REPtJBUCA DE COLOMBIA 44029 (25 JUN 2018') RESOLUCION NUMERO DE 2018 RadicaciOn 15-208103 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejerciclo de sus facultades legales, en especial las conferidas par los artIculos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artIculo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que este Despacho tuvo conocimiento de la presunta vulneraciOn de las normas de proteccion de datos personales cantenida en la Ley 1581 de 2012 par parte del colegio CONGREGACION DE HERMANAS FRANCISCANAS DE NUESTRA SENORA DE LOURDES (en adelante COLEGIO SANTA FRANCISCA ROMANA) razon por la cual el 15 de septiembre de 2015 oficiosamente determino realizar una diligencia de inspecdan a las instalaciones del COLEGIO SANTA FRANCISCA ROMANA, con elfin de verificar el cumplimiento de los deberes y requisitos establecidos en la citada norma.
SEGUNDO: Que con fundamento en los resultados arrojados par la visita de inspeccion Ilevada a cabo por este Despacho, mediante Resolucion No. del 30 de noviembre de 20171 la DirecciOn de lnvestigacion de Proteccion de Datos Personales resolviO iniciar la investigaciOn administrativa en contra del COLEGIO SANTA FRANCISCA ROMANA identificado con Nit.860.010.572-4 de confomiidad con las razones expuestas en la mentada resoluciOn par la presunta vulneracion do las disposiciones contenidas en el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de Ia misma norma y articulo 2.2.2.25.3.1 del Decreto Cinico Regoamentariol 074 de 20152, inciso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3,5 del Decreto enunciado, literal b) del articulo 17 de la citada ley en concordancia con el literal c) del articulo 4 y los articulo 5,6 y 9 de la Ley 1581 de 2012, asi como el inciso primero del artIculo 2.2.2.25.2.2 y los articulos 2.2.2.215.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015, en el literal c) del articulo 17 en concordancia con el literal b) del articulo 4 asi coma los articulos 6 y 12 de la ley senalada, y el inciso primero del articulo 2.2.2.25.2.2 y 2.2.2.25.2.2 del mismo decreto, literal k) del artIculo 17de la ley en comento en concordancia con el literal g) del articulo 4 de la norma enunciada coma los articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del decreto en menciôn, TERCERO: Que mediante escrito radicado el dla 9 de enero de 2018 a traves de apoderada el COLEGIO SANTA FRANCISCA ROMANA, dio respuesta a la formulaciOn de cargos (fls.90 al 237) informando lo siguiente: 3.1 Manifiesta que consideran vulnerado el procedimiento administrativo de carãcter sancionatoria "por ausencia do precision en los cargos" toda vez que la formulacion de cargos no se especifica la norma presuntamente vulnerada y el sustento de la misma, par 10 que realizO un recuento de los cargos formulados par este Despacho indicando que los mismos, 51 bien, hacen referencia a las nomias que considera vulneradas no se especifica la presunta vulneracion de las mismas COLEGIO SANTA FRANCISCA ROMANA. 3.2 Reitera que "La indeteriminaciOn de los cargos contra viene la garantla del debido proceso, en la medida en que dificulta is defense del investigado.
En efecto, en la formulaciOn de cargos y con elfin de garantizar el debido ejercicio del derecho de defensa y do contradiccion, Is 1 Obrante a folios 73 at 84 Por medio del cual se expide el Decreto Unico Reglanientario del Sector Comercio, Industria y Turismo, norma que cumplió, entre otros, el Decreto 1377 de 2013 que reglamentó parte del articulo de la Ley 1581 de 2012 Z U2018 RESOLUCION NCJMERO 4- dE Porla cual se impone una sanciOn HOJA 2 [VERSION PCJBLICA ] SIC debe senalar cuales son las imputaciones concretas que se tienen contra el inculpado, indicando no solo las normas legales que presuntamente viola, sino quo as preciso, para quo el investigado pueda enderezar su defensa a controvertir tales cargos, saber concretamente los cargos puntuales y los hechos concretos de los pue se !e acusa, para que pueda defenderse do lo quo so le acusa, y solicitar las pruebas quo considere pertinentes para demostrar su inocencia o atenuar su responsabilidad".
(194) 3.3 ContinUa senalando que "todos los cargos formulados hacen menciOn a la presunta norma violada, pero an nm gUn momento se especifica la razOn por Ia que cada cargo se imputa lo cual claramente dificulta la defensa" (fl.95). Conforme a lo indiciado consideran que los hallazgos resultantes de la visita no son suficientes para cumplir con el requisito de la formutación de cargos, puesto que, este Despacho no individualizO la presunta conducta vulnerada. 3.4 Indica que esta DirecciOn vulnerO su derecho al debido proceso puesto que el 21 de diciembre de 2017 al presentarse en las instalaciones de esta Superintendencia con el respectivo poder no se les permitiO el acceso a los expedientes de la presente investigacion por el horario de la jornada laboral establecido para dicha fecha, motivo por el cual el 26 de diciembre de 2017 nuevamente se acercaron a la SIC a solicitar las copias de la presente investigaciOn frente a lo cual se indicô que dicho tramite se debe presentar por escrito frente a lo cual manifiestan "NOtese quo los funcionarios do Ia SIC dilataron do manera deliberada la solicitud do copias por ocho (8) dies, desde la primera fecha an quo nos acercamos a solicitarla, realizando solicitudes adicionales do documentaciOn quo no se encuentran contompladas dentro do ía regulaciOn aplicable, to cual do manora clara viola el derecho a la defensa, publicidad y el debido proceso del CSFR" (ff96), aunado a lo anterior se paso por alto la autorizaciOn otorgada para acceder al expediente y ejercer su derecho a la defensa y debido proceso contemplado en los articulos 3 y 5 Codigo de Procedimiento Administrativo y de los Contencioso Administrativo en concordancia con los articulo 209 y 29 de la Constitucion Politica. 3.5 Afirman que con relaciOn a los datos personales de alumnos, padres, profesores y miembros del COLEGIO SANTA FRANCISCA ROMANA en general 'siempre ha empleado mecanismos do con fidencialidad y seguridad que aseguran la protecciOn de ía informaciOn.
Teniendo en cuenta la regulaciOn expedida por el Gobiemo Nacional an el ano 2012, y an cumplimiento del principio de responsabilidad demostrada, el CSFR ha iniciado Ia implementaciOn de medidas, documentos y procedimientos intemos quo están encaminados al cumplimiento do dicha regulaciOn, todo bajo criterios de proporcionalidad y en la medida do las posibilidades para la instituciOn sin gonorar inseguridad en el tratamionto do Ia informaciOn y volando por su con fidencialidad" (ft. 101) 3.6 Adicionalmente indica frente al primer cargo el cual hace referencia al deber contenido en el literal k) del artIculo 17 de la Ley 1581 de 2012, este Despacho no estableciO cual fue la presunta conducta sancionable toda vez que cuentan con una Politica de Tratamiento de Datos Personales conforme a lo senalado en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, de igual forma implementaron Manual de politicas y procedimientos internos los cuales pueden ser consultadas a través de su página web y adiciona que " los requisitos do (as Politicas do Privacidad a las quo so hace reforoncia an ol cargo segundo; an nuestro ejorcicio ontonderiamos quo dicha monciOn so hace debido a quo considora ol dospacho quo Ia politica deberia incluir los elemontos citados por ol articulo, los cualos en efecto tione; pero en la modida on quo ol cargo no fue formulado adocuadamonto no as posiblo pronunciarnos do manera clara al rospocto, y solo nos queda asumir la forma en quo ponsaron los sancionadores y ejercer una defonsa minima" (fl.104).No obstante procederan a implementar capacitaciones referentes a la politica de privacidad y manual de politicas y procedimientos. 3.7 Frente al cargo segundo senalO las normas presuntamente vulneradas de acuerdo a la formulaciOn de cargos y reiterô que la politica está en la página web y que tienen cuentan con un aviso de privacidad el cual de igual forma puede ser consultado a través de página web. 3.8 Frente al cargo tercero realizO un recuento del cargo formulado senalo que segUn lo establecido en el Decreto Unico Reglamentario 1074 del 201 las Politicas de Tratamiento de RESOLUCION NUMERO4 402 9r A Par Ia cualse impone una sanc/ón i-IOJA 3 [_VERSION PUBLICA] la lnformaciOn deben redactarse en lenguaje sencillo ponerlas en conocimiento de los titulares de informacion y contar con un aviso de privacidad, frente a lo anterior este Despacho no senalO las conductas que considera vulneradoras "en el caso de los colaboradores, padres de familia y empleados del CSFR por ía existencia de tin contra to de trabajo de prestaciOn de servicios educativos y por la so/a necesidad de contar con su informaciOn para proceder con ía ejecuciOn del mismo, la autorizaciOn se entiende voluntariamente otorgada med/ante conductas inequivocas al haber sido dichas personas quienes proporcionaron la informaciOn personal de manera voluntaria e inequivoca" (fl.109).
