45743 '79 JUN 2018') RESOLUCION NLJMERO 2018 "Par /a cual so impone tine sanciOn y so imparteri Ordenes administrativas" ] RadicaciOn 15-28411 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los articulos 19 y 21 de la Ley 1581 de 2012 y el numeral 5 del artIculo 17 del Decreto 4886 de 2011 y,
CONSIDERANDO
PRIMERO: Que con ocasión a la denuncia presentada par la señora y el señor esta Superintendencia conocio sobre la presunta violation a las normas sabre protectiOn de datos personales contenidas en la Ley 1581 de 2012 por pafle de la sociedad STARMEDIA GROUP S.A.S. (en adelante STARMEDIA) identificada con Nit. 900.339.653-0, razOn por la cual la Direccion de lnvestigaciOn de Protection de Datos Personales de esta Superintendencia, en ejercicio de las facultades conferidas por los articulo 19 y 21 de la Ley 1581 de 2012, el dia 29 de abril de 2015 realizO una diligencia de inspection a Ia sociedad STARMEDIA, con el propOsito de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012 y Decreto Unico Reglamentario 1074 de 2015.
En desarrollo de la visita de inspecciOn y una vez analizada Ia documentatiOn recolectada y aportada por la investigada se pudo establecer lo siguiente: 1.1. Que la sociedad recolecta information proporcionada por la Camara de Comercio, los directorios telefOnicos, referido de clientes antiguos o de los operadores de call center, pero principalmente mediante el sistema de desgiose, el cual se ejecuta telefOnicamente y a través de un guion de yenta a traves del cual se le solicita al titular el suministro de la siguiente información: direction de residencia, ciudad, telOfonos, fecha de nacimiento, nUmero de tarjeta de credito y fecha de vencimiento de la misma, franquicia de la tarjeta y banco emisor; lo anterior haciendole creer al titular que la sociedad cuenta previamente con esa informaciOn toda vez que los mismos son supuestos ganadores de uno de los beneficios de la entidad Bancaria; todo 10 anterior, sin ser solicitada la autorizaciOn para el tratamiento de los datos personales por parte de la sociedad. 1.2.
Se pudo evidenciar que los formatos de ventas efectivas, declinadas o revertidas son almacenados fisicamente en el archivo de la oficina de la gerente, sin embargo no se cuenta con un control fisico de acceso a las zonas de call center, ni manuales internos sabre seguridad en el manejo de la informaciOn. Se deja constancia que después de la diligencia, la investigada capacitO al personal en la materia, no obstante, se advierte que la empresa, tiene alta rotation de personal y que la clãusula de confidencialidad se restringe a la duratiOn de la relation laboral y tres años más. 1.3.
En el mismo sentido, se evidenciO que la página web de la sociedad cuenta con un formulario de recolecciOn de dacs denominado "contactanos" sin embargo, en dicho formulario no se solicita al usuario la autorización para su tratamiento, ni se expone la Politica de Tratamiento, ni en Aviso de Privacidad mediante los cuales se le informe al titular [as finalidades y el tratamiento de la informaciOn. 1.4.
Se constató que la sociedad STARMEDIA, al momento de la visita de inspection, no contaba con una Politica de Tratamiento de Datos Personales debidamente documentada, ni implementada en los contratos laborales ni en su página web. No obstante, con la respuesta a los requerimientos realizados por esta Superintendencia, la sociedad remitiO copia de la Politica de Tratamiento de Datos Personales la cual fue incluida en el scrip desde el 4 de mayo de 2017; sin embargo, para el RESOLUCION NUMER04 574 fr HOJA 2 Po,- la cual se impono una sanciOn y Se imparton Ordenes administrativas VERSION PUBLIGA momenta de elaboraciOn del informe de diligencia, no se habia implementado la misma en la página web, aun cuando se habia manifestada que estaria incluida para 15 de mayo de 2015. 1.5.
Respecto a las quejas presentadas por los titulares y no se encontrO registro alguno en el computa portãtil de la oficina el subgerente de la sociedad, no obstante la peticiOn del señor fue encontrada en los archivos fisicos de la empresa, quien informO que se trataba de una solicitud de devolucion de dinero, razOn por la cual la sociedad, procediO a reversar la operacion y a aclarar que el monto restante no carrespondla a un servicio prestado por ellos, pues dentro de sus productos no manejan la y enta de seguros.
SEGUNDO: Que de la informaciOn recaudada en desarrollo de la etapa de averiguación preliminary del anãlisis de la misma, la DirecciOn de lnvestigaciOn de Protecciôn de Datos Personales mediante ResoluciOn No. 69394 del 31 de octubre de 20171, resolviO iniciar investigaciOn administrativa en contra de la sociedad STARMEDIA GROUP S.A.S., por la presunta vulneraciOn al deber que la investigada ostenta en su calidad de Responsable de la informaciOn contemplado en: (i) el literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artIculo 4 y el articulo 9 de la misma norma, as como el inciso primero del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015;
(H) el literal c) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 as[ porno el articulo 6 de la Ley 1581 de 2012 y el inciso primero del articulo 2.2.2.25.2.2.del Decreto Unico Reglamentaria 1074 de 2015, (Hi) el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de Ia rnisma norma, y (iv) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi como el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentarlo 1074 de 2015, (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el inciso tercero del articulo 25 de la misma norma, asi coma Oltimo inciso del articulo 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015 y (vi) el inciso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglarnentario 1074 de 2015, otorgéndole un término de quince (15) dias al investigado para que rindiera los respectivos descargos y aportara ]as pruebas que pretendia hacer valer dentro la presente actuacion administrativa.
