por esta Dirección, y del análisis del mismo. Ahora bien, la Ley 1581 de 2012 en su literal b establece no solo el deber de solicitar la autorización previa y expresa del titular sino también el de conservar copia de la autorización, así mismo, el artículo 9 de la norma en mención establece que “(…) en el tratamiento se requiere la autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de 5 Requerimiento de información radicado bajo el número 19-127859- -5 del 29 de abril de 2020 HOJA N, “Por la cual se imponen unas sanciones” consulta posterior”.

Así las cosas, es claro el cumplimiento del deber objeto de estudio no se limita únicamente a solicitar la autorización, sino que el mismo se extiende a conservar copia de la misma en un medio que permita su consulta posteriormente. Al respecto, es oportuno resaltar que, es deber del responsable realizar todos los actos tendientes a obtener el consentimiento previo, expreso e informado de los titulares cuya información recolecta a través del sitio web www.guiavital.com, conforme lo establecido en el artículo 2.2.2.25.2.5 del Decreto 1074 de 2015 el cual establece: "ARTÍCULO 2.2.2.25.2.5.

Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos." Precisado lo anterior, encuentra este Despacho que la sociedad ECLECTICUS S.A, por medio del sitio web www.guiavital.com tenía dispuesto un formulario para la recolección de datos personales semiprivados, sin contar con mecanismos para solicitar la autorización previa, expresa e informada de los Titulares conforme lo prevé el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma ley y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Por lo anterior, esta Dirección encuentra que la sociedad ECLECTICUS S.A, incumplió con el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Razón por la cual, se impondrá la sanción pecuniaria de DIEZ MILLONES VEINTIÚN MIL OCHO PESOS M/CTE ($10.021.008), equivalente a DOSCIENTOS SETENTA Y SEIS 276 (UVT) Unidad de Valor Tributario. 9.2.3 Respecto del deber de informar a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por la autorización otorgada.

El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Literal b) del artículo 4: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: Ley 1581 de 2012 “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

HOJA N 10, “Por la cual se imponen unas sanciones” b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Literal c) del artículo 17 de la ley 1581 de 2012 Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…). 6 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Al respecto, en el caso concreto, la Coordinación del Grupo de Trabajo de Investigaciones requirió a la sociedad investigada a través del oficio radicado bajo el número 19-127859- -5 del 29 de abril de 2020 con el propósito de que informara, entre otras cosas, lo siguiente: “1.4 Indique si cuenta con la autorización previa, expresa e informada para el tratamiento de esos datos”.

En este punto es importante resaltar que el significado de informado hace referencia a las finalidades, por cuanto: Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 11, “Por la cual se imponen unas sanciones” Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En respuesta al citado requerimiento, la sociedad investigada ECLECTICUS S.A, no suministró respuesta a este Despacho. Así las cosas, con el propósito de dilucidar los hechos narrados en la denuncia, y verificar el cumplimiento de los deberes a cargo de la sociedad ECLECTICUS S.A., el día 27 enero de 2020 el Laboratorio de Informática Forense de esta Superintendencia realizó una preservación del sitio web www.guiavital.com. de la cual quedó evidencia en el acta suscrita mediante radicado bajo el número 19-127859-00004-0001 del 4 de marzo de 2020.

Dicho informe de preservación contiene la siguiente observación, en relación con los procedimientos o mecanismos para informar la finalidad a los titulares de la información: De acuerdo con el material probatorio recolectado, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la sociedad ECLECTICUS S.A no demostró contar con procedimientos o mecanismos para informar la finalidad.