Aunado Ic anterior senalan que el tratamiento de los dates sensibles solo será efectuado por las personas de la organizacion y la misma no es compartida con terceros y que de acuerdo a lo estipulado en el articulo 6 de la Ley 1581 do 2012 solo se requerirã autorizaciOn por parte de los padres para el tratamiento de dates de menores de edad cuando dicha informacion sea "compartida con terceros". 3.9 Afirman que los profesores de la instituciôn suscribieron otro si al contrato laboral, a través del cual otorgaron autorizacion para el tratamiento de datos y confidencialidad (fls.154 al 160), a su vez implementaran a partir de enero de 2018 un formato de actualizacion de informaciOn (fls.162 al 164), y a partir del segundo semestre del 2018 implementaran en el contrato de inscripcion suscrito por los padres, la clausula de tratamiento de dates personales. 3.10 Afirman que "el CSFR es una entidad sin animo de lucro de origen canônico gue presta servicios educativos, como b/en se puede apreciar en el certificado emitido por ía ArquidiOcesis de Bogota (Anexo 4).
En su calidad do entidad sin ánimo de lucro de origen canOn/co el tratamiento do dabs sensibles le esté permitido con forme a to establecido en el literal c) del artIculo 6 de la Ley 1581 do 2012 el cual dispone: "Articulo 6 0. Tratamiento do datos sensibles. So prohibe at Tratamionto do datos sensibies, excepta cuando: c) El Tratamiento sea efectuado en el curso de las actividades legitimas V con las debidas garantias por parte do una fundaciOn, ONG, asociaciOn o cualquier otro orqanismo sin ãnimo de lucro, cuya final/dad sea polItica, tilosO f/ca, roligiosa o s/nd/cal, siempre quo se ref/bran oxciusivamente a sus miembros a a las personas quo mantongan contactos rogulares por razón do su final/dad.
En estos eventos, los datos no so podran suministrar a terceros sin la auto rización del Titular ( )' (subraya y negrilla fuera do texto) Por lo indicado la investigada puede efectuar el Tratamiento de datos sensibles amparados en la excepciOn antes relacionadas por la forma de su constitucian y los servicios prestados. 3.11 Consideran que frente al cargo cuarto, el cual dispone la presunta vulneraciOn del principio de finalidad senalan que "se reitera que el CSFR Unicamente utiliza informaciOn personal con ía final/dad propia de una entidad sin an/mo de lucro de origen canOnico y para cumplir los contratos voluntariamente suscritos por los titulares de ía informaciOn, es decir para la prestaciOn del serviclo pUb//co de educaciOn y para garantizar dicho servicio.
En este sent/do es importante resaltar quo el CSFR no utiliza ía informaciOn con que cuenta para finalidades diferentes a la descrita" (fls.1 14). 3.12 Informa que frente al cargo quinto "reiteramos nuevamente que el CSFR administra los datos de acuerdo al manual de politicas y procedimientos ya mencionado el cual aplicado por los empleados y funcionarios de CSFR.
Adicionalmente, en concordancia con Jo establecido en el articuio 2.2.2.25.6.2 del Decreto On/co Reglamentario 1074 de 2015 reiteramos que el CSFR cuenta con un manual de poiíticas y procedimientos para el tratamiento de informaciOn personal en donde se ha transcrito el procedimiento de atenciOn y respuesta de consultas que venla aplicando con anterioridad, y donde de manera clara se establecen todos los procedimientos relativos a la protecciOn de datos persona/es" (fls. 117) 3.13 Finalmente, considera vulnerado su derecho al debido proceso, defensa, y publicidad y que cualquier tipo de sanción o medida que tome este Despacho "estaria en contravía de la efectiva prestaciOn de servicio pUblico de educaciOn, y más aUn en contravia del derecho quo tienen las niñas y adolescentes pertenecientes al CSFR a ser educadas ( ) al ser una RESOLUCION N Por ía cual so inipone una sano/On H0JA 4 [VERSION PUBLICA ] entidad sin animo de lucro de origen canOnico an ningOn momento utilize la informaciOri pare fines diferentes a los de desarrollar su objeto social" (fl. 119)
CUARTO: Que mediante ResoluciOn No. M del 19 de febrero de 2018, se incorporaron las pruebas decretadas y aportadas por la investigada. De igual manera, se corriô traslado a la sociedad investigada para por el termino de diez (10) dias presentara alegatos de conclusion.
QUINTO: Que una vez vencido el plazo otorgado, la sociedad investigada, mediante comunicado del 5 de marzo de 2018 (fls.238 al 297), presentO sus alegatos de conclusion reiterando lo siguiente: 5.1 Reiteraron los argumentos expuestos an el escrito de descargos adicionando que procedieron a obtener en debida forma la autorizaciOn para el tratamiento de datos personales y datos sensibles "La informaciOn personal con quo cuenta el CSFR do sus colaboradores, empleados, alumnas y padres de familia Unicamonto tieno como finalidad ser utilizada para el desarrollo de las actividades propias el CSFR, as decir actividados de educaciOn" (fl.239), reiterando que el uso de la informaciOn so autorizO a través de conductas inequivocas y que están en la categoria de entidades sin ánimo de lucro y de origen canônico. 5.2 Indican que el otro si a los contratos laborales ha sido suscrito por 1869 personas y que "se implementO desde enoro de 2018, el formato de actualizaciOn de informaciOn el cual so incorporO at expodiente en el documonto de descargos.
Dicho documento fue suscrito por los titulares y16 sus representantes. Adjuntamos como anexo 2 a/ presente escrito, una muestra de cjichos documentos los cuales han sido debidamente suscritos nor 564 families vinculadas at CSFR. Igualmente, resaltarnos qua se impiementO elformatode aLilOFIZaCiOTJ para el tratamiento do datos personalos para las familias quo inician su proceso do admisiOn" (fl. 242). 5.3 Enuncian que "el CSFR adolantO durante el mes do onero del presente ano, capacitaciones a todo su personal en relaciOn con la aplicaciOn de la Politica de Privacidad y con to ostablecido en el Manual de PolIticas y Procedimientos el cual, hizo referoncia a los procedimiontos constantes que ha venido man ejando el CSFR y sus funcionarios an relaciOn con la informaciOn personal' (fl.244). 5.4 Senalan que la Politica de Tratamiento de Datos personales y el aviso de privacidad se implementaron en Ia página web de la institución y reitera que "el CSFR administra los datos. de acuerdo at manual de politicas y procedimiontos ya mencionado, el cual as aplicado por los empleados y funcionarios de CSFR.
Adicionalmente, an concordancia con to establecido an ol articulo 2.2.2.26.6.2 del Decreto Unico Reglamentario 1074 do 2015 reiteramos que CSFR actualmente cuanta con un manual de politicas y procedimientos para el tratamiento de informaciOn personal ( ) que Si bien al momonto do la visita no so contaba con el manual do forma oscrita, los procedimientos infernos si oran conocidos por los funcionarios de CSFR, quienos los habian implementados desde hace algun tiempo" (19.245). s.s Continua indicando que los cargos no se formularon en debida forma, con base en que esta Direccian no especificO con base en quo conducta se vulnerO la norma. 5.6 Afirman que dieron cumplimiento a las recomendaciones realizadas por este Despacho con base en los resultados de la visita do inspecciOn realizada el 25 de septiembre de 2015 por este Despacho, frente a lo cual publicaron la PolItica de Tratamiento de Datos Personales en su pagina web, implementaron el aviso de privacidad, autorizaciOn para el tratamiento de datos personales, se inforrnaron a los Titulares de informaciOn las finalidades de la recolecciOn de datos y se estableciO un canal de atenciôn para peticiones de los titulares.
SEXTO: Competencia de Ia Superintendencia de Industria y Comercio El articulo 19 de la Ley 1581 de 2012, estableciO que la Superintendencia de Industria y Comercio, a traves do la Delegatura para la ProtecciOn de Datos Personales, ejercerâ la vigilancia con elfin Obrante a folios 301 al 303 ' DE U U c. RESOLUCION NUMERO44 2014 Porla cualse impone una sanciOn I-iOJA 5 rRSloN POBLIC] de garantizar que en el Tratamiento de Datos personales se respeten los principios, derechos, garantias y procedimientos previstos en la Ley 1581 de 2012.
SEPTIMO: Análisis del caso 7.1 Adecuacion tipica La Corte Constitucional mediante sentencia C-748 de 2011, establecio to siguiente en relaciOn con el principio de tipicidad en el derecho administrativo sancionatorio: (r( ) En relación con el principio de tipicidad, encuentra /8 Sala quo pese a (a generalidad de /8 ley, es determinable la infraccion administrative en la medic/a en que se sofia/a quo Ia constituye el Inc umpilmiento de las disposiciones de la ley, esto es, en términos especificos, Ia regulaciôn quo hacen los articulos 17 y 18 del proyecto de fey, en los que so sonalan los deberes do los responsables y encargados del tratamiento del dato ( Atendiendo los parámetros senalados por la citada jurisprudencia, para el caso especifico se tiene que: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dara lugar a la aplicaciôn de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 do 2012. (ii) De conformidad con la visita de inspecciOn efectuada por este despacho a las instalaciones de la investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneraciOn a los literales b), c), y k) del articulo 17 de la Ley 1581 de 2012.
En ese orden de ideas, corresponde a este Despacho establecer si Ia conducta desplegada por la investigada dará lugar a no a la imposiciOn de una sanciôn para Ia cual se deberan tener en cuenta los hechos narrados par los reclamantes, as[ coma las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusion, y el conjunto do pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones 7.2.1 Principios para el tratamiento de datos personales La Ley 1581 de 2012 contiene en su articulo 4 los principios rectores del Regimen General de Proteccian de Datos Personales, los cuales deben ser interpretados y aplicados armOnica e integralmente al momenta de realizar el tratamiento de datos personales.
Para el caso en concreto los principios relacionados con la posible vulneracion del derecho de habeas data son: "Articulo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretacion y aplicaciOn do Ia presente ley, so aplicaran, do manera armOnica o integral, los siguientes principios: (. b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legItima do acuerdo con la Constitución y la Ley, Ia cual debe ser informada a! Titular c) Principio de libertad: El Tratamiento sOlo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal a judicial quo releve el consentimiento; o) Principio do transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del F? esponsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin rostricciones, informaciOn acerca do la existencia do datos quo le concieman;
(.. Code ConsUtucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos mil once (2011). RESOLUCIÔN NCJMERO ' U HOJA 6 Ct 2018 Pane eva/se impone una sanciOn ( VERSION PUBLICA ] g) Pdncipio do seguridad: La informaciOn sujeta a Tratamiento par a! Responsable del Tratamiento a Encargado del Tratamiento a que se reflere la presente fey, se deberá manejar con las medidas tOcnicas, humanas y administrativas que sean necesarias para otorgar segunidad a los registros evitando su adulteracion, perdida, consulta, uso a accesa no autonizada a fraudulento;
Los principios rectores, deben confluir en cuanto a su aplicaciOn con los deberes y derechos contenidos en la Ley 1581 de 2012. En el presente caso es relevante mencionar los deberes que posiblemente el COLEGIO SANTA FRANCISCA ROMANA está vulnerando: (i) el deber de solicitar y conservar copia de la autorizaciôn previa, expresa e informada del titular previsto en el literal b) del articulo 17 con concordancia con el literal c) del artIculo 4 y los articulo 5, 6 y 9 de la Ley 1561 de 2012 as[ corno el inciso primero del articulo 2.2.2.25.2.2 y los articulo 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015 teniendo en cuenta que la investigada efectUa tratamiento de informacion personal de niños, niñas y adolescentes;
(U) el deber de informar a los titulares la finalidad de la recoleccion de datos por la autorizacion otorgada prevista en el literal c) del articulo 17 con concordancia con el literal b) del articulo 4 asi como los articulos 6 y 12 de la Ley 1581 de 2012 y el inciso primero del articulo 2.2.2.25.2.2 del Decreto enunciado (iii) el deber de adoptar in manual interno de politicas y procedimientos para garantizar lo establecido en la Ley y en especial, la atenciôn de consultas y reclamos, establecido en el literal k) de Ia ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de Ia misma ley y el articulo 2.2.2.25.3.1 del decreto en mencion y (iv) el deber de implementar el aviso de privacidad para infomiarle a los titulares la existencia de la Politica de Tratamiento de datos personales contemplado en el inciso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto (Jnico Reglamentario 1074 de 2012.
Por Jo mencionado, este Despacho procederá a establecer el cumplimiento de los deberes mencionados por parte del COLEGIO SANTA FRANCISCA ROMANA, en calidad de Responsable del tratamiento de los datos personales. 7.2.2 Frente a la indebida formulacion de cargos Afirma la sociedad recurrente que los cargos imputados no son precisos toda vez que no hay claridad frente a "quo conducta especifica se Ic impute, que norma presuntamente violaron Y POT que" Continua indicando que "1..) La indeterminaciOn de cargos contra viene la garantla del debido proceso, en la medida que dificulta la defensa del investigado.
En efecto, en la formulaciOn do cargos y con el fin de garantizar 91 debido ejercicio del derecho de defense y de contradicciOn, la SIC debe señalar cuales son las imputaciones concretes que se tienen contra el inculpado, indicando no sOlo las normas Jo gales quo presuntamente viola, s/no que es preciso para que el investigado pueda enderezar su defensa y controvertir tales cargos ( )".
(fl.94) La Resolución No. M del 30 de noviembre de 2017, "por Ia cual so inicia una investigaciOn administrative y se formulan cargos", en su parte resolutiva expresamente hizo mención a la formulacion taxativa de los deberes consagrados en la Ley 1581 de 2012 presuntamente incumplidos por parte del COLEGIO SANTA FRANCISCA ROMANA y, de este modo, en dicho acto administrativo el a quo resolvio" ) iniciar investigaciOn administrative y en consecuencia formular cargos al colegio CONGREGACION DE HERMANAS FRANCISCANAS DE NUESTRA SENORA DE LOURDES, identificado con el Nit: 860.006.764 - 6, en su condiciOn do Responsable do Tratamiento, de con formidad con to establecido en Ia parte motiva de la presente resolucion (. 4" (17.84).
Se aclara a partir de las averiguaciones preliminares adelantadas por esta DirecciOn en especial de la visita administrativa donde se llego a determinar que la investigada cuenta con bases de datos de naturaleza privada, sensible y de menores, se determino que el COLEGIO SANTA FRANCISCA ROMANA actüa en condiciOn de Responsable del Tratamiento, y de conformidad con los hallazgos claramente especificados y detallados de conformidad con la visita de inspecciôn adelantada, la cual permitio a este a este Despacho evaluar las normas presuntamente vulneradas y las sanciones aplicables conforme a Pa senalado en el artpculo 23 de la Ley 1581 de 2012 en caso de encontar demostrado dentro de la presente invesigaciOn el incumplimiento de los deberes senalados en la resolucion de formulaciOn de cargos obrante a folios del 73 al
84. RESOLUCION NCJMERO HOJA 7 DE 2018 Porla cualse /mpone one sanciOn [VERSION PUBLICA De conformidad COfl 10 señalado, los cargos formulados seran objeto de análisis dentro de la presente resoluciOn, la cual decidirá si existe mérito suficiente para imponer una sanciOn a absolver a la investigada del incumplimiento de los deberes relacionados en la ResoluciOn Na M del 30 de noviembre de 2017, esto con fundamento en el material probatorio recolectado en Ia vEsita de inspección efectuada 15 de septiembre de 2015 oficiosamente por este Despacho.
El auto de formulaciOn de cargos es una providencia de trámite que determina las bases sobre los cuales se tomará una desicion determinada a establer la responsabilidad o absolucion del investigado. Asi las cosas, las simples diferencias de interpretación que puedan existir con respecto al análisis del material probatorio con base en el cual se sustenten los cargos que se formulen, no pueden dar base para que se considere que existe una indebida formulaciOn de cargos. 7.2.3 Frente a la violación al debido proceso y al ejercicio del derecho a la defensa En el escrito de descargos del dia 9 de enero de 2018 dia 9 a investigada argumentO "( ) la SIC vu/nera de mariera evidente el derecho al debido proceso y al ejercicio de la defensa al no permitir el acceso a expedientes de la investigaciOn.
Frente a este aspecto resaltamos que a! notif(car la resoluciOn a ml poderdante no se le dio acceso inmediato al expediente del caso ( ) los funcionarios de la SIC dilataron de manera de!iberada la solicitud de copias por ocho (8) dias, desde (a primera fecha en que nos acercamos a solicitarla, realizando solicitudes adicionales de documentaciOn que no se encuentren contempladas dentro de la regulaciOn aplicable, /0 cual de manera clara viola derecho a la defensa, publicidad y el debido proceso del CSRF ( )".
Contrario a To que indica la investigada, con respecto a la presunta afectacion del derecho de defensa, no se vulnera tal prerrogativa fundamental teniendo en cuenta que en primer lugar, el derecho de defensa comprende la oportunidad de conocer sobre el inicio, desarrollo y conclusiOn de la actuaciOn administrativa de carécter sancionatorio, y sobre todas las circunstancias relevantes del mismo que tengan incidencia en el incumplimiento de los deberes presuntamente vulnerados y todas las determinaciones adoptadas por la Direction cuenten con un sistema de publicidad apropiado para que la investigada tenga acceso efectivo a esta informacion.