En consecuencia, este Despacho formuló cargos mediante la Resolución 41173 del 24 Julio 2020, sustentada en las siguientes consideraciones: “Con relación a lo anterior, de acuerdo con la información aportada por el GTIFSD tras efectuar la revisión y preservación del sitio web de la investigada, se tiene que ECLECTICUS S.A., Responsable del tratamiento de datos recolectados en los formularios titulados “SalaVital Tiquetes”, “TEST DE VIABILIDAD DE CREDITO”, “SalaVital Alojamiento”, “Atención inmediata”, y “Registro Especialistas”, ubicados en el sitio web “https://www.guiavital.com”, presuntamente lleva a cabo la recolección de datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos sus datos, la finalidad del mismo, los derechos que le asisten como Titular de datos personales, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Según la información aportada por el GTIFSD, en el acta de preservación número 018-20, en el formulario titulado “SalaVital Tiquetes” ubicado en “https://www.guiavital.com/registropaciente/registrar_paciente.php?tipo=aerolineas” presuntamente se recolectan los siguientes datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico12; en el formulario titulado “TEST DE VIABILIDAD DE CREDITO” ubicado en “https://www.guiavital.com/registropaciente/tar_financiacion.php” presuntamente se recolectan los siguientes datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos: (i) nombres, (ii) apellidos, (iii) teléfono fijo o HOJA N 12, “Por la cual se imponen unas sanciones” móvil y (iv) correo electrónico y datos socioeconómicos13; en el formulario titulado “SalaVital Alojamiento” ubicado en “https://www.guiavital.com/registropaciente/registrar_paciente.php?tipo=hospedaje” presuntamente se recolectan los siguientes datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico14; en el formulario titulado “Atención inmediata” ubicado en “https://www.guiavital.com/contacto.php” presuntamente se recolectan los siguientes datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil, (iv) correo electrónico y (v) ciudad15; y en el formulario titulado “Registro Especialistas” ubicado en “https://www.guiavital.com/registro/reg_esp.php?tipo=especialistas” presuntamente se recolectan los siguientes datos personales sin informar a los titulares de manera clara y expresa el Tratamiento al cual serán sometidos: (i) nombres, (ii) apellidos, (iii) teléfono fijo o móvil y (iv) correo electrónico16 Siendo así, esta Dirección encuentra de manera preliminar que la sociedad ECLECTICUS S.A., quien aparece como propietario y/o responsable del sitio web “https://www.guiavital.com” 17, presuntamente vulneró lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.”.

En este sentido es importante aclarar que la investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión y ante el requerimiento 7 de información realizado por esta Dirección no emitió respuesta. Por ello, la presente investigación se basará en el material probatorio recolectado por esta Dirección, y del análisis del mismo.

Al respecto, es importante mencionar que el literal b) del artículo 4 de la Ley 1581 de 2012, establece que “el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”, es así como dicha norma, impuso como requisito del Tratamiento para los datos personales de los Titulares, la autorización previa, expresa e informada de éstos, pues no es suficiente que este autorice previa y expresamente el Tratamiento de sus datos, sino es necesario también que el Titular esté plenamente consciente de los efectos de haber otorgado dicha autorización, ya que tal y como lo manifestó la Corte Constitucional en la sentencia C-748 de 2011“(…) la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, de que se presente la autorización, el Responsable y Encargado del tratamiento debe actuar de buena fe”. Así las cosas, en el caso en concreto se tiene que la sociedad investigada, no acreditó ante esta Dirección el cumplimiento del deber de que le asiste, en su calidad de Responsable del Tratamiento de contar con procedimientos o mecanismos para informar la finalidad a los Titulares de la Información, de manera previa al Tratamiento, como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento dé la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento" Por Io indicado es posible determinar que la sociedad ECLECTICUS S.A., incumplió con el deber contenido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Razón por la cual, se impondrá la sanción pecuniaria de DIEZ MILLONES VEINTIÚN MIL OCHO PESOS M/CTE ($10.021.008), equivalente a DOSCIENTOS SETENTA Y SEIS 276 (UVT) Unidad de Valor Tributario. 9.2.4 Respecto del deber de adoptar Política de Tratamiento de datos personales La corte constitucional en la sentencia C -748 de 2011 mediante la cual realiza el análisis constitucional de la ley estatutaria 1581 de 2012, manifestó: “En el proyecto de ley estatutaria el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento, deberes que, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, así como los principios de la administración de datos personales.

Requerimiento de información radicado bajo el número 19-127859- -5 del 29 de abril de 2020 HOJA N 13, “Por la cual se imponen unas sanciones” (…) tanto el responsable como el encargado del tratamiento tienen responsabilidades claras, concretas y precisas frente al titular del dato, por cuanto ambos sujetos están obligados a garantizar el ejercicio pleno y efectivo del derecho al habeas data, el cual se irradia por todos los principios que rigen el tratamiento de datos, en donde el titular dispone de todos los medios para lograr la actualización, rectificación y supresión o cancelación de la información, según lo analizado en el acápite anterior.

En estos términos, tanto el responsable como el encargado del tratamiento tienen una responsabilidad concurrente frente a la veracidad, integridad, finalidad e incorporación del dato, si se tiene en cuenta que la recolección y procesamiento de datos no es una actividad neutra que impida al encargado del tratamiento responder, incluso por la veracidad de la información sujeta a proceso, pues a éste le corresponde cerciorarse que se cumplan los requisitos para que un dato personal pueda ser objeto de tratamiento, y si no fuere posible identificar de forma clara la posición de uno y otro, tendrán que responder de forma solidaria y no podrán excusar sus deberes de actualización, rectificación y exclusión o supresión del dato.” Ley 1581 de 2012 "Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos".