Coma puede evidenciarse las Resoluciones Nos. del 30 de noviembre de 2017 y 10968 del 19 de febrero de 2018 se notificaron en debida forma y las pruebas que pretendian hacer valer ante este Despacho tal coma consta en certificaciones visibles a folios 71 y 298 del expediente. En segundo lugar, el derecho de defensa comprende el derecho a controvertir las decisiones adoptadas, solicitar, aportar y controvertir pruebas y especialmente aquellas que tienen incidencia en la configuracion de la responsabilidad, a traves de un sistema adecuado de recursos.
En efecta, Si el investigado considera que los cargos formulados dentro de la actuaciOn administrativa de carácter sancionatorio no son correctos par no corresponder a una conducta que considere vulnerada, el investigado puede impugnar las decisiones que tome este Despacho. En relation con el debido proceso administrativo, debe recordarse que su funciOn es la de permitir un desarrollo adecuado de la funciOn püblica, persiguiendo el interés general y sin descanocer los derechos fundamentales, el debido proceso administrative deba armonizar los mandatos del articulo 29 de la ConstituciOn Politica con los principios del artIculo 209 5 de la norma en cita.
Sin embargo, es Despacho deja presente que el argumenta planteado carece de fundamento probatario, tada vez que no demuestran que se les impidiera el acceso al expediente y que con base en tal restricciOn no pudieran ejercer su derecho a la defensa, toda vez que como se puede constatar a la Ia largo de la presente actuaciOn aportaron las pruebas que consideraron pertinentes y se pronunciaran de los cargos imputados dentro de los términos concedidos.
ConstituciOn PoliUca. Articulo 209. 'La funciôn administrativa está al servicio de los intereses generales y Se desarrolia con fundamento an los pncipios de igualdad, morandad, eficacia, economia, celeridad, irnparcialidad y publicidad, mediante la descenlralización, la delegaciOn y la desconcentracjón de funciones. II Las autoridades adrninistrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado.
La administraciOn póblica, en todos sus órdenes, tendrâ un control interno qua se ejercerá an los términos qua senate la ley" An A fl fl RESOLUCION NUMERd't' t U L bE b9'8 Par la cual se impono una sanciôn HOJA 8 [VERSION PUBLICA 7.2.4 Politica de Tratamiento y Aviso de privacidad Sea Ia primero aclarar que mediante el articulo 2.2.2.25.3.1 del Decreto LJnico Reglamentarlo 1074 de 2015, se establece el contenido minimo que debe reunir el documento que haga sus veces de politica de tratamiento de informaciOn el dispuso Ia siguiente: "1) Articulo 2.2.2.25.3.1.
Politicas de Tratamiento de la information. Los responsab/es del tratamiento deberan desarrol/ar sus politicas pare el tratamiento de los dates persona/es y ye/ar porque los Encargados del Tratamiento den cabal camp limiento a las mismas. Las politicas de tratamiento de la informaciOn deberén constar en media fisico o electrOnico, en an lenguaje c/arc y sencillo y ser puestas an conocimiento de los Titulares.
Dichas politicas deberan incluir, per Jo menos, Ia siguiente informaciOn: 2. 3. 4. 5. 6. Nombre a razOn social, domicilio, direcciOn, correo electrOnico y telefono del Responsable. Tratamiento at cual seran sometidos los dates y final/dad del mismo cuando esta no se haya informado med/ante el a vise de privacidad. Derechos qua be asisten come Titular.
Persona o area responsable de la atenciOn de pet/c/ones, consultas y reclamos ante la dual el titular de la informaciOn puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el data y revocar la autorizaciOn. Procedimiento pare qua los titulares de la informac/On puedan ejercer los derechos a conocer, actualizar, rect/ficar y suprimir /nformaciOn y revocar la autorizaciOn.
Fecha de entrada an vigencia de la p0/it/ca de tratamiento de la informaciOn y per/edo de vigencia de la base de dates. Cualquier cambia sustancial an las politicas de tratamiento, an los términos descritos en el art/cu/a 2.2.2.25.2.2. del presente Decreto debera ser comunicado oportunamente a los titulares de los dates personales de una manera eficiente, antes de implementar las nuevas politicas.
(.4". La reunion de estos elementos permiten garantizar "el ambito de protecciOn del derecho de habeas data'6 pues resultan oponibles al sujeto obligado en los procesos de recolecciOn, Tratamiento, circulación y disposition final de dates, asi come también permite garantizar a los Titulares el pleno y efectivo ejercicia del derecho de habeas data a través de la implementaciOn y puesta en marcha, a su vez, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implenientacian.
En efecto el Responsable tiene el deber de tratar la informaciôn que se encuentra almacenada en su base de dates baja las medidas minimas establecidas par el regimen de protecciOn de dates personales, pues asi lo dispuso la Ley 1581 de 2012 cuando senalO en su articulo 25 inciso tercero que "(l)as politicas de tratamiento en n/n gUn case podran ser inferiores a los deberes canton/dos en la presente ley", disposition quo, igualmente, refuerza la hipOtesis esgrimida entorno a que mediante la politica de tratamiento se pretence cimentar los pilares de protectiOn al derecho.
Sin perjuicio de lo anterior, el Decreto (mice Reglamentario 1074 de 2015 otorgO la posibilidad para que en case en que no sea posible poner a disposition del Titular las politicas de tratamiento de la informaciOn, los responsables puedan informar par media de un aviso de privacidad sabre la existencia de tales politicas y la forma do acceder a las mismas, de manera oportuna y en todo case a más tardar al momenta de la recolecciOn de dates personales, siempre y cuando se observen los requisites del articulo antes citado.
En el escrito de descargo la investigada senalO que "nos permitimos reiterar que la politica do Priva c/dad del CSFR so encuentra publicada en la peg/na web htt p://csfr.edu.co/wp ploadslpoli%CC%8ltica-Privacidad.-CSFR-2017. ydr pudiendo ser consultada en-content!u cualquier momenta y en todo case podra ser solicitada a los funcionarios administrativos del CSFR.
Adicionalmente, at momento de propordionar informaciOn a (raves de la página web so cuenta con un A v/so de Privacidad que puede ser consultado on http.i/csfr.edu.co/contacto-coleaio-santafrandisda-romanal (Anexo 3)" (fi. 104). 6 Corte Constitucional, sentencia C-748 de 2011, M.P. Maria Victoria Calle Correa RESOLUCION NUMERO Ue •t'flJ D't 2018 Porto cualso linpone una sanción HOJA 9 [VERSION PUBLICA j Aunado a lo anterior en el escrito de alegatos de conclusion indicO quo "en todos los espacios en que so requiere informaciOn personal, se cuentan con avisos de privacidad en los tOrminos del mencionado.
Adicionalmente el CSFR ha puesto a disposic/On de los titulares, A v/sos de privacidad en las zonas donde el CSFR cuenta con s/sterna do video v/gllanc/a. Adjuntarnos corno Anexo 7. fotograflas do los c/tados avisos quo so ban dispuesto en las instalaciones" ( f.248) Al respecto es importante recordar quo tal como consta en el acta de Pa visita de inspecciOn no se evidenciO que el COLEGIO SANTA FRANCISCA ROMANA hubiera implementado el aviso de privacidad acorde con oP deber establecido en la ley, la sociedad en calidad de responsable del tratamiento tiene que contar con unas politicas de tratamiento do informaciOn que se encuentren "en rnedio Ifs/co o electrOnico, en un lenguaje claro y sencillo y serpuestas en conocirn/ento de los Tituiares"7.
En virtud do lo expuesto, se encuentra que aun cuando demostrO haber documentado y puesto a disposicion de los titulares una polItica de tratamiento mediante un aviso de privacidad, tal como obra a folio 1 anverso del expediente, la investigada no contaba con una politica de Tratamiento de datos y menos aCm con lo estipulado en el articulo 2.2.2.25.3.1 de Decreto Reglamentario 1074 do 2015. 7.2.5 Deber de solicitar la autorización previa, expresa e informada y de informar debidamente la finalidad de la recolección Do otra parte los literales b) y c) del articulo 17 do la Ley 1581 de 2012 o Ley de protecciOn de datos Personales consagraron los deberes de los Responsables del Tratamiento, entre otros los do "(s)olicitar y conse,var, en las condiciones pre vistas en la presente ley, cop/a de la respectiva autorizaciOn otorgada por el Titular as[ como de "O)nforrnar debidarnente al Titular sobre la final/dad de ía recolecciOn y los derochos que le as/ston POT v/dud do Ia autorizac/On otorgada;".
Al respecto la Corte Constitucional, a traves do la sentencia C-748 de 2011 por medio do la cual realiza el estudio do constitucionalidad del proyecto que posteriormente se denomino Ley 1581 do 2012, se manifesto sobre oP particular sonalando lo siguiente: "En of proyecto do Joy ostatutaria el legislador enlistô an proceptos separados los deberes de los responsables y de los encargados dol tratamionto, deberes quo, an terntinos generates, buscan garantizar el pleno ejercicio del derecho at habeas data por parte do los titulares, asi como los principios de to administraciOn de datos personales.
Estos deberes an cabeza del responsable y del encargado del tratamiento, permiten garantizar, prima fade, el ámbito do protecciOn del dorocho de habeas data, por cuanto, como to precisO esta Corporacion an la sentencia C-1011 do 2008, todos los principios de administracion de datos personates identificados por to jurisprudencia constitucional, son oponibles a todos los sujetos involucrados an los procesos do recoleccion, tratamiento y circulación do datos, independientemente do Ia posidión qua ocupen an el tratamiento del dato' La citada sentencia continUa precisando al respecto: "En relacion con ol responsable del tratamiento, as decir, equal quo define los fines y medios esencialos pare el tratamiento del date, incluidos quienes fun gen como fuento y usuario, so establecen debores quo rosponden a los principios do la administracion do datos y a los dorechos intimidad y habeas data- del titular del dato personal.
Especificamento so dispone qua son deboros de esta parto de (a relaciOn: (I) Solicitar y conserver Ia autorizaciôn pam at tratamiento del dato —on los términos descritos pro viamente, to quo so ajusta plenamente al principio do libortad y consontimiento oxproso del titular del dato. (ii) Informar at titular to finalidad de esa autorizaciôn y actuar en consecuencia; por tanto, el responsable no puode conducirse por fuera do los lineamientos de to autorizaciOn, to quo signiflea que, por ejemplo, no puede suministrar at encargado del tratamiento més dates quo los quo fueron oh]eto do autorizacion, ni puede someterlos a un tratamiento con Imnalidades diferentes a las informadas ( )".
Frente al deber do solicitar y conservar Ia autorizaciOn para el tratamiento do los datos, la institución invostigada mediante escrito do descargos informO a través del escrito do alegatos do conclusion radicado en este Despacho el 5 do matzo de 2018 que "so procediO a suscribirun otrosi al contrato laboral el cual contempla una clausula de autorizaciOn do tratarniento de datos y Articulo 2.2.2.25.3.1 Decreto 1074 de 2015 HOJA 10 RESOLUCION NUMERO '- 'bE 2018 [VERSION POBLICA ] con fidencialidad, otro si que he sido suscrito por todos los empleados del CSFR, asi como otrosi at contrato de aprendizaje vigente (fl.241) una vez verificadas las pruebas allegadas al expediente encuentra este Despacho que fueron aportados al expediente los documentos antes descritos los cuales obran a folios del 256 al 263.
Aunado a lo anterior senalaron que "se implementO desde enero de 2018, el formato de actualizaciOn de informaciOn el cual se incorporO al expediente en el documento de descargos. Dicho documento fue suscrito por los titu/ares y10 sus representantes. Adjuntamos coma anexo 2 a/ presente escrito, una muestra de dichos documentos los ova/es hen sido debidamente suscritos par 564 families vinculadas a! CSFR.
Igualmente, resaltamos que se implementO el formato de autorizacion pare 9/ tratamiento de datos persona/es para las families qua inician su proceso de admisiOn" (fl.242). una vez verificadas las pruebas allegadas al expediente encuentra este Despacho que fueron aportados al expediente los documentos antes descritos los cuales obran a folios del 265 al 268.
Ahora bien, en la visita administrative realizada el 25 de septiembre de 2015 se encontrO que en los documentos relacionados a continuacion no se recolecto la autorizacion de los padres de familia para el tratamiento de los datos de los menores ni de los datos de los propios padres: • Formulario de admisiones 2016-2017 obrante a folios 15 al 17 • Formato de análisis de documentos departamento de sicologia obrante a folio 18 • Formato de admisiones-sicologia obrante a folio 19 • Formato de entrevista a padres obrante a folio 20 • Registro de matricula obrante a folio 21 • Formato de permiso cambio de ruta obrante a folio 23 (anverso) • Formato de contrato de transporte padres-colegio obrante a folio 23 • Contrato de transporte obrante a folios 24 al 26 • Formato de constancia de recibo de reglamentos empleados obrante a folio 28 • Contrato de trabajo empleado obrante a folios 29 y 30 • Formulario de contacto alojado en la URL: "http://csfr.edu.co/index.php/admisiones-co/egiosata-francusca-romana/#contacto " Asi mismo, la sociedad investigada aportO copia del formulario denominado "contrato de prestaciOn del servicio educativoiM cuya cláusula decimo segunda hace referencia a la autorizaciOn para el tratamiento de datos personales, de los padres de familial que suscriben el documento en mención, P01 su parte el formato de actualizacion de datos 9 si bien se enuncia la Ley 1581 de 2012, la redaccion del misrno no hace referencia a la finalidad del tratamiento que se dara a los datos recolectados, ya que esta debe encontrase implIcita atendiendo la normatividad en comento.
Con respecto a los contratos laborales a término definido suscritos por la sociedad investigada pare el año académico, y mediante los cuales se recolecta inforrnaciOn, se evidenciO en la visita que la entidad investigada no recolecta ni guarda copia de la autorizaciôn pare el tratamiento de los datos personales de los maestros y personal administrativo en general.
Por otra parte, frente al argumento de la investigada segUn el cual: "el CSFR es una entidad sin animo de lucro de origen canônico gue p resta servicios educativos, coma bien se puede apreciar en e/ certificado omitido par la ArquidiOcesis do Bogota (Anexo 4). En su calidad do entidad sin ánimo de lucro do origen canOnico el tratamiento de datos sensibles le está permitido con forme a lo establecido en el literal c) del articulo 6 de la Ley 1581 de 2012 el cual dispone: "Articulo 6 0.
Tratamiento do datos sensib/es. Se prohibe el Tratamiento de datos sensibles, excepto cuando: c) El Tratamiento sea efectuado en el curso de las actividades Ie pitimas y con las debidas parantias por pade do una fundaciOn, ONG, asociaciOn o cualquier otro organismo sin ánimo de lucro cuya final/dad sea politica, filosOfica, religiose a s/nd/cal, siempre que so refieran exclusivamente a sus miembros o a las personas qua mantengan contactos regulares por razOn de su finalidad.
En estos eventos, los datos no se podran suministrar a terceros sin la autorizaciOn del Titular (..j" (subraya y negrilla fuera do texto) Obrante a folio 22 y 23 Obrante a folio 27 RESOLUCION NCJMERO HOJA 1 DE 2018 Porla cue/ se impone una sancion ['RsIoN POBLICA_±j Al respecto la Code Constitucional en sentencia C-748 del 2011 senalO lo siguiente: Como se id/co an apartes pro vios, la prohibiciOn de tratamiento do datos sons/b/es as una gerantia del habeas data y del derecho a Ia intimidad, y edemas so encuentra estrechamonte relacionada con Ia proteccion do Is dignidad humane.
Sin embargo ) en c/ertas ocasiones el tratamionto de tales datos as indispensable pare la adocuada prostaciOn do so,v/cios —como Ia atonciOn med/ca y Ia oducac/On- 0 pare Ia realizaciOn do derechos ligados precisamonte a la esfera it/ma de las personas —como la libortad de asoc/aciOn y el ojorcicio do las 1/bortades roligiosas y do opiniOn.
Las excepciones del articulo 6 rosponden prec/samonte a la nocesidad del tratamionto do datos sensible an dichos esconarios. More bien, como so trata do casos exceptuados y quo, por tanto, puedon generar altos riesgos an términos do vulnoraciOn del habeas data, la mt/rn/dad o incluso la dignidad do los titularos de los datos, los agontes qua real/zen en ostos casos el tratamiento tionon una rosponsabilidad roforzada quo so traduce an una oxigoncia mayor an términos do cumplimiento do los principios del articulo 4 y los deberes del titulo VI.
Esa mayor carga de diligoncia so deberá tamb/On traducir on mater/a sancionatoria administrative y penal. ( ) La Sala oncuontra quo Ia excepciOn del literal c) se encuontra justificada on tanto (i) se refiero a datos quo circulan solamente al interior do las organiza c/ones onunciadas; y (ii) as propio do tales organizacionos recoger y procosar datos sensibles do sus miembros a personas quo mantionon contacto con el/as, procisamonto porquo Ia razón de su existencia ostá ligado con alguno do los árnbitos persona/es quo da luger a datos sons/bIos.