Decreto 1074 de 2015 "Artículo 2.2.2.25.2.1. Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. ( ) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 3.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 4. La naturaleza de los datos personales objeto del tratamiento. 5. El tipo de Tratamiento. 6. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso".

HOJA N 14, “Por la cual se imponen unas sanciones” Al respecto, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Así las cosas, con el propósito de dilucidar los hechos narrados en la denuncia radicada bajo el número 19-127859-00000-000 del 7 de junio de 2019, y verificar el cumplimiento de los deberes a cargo de la sociedad ECLECTICUS S.A., el día 27 enero de 2020 el Laboratorio de Informática Forense de esta Superintendencia realizó una preservación del sitio web www.guiavital.com, de la cual quedó evidencia en el acta suscrita mediante radicado bajo el número 19-127859-00004-0001 del 4 de marzo de 2020.

Dicho informe de preservación contiene la siguiente observación, en relación con la Política de Tratamiento de Información: Consecuencia de ello, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección requirió a ECLECTICUS S.A mediante escrito radicado bajo el número 19-127859-5 del 29 de abril de 2020, con el propósito de que informara, entre otras cosas, lo siguiente: (…) Informe las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Remitir copia de Manual de Seguridad implementado por la sociedad". Sin embargo, la sociedad ECLECTICUS S.A, no suministró respuesta a este Despacho. De acuerdo con el material probatorio recolectado, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la sociedad ECLECTICUS S.A en su página web www.guiavital.com no cuenta con una Política de Tratamiento de Información que cumpla con los requisitos mínimos establecidos en el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, este Despacho formuló cargos mediante la Resolución 41173 del 24 Julio 2020, sustentada en las siguientes consideraciones: “El GTIFSD tras efectuar la revisión y preservación del sitio web de la investigada consignada en el ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN - N° 018-20, señaló lo siguiente: “9. OBSERVACIONES Se realizan las observaciones enumeradas a continuación. A. En la navegación del sitio web www.guiavital.com se pudo observar que no se encuentran publicadas las políticas de privacidad ni la política de tratamiento de datos.

B. Se encuentran formularios para registro de especialistas, clínicas, hoteles, contáctenos, soporte (imágenes No. 5 al 19) y en cada uno de los formularios también se puede ver que no existe referencia a política de privacidad, ni a la finalidad de recolección de la información y por lo tanto las personas naturales o jurídicas no autorizan su tratamiento.” 18 (Énfasis fuera de texto original) En virtud de lo anterior se encuentra que la investigada no cuenta con una Política de Tratamiento de Datos Personales en los que se describan los procedimientos de recolección, almacenamiento, uso, circulación y supresión de información ni tampoco se específica acerca de la atención de consultas o reclamos.

HOJA N 15, “Por la cual se imponen unas sanciones” Siendo así, esta Dirección encuentra de manera preliminar que la sociedad ECLECTICUS S.A., quien aparece como propietario y/o responsable del sitio web “https://www.guiavital.com” 19, presuntamente vulneró lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el segundo inciso del artículo 2.2.2.25.2.1 y el segundo inciso del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015” En este sentido es importante aclarar que la investigada no presentó escrito de descargos, ni aportó pruebas, tampoco presentó alegatos de conclusión y ante el requerimiento8 de información realizado por esta Dirección no emitió respuesta.

Por ello, la presente investigación se basará en el material probatorio recolectado por esta Dirección, y del análisis del mismo. Así las cosas, en el caso en concreto se tiene que la sociedad ECLECTICUS S.A, no acreditó ante esta Dirección el cumplimiento del deber de que le asiste, en su calidad de Responsable del Tratamiento de implementar una Política de Tratamiento de Información publicada en la página web www.guiavital.com, que cumpla con los requisitos mínimos establecidos en el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En virtud de lo expuesto, resulta claro para esta Dirección el actuar negligente de la sociedad investigada respecto del deber objeto de estudio, toda vez que la sociedad realizó tratamiento de datos personales mediante su página web www.guiavital.com sin tener puesta a disposición de los mismos las políticas de tratamiento de datos, vulnerando así el derecho fundamental de habeas data de los Titulares impidiendo conocer el Responsable del tratamiento de sus datos, el Tratamiento al cual serían sometidos y las finalidades del mismo, los derechos que le asisten al Titular, la persona o área responsable de la atención de peticiones, consultas y reclamos, el procedimiento para que los Titulares puedan ejercer sus derechos, la entrada en vigencia de la política y el periodo de vigencia de la base de datos.