Par ojomplo, on ol caso do una organizac/On politica, as natural quo so rocolecte y cIa s/f/quo informaciOn sobro las preferoncias polit/cas do sus miombros. En el caso do una ONG quo, por ojomplo, so dedique a la defense do los dorochos humanos, on virtud do su labor dobe recaudar datos sons/bIos do quionos solicitan su intervonciOn a ofectos do, entro otras cosas, preparar defenses fad/c/ales o disenar programas do atonc/On.
Ademas, la reserve do los datos sons/b/os as garantizada on este literal, on concordancia con 01 principio do libertad, con la oxigencia do quo cualquier suministro do datos a terceros osto obligatoriamente precodida par la autorizaciOn oxprosa del titular. Frente a lo expuesto, es claro que Si bien la investigada está constituida como una entidad sin ánimo de lucro, es preciso aclarar quo la exception citada en el articulo antes enunciado, estâ relacionada con el Tratarniento de datos efectuados por organismos sin ãnimo de lucro "cuya final/dad sea politica, filosOfica, religiose a s/nd/cal", en este caso aun cuando Ia institution investigada es de origen canónico esta en la consecuciOn de sus fines educativos puede compartir informaciOn do los estudiantes con diferentes instituciones educativas, sociedades entidades do caracter püblico y privado 10 cual permite exponer datos personales do las menores, lo cual puede poner en riesgo sus derechos fundamentales, por tal motivo en estos casos es de obligatorio cumplimiento contar con la autorizaciOn expresa para el Tratamiento de datos personales en los tOrminos senalados en la ley.
Asi ]as cosas este Despacho encuentra que el COLEGIO SANTA FRANCISCA ROMANA, entidad que procediO a recoger, decidir y hacer tratamiento sobre los datos personales de los menores (alumnos del colegio), personal administrativo y docente y en general de todos sus usuarios independiente de cuál sea el mecanismo de recolecciOn utilizado, no tenia implementados, al momento de la visita administrativa, mecanismos para recolectar la autorizaciOn de los representantes legales do los ninos, niñas y adolescentes, al igual que autorizaciones del personal administrativo y docente quo labora en la instituciOn y del cual tambien realize tratamiento de datos personales, ni tenia autorizaciOn de tratamiento de datos personales sensibles y de menores de edad en los terminos que establece la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015.
Ahora bien, teniendo en cuenta quo la sociedad incumplio el deber de solicitar la autorizacion previa, expresa e informada pare el tratamiento, es claro entonces que la sociedad investigada tampoco cumpliO con el deber de information, es decir, al momento de recolectar los datos y solicitar la autorizaciOn debia comunicarles a los titulares: (I) el tratamiento y la finalidad de la recolecciOn de los datos personales;
(ii) el carãcter facultativo de la respuesta a las preguntas que le sean hechas cuando versen sobre datos sensibles o de niñas, niños y adolescentes; (iii) los derechos que le asisten a los padres o representantes legales de los alumnos, del personal RESOLUCION NO Por ía cual so imporie una sanciOn HOJA 12 [VERSION PUBLICA ] administrativo y docente, como titulares de la informaciOn; y (iv) la identificaciOn, direcciOn y telefono del responsable del tratamiento.10 Asi Las cosas, revisados los hallazgos de la inspecciOn administrativa, las pruebas aportadas par la investigada y lo informado en los escritos de descargos y alegatos de conclusion, se evidenciO que pese que actualmente el COLEGIO SANTA FRANCISCA ROMANA afirma estar cumpliendo los deberes establecidos en Ia Ley 1581 de 2012 y el Decreto 1074 de 2015, y que indica que las autorizaciones "en el caso de colaboradores, padres de tam//ia y emp/eados del CSFR por /8 existencia de tin contrato de trabajo a de prestaciOn de servicios educativos y por la so/a necesidad de contar con su informaciOn para proceder con la ejecuciOn del mismo, /8 autorizaciOn se entiende voluntariamente otorgada med/ante conductas inequivocas at haber s/do dichas personas quienes proporcionamn la informaciOn personal de manera vo/untaria e inequivoca" (fl.109), y que "se procediO a suscribir un otro si at contra to laboral el cual contemp/a una clausula do autorizaciOn de tratamiento de datos y con fidencialidad, otro si qua ha s/do suscrito por todos /os empleados del CSFR ( ) con firmamos quo se implementO desde enero de 2018, el formato de actualizaciOn de informaciOn el cual se incorporO at expediente en el documento de descargos.
Die/ia documento fue suscrito por los titu/ares y10 sus representantes" ( fls.241 y 242). Ahora bien se aclara que era deber de la entidad en calidad de Responsable del tratamiento de los datos, haber cumplido Ia establecido en la Ley 1581 de 2012 a partirde la entrada en vigencia de la misma, es decir, a partir del 17 de octubre de 2012, y que dentro del plaza otorgado por la misma, do seis (6) meses siguientes a la entrada en vigencia do la ley, debia adecuarse para cumplir con las disposiciones contempladas en la Ley, y dentro de las pruebas aportadas es claro que dichos formatos se implementaron a partir de enero del 2018.
Par lo mencionado, es clara para este Despacho que el COLEGIO SANTA FRANCISCA ROMANA incumplia los principios de finalidad y libertad consagrados en los literales b) y c) del articulo 4 de la Ley 1581 de 2012, de los cuales se desprenden los deberes de solicitar y conservar copia de la autorizaciOn previa, expresa e informar debidamente la finalidad de la recoteccion y los derechos quo le asisten al titular; al igual que tener un especial tratamiento de informacion personal de niños, niñas y adolescentes, es decir informar al momenta de la recoleccion de la autorización el carácter facultativo de las respuestas cuando las preguntas versen sobre datos sensibles a de ninos, niñas y adolescentes.
Asi, debe recordarse que el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretaciOn restringida, segUn la cual ese usa de la informaciOn se debe sujetar a la interpretacian esbozada por la Code Constitucional cuando analizO la exequibilidad del articulo 7 de la Ley 1581 de 2012. Aun cuando el texto original de la norma establecio en principio que quedaba "proscrito e/ Tratamiento de datos persona/es de ninos, niñas y adolescentes, salvo aquellos datos que sean de natura/eza pUb//ca", la Code en sentencia C-748 de 2011 aclarO que dicha disposiciOn "no debe entenderse en el sent/do de que existe una prohibiciOn absoluta del tratamiento de los datos do los menores de 18 anos, exceptuando los de naturaleza pUb//ca, pues el/a, dada lugar a la negaciOn de otros derechos super/ores e esta poblaciOn ( )".
Siguiendo esa linea de interpretacion, esa CorporaciOn concluyO que "(..) en el tratamiento de los datos persona/es de menores do 18 años, at margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda at interés superior de los niños, niñas y adolescentes y se asegure sin excepciOn alguna el respeto de sus derechos preva/entes".
Tal interpretaciOn fue recogida por el Decreto Reglamentario 1074 de 2015, el cual estableciO que para el tratamiento de datos personales de niños, niñas y adolescentes, excepto cuando se trate de datos de naturaleza püblica, deberà cumplirse con los siguientes parámetros y requisitos: (I) que responda y respete el interés superior de los niños, niñas y adolescentes y (ii) quo se asegure el respeto de sus derechos fundamentales.
Cumplidos los anteriores requisitos, el representante legal del niño, nina a adolescente otorgarà la autorizacion previo ejercicio del menor de su derecho a ser escuchado, opinion que será valorada teniendo en cuenta la madurez, autonomla y capacidad para entender el asunto. A su vez, la citada norma también estableciO que "Todo responsable y encargado involucrado en el tratamiento do los datos porsonales de niños, ninas y ado/escentes, debera velar par el usa 10 ArticuIo 12 Ley 1581 do 2012 ——a RESOLUCION NUMERO DE 2018 HOJA 13 [VERSION PCJBLICA ] adecuado de los mismos.
Para este fin deberan ap/icarse los principles y obligaciones establecidos en la Ley 1581 de 2012 y elpresente decreto". De manera concordante con Ia expuesto, en la recolecciOn de la autorizaciOn, tal y coma Ia expone el literal b) del articulo 12 de la Ley 1581 de 2012, "elResponsable del Tratamiento at momento de solicitar a! Titular la autorizaciOn, debera informarle de manera clara y expresa to siguiente: ( ) El carécter facultativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre los datos de niflos, nines y adolescentes".
A la luz de 10 dispuesto para el tratamiento de los datas personales de los menores, este Despacho advierte que el COLEGIO SANTA FRANCISCA ROMANA no informO a los representantes legales de los niños que estaban facultados a entregar o no la información del menar, incumpliendo con el deber de solicitar la autorizaciOn en las condiciones que preve la ley, y vulnerando el derecho a la protecciOn de datos de los menores de edad, Aunado Ia anterior advierte este Despacho, que en el presente caso el COLEGIO SANTA FRANCISCA ROMANA realizo tratamiento de datos personales de empleados, proveedores y terceros interesados respecto de los cuales no contaba con autorizaciôn en los terminas previstos en la Ley 1581 de 2012, tal como se evidenciO en los formatos recolectados durante la visita de inspecciOn efectuada por este Despacho 11, en la cual se pudo evidenciar que la sociedad en comento trato datos personales de titulares sin contar can la autorizaciôn respectiva.
En consecuencia este Despacho concluye que la sociedad investigada incumpliO con los deberes que como responsable tiene en virtud de lo previsto en los literales b) y c) del artIculo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del articulo 4 y los artIculo 5,6, 9 y 12 de la Ley 1581 de 2012, asi coma el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.215.2.3 y 2.2.2.25.2.9 del Decreto LJnico Reglamentario 1074 de 2015, razon por la cual el cargo formulado esta Ilamado a prosperar. 7.2.6 Deber de contar con manual interno de polIticas y procedimientos para garantizar, en especial, la atenciôn de consultas y reclamos y con ello garantizar el pleno y efectivo ejercicio del derecho de habeas data El literal k) del artIculo 17 de la Lay 1581 de 2012, contempla el deber de los responsables de adoptar un manual interno de politicas y procedimientos cuya puesta en marcha garantice el adecuado cumplimiento de la Ley de protección de datos personales.
Al respecto, se encuentra que para el 25 de septiembre de 2015, fecha en qua se realizo la inspección administrativa, el COLEGIO SANTA FRANCISCA ROMANA no contaba con una politica para el tratamiento de datos personales en su pagina web y el personal de la instituciOn desconocia de su existencia. En la presentaciôn del escrito de Descargos la investigada presentô impresa una politica de tratamiento de datos personales, sin embargo, no existe evidencia que permita establecer la fecha de creaciOn y aplicaciOn de la misma, toda vez que el documento no fue aprobado por la junta del colegio.
Adicionalmente, no existe prueba alguna que demuestre que los padres de los menores de edad fueron informados de la existencia de la politica de proteccion de datos personales, al momenta en que entregaron su informaciOn personal y Ia de sus hijos. Asi pues, pese a que en el escrito de descargos allegaron copia de Ia Politica para el Tratamiento de Datos Personales version 1 del 1 de febrero de 2016 12, la cual de igual forma se puede visualizar en un enlace al acceder a la pãgina web en el sitio web "www.csfr.edu.co " con nombre "politica de tratamiento y protecciOn de dates", la misma no se encontraba implementada desde el momenta en que entrO en vigencia la lay 1581 de 2012 y al momento de realizar la visita de inspecciOn tampoco se evidenciO la publicaciOn de la misma.
Par Ia mencionado, este Despacho observa que al momenta de recibir los documentos de los aspirantes a ingresar al colegio y al momenta de realizar la matricula 2015 - 2016 de los estudiantes activos, estos no pudieron conocer la politica para el tratamiento de sus datos personales. Obrante a folios 24 al 30 Obrante a folio 123 al 132 RESOLUCION NUMERO bE 2018 Por ía coal se impone one sanciôn 1-IOJA 14 [VERSION PCJBLICA ] Frente a esto, la sociedad investigada mediante escrito de descargos indico "(q)ue el CSFR no solo cuenta con una Politica de Tratamiento de dabs personales que cumple con los requisites del articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, polItica qua puede ser consultada en la página http.//csfr. edu. colwp-contentluploads/poli%CC%8 It/ca-Privacidad. -CSFR2017. pdf." (Anexo 1) y qua an bode case adjuntamos para su conocimiento, sine que ademas cuenta con un manual de politicas y procedim/entos intemos que aseguran el adecuado cumplimiento de la regulacion (Anexo 2)" (fl. 103) En este orden de ideas, este Despacho encuentra que aunque la sociedad investigada allego copia de una Politica de Tratamiento de datos personales y manual de politicas y procedimientos internos, este no se encontraba en funcionamiento desde que le era exigible a la misma, es decir a partir del 17 de octubre de 2012, ni la implementO dentro de los seis (6) meses siguientes a la entrada en vigencia de la Ley 1581 de 2012, tampoco habia puesto en conocimiento de la existencia de la misma y su contenido a los titulares de la informaciOn, es decir, padres de los alumnos, docentes y personal administrative, con el fin de garantizar el adecuado cumplimiento de la Ley mencionada.
Ahora bien, dentro de la politica aportada per la sociedad investigada se hace referencia a que los titulares pueden consular la informacion personal que reposa en la base de dates de la sociedad, mediante el correo electronico es decir, indica que los titulares pueden hacer efectivo el ejercicio de su derecho de habeas data, a través del mencionado correo, sin embargo, en la inspecciOn administrativa se encontro que al 5 de septiembre de 2015 a través de un correo electrOnico el COLEGIO SANTA FRANCISCA ROMANA tenia habilitado un correo para la solicitud de supresian, uso y circulaciOn de datos personales del cual informo a los padres de familia de pre jardin a undecimo, es decir que la totalidad de los titulares de datos personales no conocian de este comunicado, y gue solo hasta el 1 de febrero de 2016, el colegio implemento el correo electrOnico como canal para atención de consultas y recla mos.
Adicionalmente, en la visita inspecciOn de informo se gue correo el era atendido per la señora quien es la que recibe los correos de solicitud y precede a realizar la actualizaciOn, modificaciOn o eliminacion de la informacion segUn sea el case, sin embargo, durante el desarrollo de la visita no se encontró ninguna evidencia del recibo de solicitud alguna de supresiOn, use y/o circulaciOn de datos personales.
Frente a esto, la sociedad investigada en el escrito de descargos informO" en desarrollo del principle de responsabilidad demostrada el CSFR ha planeado adelantar para el inicio del año escolar 2018, mas precisamente en la semana del 9 de enero.(fecha en Ia cual se reanudan las actividades escolares) capacitaciones a todo su personal en relaciOn con la aplicaciOn de la Politica de Privacidad y con Ia establecido en el Manual de Politicas y Procedimientos el cual, si bien en tin principle no se encontraba escrito, los procedimientos ahi consignados eran manejados y administrados de manera adecuada per todo el personal del CSFR" (fl. 105).
En virtud de lo expuesto, este Despacho encuentra que el COLEGIO SANTA FRANCISCA ROMANA al momento de la visita de inspección administrativa, el 25 de septiembre de 2015, no tenia un manual interno o procedimiento para la atenciOn de consultas o reclamos, si bien el 12 de noviembre de 2013 remitiO a través de correo electrOnico a los padres de familia de la instituciOn un comunicado a través del cual senaló la direcciOn de correo habilitada y la persona encargada para solicitar supresiOn, uso y/ circulacion de dates personales el mismo no estaba dirigido a la totalidad de titulares de datos personales de los cuales realiza tratamiento y especialmente al tratamiento de dates sensibles de los nine, niñas y adolescentes.
Aunado a lo anterior el contenido de dicho comunicado no se encontraba implementado dentro del manual interno de Politicas y procedimientos toda vez que el mismo aün no se habia implementado tal como lo establece en el literal j) y k) del articulo 17 de la Ley 1581 de 2012, y desarrollado por el articulo 2.2.2.25.3.1 del Decreto 1074 de 2015, portal motive la investigada no cumplio con el deber objeto de estudia 7.2.7 Conclusiones Esta DirecciOn no desconoce que el Responsable del tratamiento tanto en el escrito de descargos como en los alegatos de conclusion reconoció la existencia de carencias, y procediO posteriormente a subsanadas.
HOJA 15 RESOLUCIÔN INIUMER04402aw1r, Pot /a eva/se impone una sane/On [ VERSION PCJBLICA j Ahora bien, con fundamento en las consideraciones expuestas, este Despacho encuentra que la sociedad investigada incumpliO con los deberes contemplado en los literales b), c), y k) del articulo 17 de la Ley 1581 de 2012 y el articulo 22.2.25.3.1 del Decreto Unico Reglamentaria 1074, toda vez que: (i) no solicito y conservO, en las candiciones previstas en Ia Ley, copia de la autorizaciOn previa expresa e informada de los titulares, toda vez que al momento de la visita de inspecciOn y la entrada en vigencia de la Ley 1581 de 2012 no se encontraban en funcionamiento los formatos de autorización allegados at expediente (ii) asi como tampoco infarmo debidamente a los titulares sobre la finalidad de la recoleccion y los derechos que les asisten por virtud de la autorización otorgada y en especial el carácter facultativo de las respuestas en temas de niños, niñas y adolescentes;
(iii) no tenia al 25 de septiembre de 2015 un manual interno de politicas y procedimientos para garantizar el adecuado cumplimienta de la Ley y en especial, para la atenciOn de consultas y reclamos (iv) y no cumplir con el deber de poner en conocimiento de los titulares las politicas de tratamiento. Adicionalmerite, este Despacho encuentra que con su actuar el Responsable realizO tratamiento de datos persanales de menores de edad, sin contar can la autorizaciôn de los representantes legales de los mismos.