Por lo que se impondrá la correspondiente sanción, de multa correspondiente a DIEZ MILLONES VEINTIÚN MIL OCHO PESOS M/CTE ($10.021.008), equivalente a DOSCIENTOS SETENTA Y SEIS 276 (UVT) Unidad de Valor Tributario. DÈCIMO: De acuerdo con la revisión y preservación de la página web www.guiavital.com el 27 de febrero de 2020, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: 10.1 En cumplimiento de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, deberá implementar en la página web www.guiavital.com un mecanismo efectivo para obtener el consentimiento previo, expreso e informado de los titulares cuya información recolecta a través del sitio web. 10.2 En cumplimiento de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015., deberá implementar en la página web www.guiavital.com un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. 10.3 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el segundo inciso del artículo 2.2.2.25.2.1 y el segundo inciso del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015, deberá desarrollar e implementar en el sitio web www.guiavital.com una Política de tratamiento de la información que cumpla los requisitos mínimos previstos en el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

Requerimiento de información radicado bajo el número 19-127859- -5 del 29 de abril de 2020 HOJA N 16, “Por la cual se imponen unas sanciones” De lo anteriormente ordenado la sociedad ECLECTICUS S.A, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional9.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 17, “Por la cual se imponen unas sanciones” PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT. Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional10 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N 18, “Por la cual se imponen unas sanciones” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros12.

La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”13.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia14. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 19, “Por la cual se imponen unas sanciones” Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados16.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad ECLECTICUS S.A en su calidad de responsable del tratamiento vulnero los deberes contemplados en: i) ii) iii) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

De acuerdo con lo anterior, es claro que la sociedad investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de TREINTA MILLONES SESENTA Y TRES MIL VEINTICUATRO PESOS M/CTE ($30.063.024), equivalente a OCHOCIENTOS VEINTIOCHO (828) en UVT Unidades de Valor Tributario. 10.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 20, “Por la cual se imponen unas sanciones” infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la sociedad ECLECTICUS S.A infringió abiertamente las normas sobre protección de datos personales, en tanto: • La página web no cuenta con mecanismos para obtener el consentimiento previo, expreso e informado de los titulares cuya información recolecta a través del sitio web www.guiavital.com • No demostró contar con procedimientos o mecanismos para informar la finalidad. • La página web no cuenta con una Política de Tratamiento de Información, que cumpla con los requisitos mínimos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente TREINTA MILLONES SESENTA Y TRES MIL VEINTICUATRO PESOS M/CTE ($30.063.024), equivalente a OCHOCIENTOS VEINTIOCHO (828) en UVT Unidades de Valor Tributario, por violación a lo dispuesto en el: i. ii. iii.

Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el segundo inciso del artículo 2.2.2.25.2.1 y el segundo inciso del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8, hasta que acredite que ha adoptado las siguientes acciones correctivas: • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares, cuya información se recolecta a través del sitio web www.guiavital.com • Suprimir de manera definitiva, los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular, a través del sitio web www.guiavital.com HOJA N 21, “Por la cual se imponen unas sanciones” Para ello deberá aportar copia del mecanismo utilizado para la obtención de la autorización de los datos personales de los titulares de la información y evidencia técnica de la eliminación de todos los datos personales de los titulares tratados sin autorización previa expresa e informada, a través del sitio web www.guiavital.com • Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento, cuya información es recolectada a través del sitio web www.guiavital.com Para ello deberá aportar copia del mecanismo utilizado para informar previo al tratamiento de la información, sobre la finalidad de la recolección de datos personales. • Desarrollar e implementar una Política de Tratamiento de Información, que cumpla con los requisitos mínimos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, la cual se deberá ser puesta en conocimiento de los titulares de la información del sitio web www.guiavital.com Para ello deberá aportar copia de la Política de Tratamiento de Información implementada.

PARÁGRAFO PRIMERO: Dentro de dicho término, la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8 deberá implementar las medidas señaladas.

PARÁGRAFO SEGUNDO: Vencido dicho término, esta Superintendencia verificará el cumplimiento de lo ordenado. En caso de incumplir con lo señalado, se impondrá la sanción dispuesta en el literal c) del artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: ( ) c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad ECLECTICUS S.A identificada con NIT. 900.010.103-8 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión a ANONIMO.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 MARZO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.03.31 12:08:17 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se imponen unas sanciones” NOTIFICACIÓN: Investigada: Entidad: ECLECTICUS S.A Identificación: Nit.: 900.010.103-8 Representante Legal: MAURICIO SANCHEZ BASTIDAS Identificación: C.C 76310304 Dirección: CL. 11 A No 100 B – 60 12-02 Ciudad: CALI / VALLE DEL CAUCA Correo electrónico: maosan18@hotmail.com COMUNICACIÓN: Señor: ANONIMO Ciudad: Bogotá Correo electrónico: sin identificación HOJA N 22,

Resolución sancionatoria N° 18303 de 2021

CONSIDERANDO

RESUELVE