Igualmente encuentra probado que con su conducta la investigada no garantizó la seguridad en el tratamiento de las datos personales, ni contaba con un manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de la Ley, por Ia que se procederá a imponer la respectiva sanciOn por Ia vulneraciOn de los deberes contemplados en el articulo 7 y los literales mencionados anteriormente del articulo 17 de la Ley 1581 de 2012.
OCTAVO: lmposición y graduación de la sanción 8.1 Facultad sancionatoria La Ley 1581 de 2012 le confirio a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el articula 23 de la Ley 1581 de 2012, estableciendo aigunos criterios de graduacian que se encuentran senaladas en el articulo 24 ibidem, por lo tanto, atendiendo dichos criterios, este Despacha entrara a determinar cuales debera tener en cuenta el caso concreto, asi: 8.2 Monto de la sanción. Respecto de las sanciones que se imponen par la infracciOn al Regimen de Proteccion de Datos debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativa sancionatorio. la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proparcionada, de modo que logre el equilibria entre la sancion y la finalidad que la norma establece, asi como la proporcionalidad entre el hecho canstitutivo de la infraccion y la sanción aplicada.
Sabre la aplicaciOn de este principia la Carte Constitucional ha senalado: En cuanto el principio de proporciona/ided en materia sancionatoria administrativa, Oste (sic) exige que tanto /8 fe/ta descrita como la sanciOn correspondiente a ía misma que resulten adecuadas a /os fines de la norma, esto es, a la rea/izaciOn de los principios que gobieman ía funciOn pUb//ca.
Respecto de ía sanciOn administrative, /a proporcionalidad imp/ice que e/la resu/te excesiva en rigidez frente a la gravedad de ía conducta, ni tampoco carente de importancia frente a esa misma gravedad13. De esta forma para la correcta adecuaciOn de las hechos yla sanciOn aplicable, el operadorjuridico en materia de prateccion de datos personales, debe en primera medida analizar la dimension del dana a peligro a las intereses juridicos tutelados, asi como el posible beneficio económico para luego analizar otras circunstancias concurrentes de graduacion tales como la capacidad econOmica del investigado, la reiteracián de la infracciOn, as[ coma la colaboraciOn del investigada para esclarecer los hechos materia de investigaci6n14.
Corte Constitucional. Sala Plena. Sentencia C-125 del 18 de febrero de 2003. Ex. Rad. D-4059 Magistrado Ponente Dr. Marco Gerardo Monroy Cabra., 14 Articulo 24 de la Ley 1581 de 2012. RESOLUCION NCJMERO4 q U L tJE 20€8 Porla cualse impone una sanción HOJA 16 [_VERSION PUBLICA] Tamblen se tendrán en cuenta para la dosificacion de la sanciOn, el tamano de la empresa, sus ingresos operacionales, su patrimonio, y, en general, su informacion financiera, de tal forma que la sanciOn resulte disuasoria mas no confiscatoria.
Finalmente, se tendran en cuenta la conducta de la investigada durante el trámite de la investigaciOn administrativa. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposicion de una sancion par parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses juridicos tutelados par la Ley 1581 de 2012.
De la lectura de la norma citada, resulta claro que para que haya lugar a la imposiciOn de una sanciOn par parte de este Despacho, basta que la conducta desplegada par la investigada haya puesto en peligro los intereses juridicos tutelados par la Ley 1581 de 2012. Para el caso que nos ocupa, es claro que la sociedad investigada vulnero el lo dispuesto en el literal b) del articulo 17 de la Ley 1581 de 2012 para lo cual se impondra una sanciOn de CIEN (100) salarios minimos legales mensuales vigentes, por la vulneracion de lo dispuesto en el literal c) del articulo 17 de la Ley 1581 de 2012 para Ia cual se impondrá una sanciOn de CIEN (100) salarios minimos legales mensuales vigentes, par vulneracion de lo dispuesto en el literal k) del artIculo 17 de la Ley 1581 de 2012 para lo dual se impondra una sanciOn de CIEN (100) salarios minimos legales mensuales vigentes y par vulneracion del deber establecido el artIculo 2.2.2.25.3.1 del Decreto Cinico Reglamentario 1074 de 2015 CINCUENTA (50) salarios minimos legales mensuales vigentes.
Frente a la vulneracion del articulo 7 de la Ley 1581 de 2012, quedO demostrado que la investigada vulnerO el derecho de hébeas data de los niños, niñas y adolescentes siendo que el principio constitucional del interés superior de los mismos, sin la autorizaciOn respectiva de los padres de los menores o, en su defecto, de sus representantes legales, par Ic cual se impondré la suma de OCHENTA (80) salarios minimos legales mensuales vigentes. 8.1.3 Otros criterios de graduaciOn Por Ultimo se aclara que los criterios de graduaciOn de la sancion senalados en los literales b), c), d) ye) del articulo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigaciOn realizada no se encontró que la investigada hubiera obtenido beneflcio econOmico alguno por la comision de la infracciôn, (ii) no hubo reincidencia en la comision de la infracciOn, (iii) no hubo resistencia u obstruccion a la acciôn investigativa de Ia Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Par Ultimo se aclara que los criterios de graduacion de la sanciôn señalados en los literales b), d), e) yOdel articulo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigaciOn realizada no se encontro que la investigada hubiera obtenido beneficio econOmico alguno por la comisiôn de la infraccion, (ii) no hubo reincidencia en la comisiOn de la infraccion, (iii) no hubo resistencia u obstruccion a la acciOn investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las Ordenes e instrucciones del Despacho.
El criterio de atenuaciOn senalado en el literal f) del artIculo citado no se aplica toda vez que el investigado no reconoció 0 aceptó la comisiOn de la infracciôn. En mérito de lo expuesto este Despacho, R ES U E LVE ARTICULO PRIMERO: Imponer una sanciOn pecuniaria al CONGREGACION DE HERMANAS FRANCISCANAS DE NUESTRA SENORA DE LOURDES. identificada con el Nit. 860.010.5724 de TRESCIENTOS TREINTA V CINCO MILLONES NOVECIENTOS TREINTA Y CUATRO MIL SESENTA PESOS M/CTE ($335934060), equivalente a cuatrocientos treinta (430) salarios minimos legates mensuales vigentes, par la violacion a lo dispuesto en los literales b), c), y k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 7 de la norma en menciôn y el deber establecido el articulo 2.2.2.25.3.1 del Decreto Cinico Reglamentario 1074 de 2015. g==" RESOLUCION NUMERO44E 2018 Porla cwalse impone tIt?8 sanciôn HOJA 17 NERSIoN POBLIC±]
PARAGRAFO: El valor de la sanciôn pecuniaria que por esta resoluciOn se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de DirecciOn del Tesoro Nacional - Fondos Comunes, COdigo Rentistico No. 350300, Nit. 899999090-2. El page deberã efectuarse dentro de los cinco (5) Was hábiles siguientes a la ejecutoria de esta resoluciOn y acreditarse en la ventanilla de Tesoreria de esta Superintendencia con el original de la consignaciOn, deride le expediràn el recibo de caja aplicado a la resoluciOn sancionatoria.
Vencido este plazo se cobrarán intereses por cada Wa de retraso, liquidados a la tasa del 12% efectivo anual. ARTICIJLO SEGUNDO: Notificar personalmente el contenido de la presente resolucion al CONGREGACION DE HERMANAS FRANCISCANAS DE NUESTRA SENORA DE LOURDES. identificada con el Nit. 860.010.572-4 a traves de su representante legal, en calidad de investigada, entregãndole copia de la misma e informandole que contra ella procede recurso de reposiciOn, ante el Director de lnvestigacion de Proteccion de Datos Personales y de apelaciOn ante el Superintendente Delegado para la ProtecciOn de Datos Personales dentro de los diez (10) dias siguientes a su notificacion.
NOTIFIQUESE,
COMUNIQUESE v CCJMPLASE Dada en Bogota, D.C. El Director de Investiciacion de ProtecciOn de Datos Personales. 5 JUN 201 Il U fIOZ Elaboró: MYLP Revisó: CESM Aprobo: CESM fl RESOLUCIÔN NUMERO - - - 'DE SIB Por Ia cual so impono una sanciOn HOJA 19 LVERSION PUBLICA Radicado: 15-208103 COMUNICACIÔN: Investigada: Sociedad: IdentificaciOn: Representante Legal Identificacion: Di recciOn: Ciudad: Correo electrOnico: Apoderada: Identificacian: Direccion: Ciudad: Correo electrOnico: CONGREGACION DE HERMANAS FRANCISCANAS DE NUESTRA SENORA DE LOURDES.
NIT Nit.860.010.572-4 CaIle 151 No. 16-40 Bogota, D.C. imonsalve@csfr.edu.co