El anterior acto administrativo fue debidamente notificado al investigado conforme la certificaciOn de acuse de recibo, certificado que obra a folio 196 del expediente.
TERCERO: Que mediante ccrnunicaciOn del 4 de diciembre de 20172, la investigada aportO escrito de descargos en los siguientes términos: 3.1 AfirmO que la sociedad solicitá con anterioridad a la visita de inspecciOn, los cOdigos de para la transacciOn con Incocredito por medio Bancolombia, quienes dieron las autorizaciones para transaccionar directamente con credibanco, de manera que, considera, no le tue brindada una capacitaciOn completa sobre las consideraciones a tener en cuenta para implementaciOn interna. 3.2 Manifesto que en media de la visita de inspeccion, se pudo establecer con la verificaciOn de trazabilidad en el manejo de la infomiaciOn, que la informaciOn se almacena en un servidor al cual tiene acceso exclusivo el ingeniero de soporte de la sociedad. 3.3 AseverO que en medio de las ventas realizadas por medio telefOnico, se les mencionaba a las titulares cual seria el manejo de la informaciOn y se referenciaba la Ley 1581 de 2012, la cual, afirmo, se encuentra publicada en la pégina web de la sociedad. 3.4 Indico que el sistema de cámaras de video vigilancia instalado al interior de la compania tiene coma finalidad brindar seguridad en el manejo de la inforrnaciOn par parte de sus trabajadores, y que además, el mismo fue requerido par Incocredito al momenta de gestionar los cOdigos de transacciOn. 3.5 AsegurO que tal y como fue recomendado por esta Superintendencia, la sociedad procedio a publicar la Politica de Tratarniento de Datos Personales en su pagina web, radicandola antes ante esta Superintendencia para recibir los cornentario pertinentes, sin embargo, no habiendo recibido respuesta alguna, asumiO su procedencia y la publicO. 1 Vista a Folios 200 a 208. 2 Visto a Folios 209 a 212.
RESOLUCION NUMERO DE NOJA 3 Pot la cual so impono one sancián y so impan'en órdenes administrativas 3.6 lndicO que implementO igualmente las recomendaciones realizadas por esta Superintendencia respecto de bloquear las puertas de ingreso a las oficinas y deshabilitar la plataforma do cobro; lo que dernuestra la buena fe de la sociedad. 3.7 Respecto a la solicitud de los estados financieros, manifesto que no le era posible allegar los pertinentes delano 2015, debido a problemas internos con su contador.
CUARTO: Que mediante la ResoluciOn No. 21176 del 26 de marzo de 2018 3 este Despacho incorporo las pruebas dentro de la presente actuaciOn (fls.1 a 218), declarO agotada la etapa probatoria dentro de la presente investigacion administrativa y corriO traslado a la investigada para que presentara alegatos de conclusiOn.
QUINTO: Que mediante comunicaciOn del 10 de abril de 2018, la investigada aportO escrito de descargos en los siguientes terminos: 5.1 ReiterO la investigada todo lo manifestado en su escrito de descargos. 5.2 Solicito adicionalmente, se valoraran las pruebas presentadas y que consecuentemente no se condenara a ninguna sanciOn pecuniaria.
SEXTO: Competencia de la Superintendencia de Industrial y Comercio El articulo 19 de la Ley 1581 de 2012, establece la funciOn de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantias y procedimientos previstos en la ley.
SEPTIMO: Análisis del caso 7.1 Adecuación tipica La Code Constitucional mediante sentencia C-748 de 2011, estableciO lo siguiente en relaciOn con el principio de tipicidad en el derecho administrativo sancionatorio: "En relaciOn con el principio do tipicidad, encuentra la Sala que pose a la generalidad do la ley, as determinable la infraccion administrative an ía medida en que so señala quo la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos especificos, la regulaciOn quo hacen los articulos 17 y 18 del proyecto do lay, en los qua so senalan los debates do los responsables y encargados del tratamiento del dato Atendiendo los parámetros senalados por la citada jurisprudencia, para el caso especifico se tiene que: (I) El articulo 17 de la Ley 1581 de 2012 establece los deberes cue les asisten a Ins resnnnsahIs del Tratamiento respecto del manejo de los datos personas de los TitularesElincumpflmientode tales requisitos dara lugar a a aplicaciOn de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneracion de (I) el literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del articulo 4 y el articulo 9 de la misma norma, asi como el inciso primero del articulo 2.2.2,25.2.2 del Decreto Unico Reglamentario 1074 de 2015;
(H) el literal c) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 asi como el articulo 6 de la Ley 1581 de 2012 y el inciso primero del articulo 2.2.2.25.2.2.del Decreto LJnico Reglamentarlo 1074 de 2015, (iii) el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, (iv) el literal k) del articulo 17 de la Ley 1551 do 2012 en concordancia con el articulo 25 de la misma norma, asi coma el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia 3 Visto a Folios 224 y 225. 4 Visto a Folios 210 a 220.
Cone Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos mil once (2011). RESOLUCION NUMEI*P ( - -S HOJA 4 DE ' [ con el inciso tercero del articulo 25 de la misma norma, asI coma óltimo inciso del articulo 22.2.25.6.2 del Decreto ünico Reglamentario 1074 de 2015; y (vi) el inciso segundo del articulo 2.2.225.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015.
En ese orden de ideas, este Despacho procederâ a tener en cuenta: (i) los resultados obtenidos en la visita de inspecciOn; (ii) las razones de hecho y de derecho aducidas par la investigada al momento de dar respuesta a descargos y alegatos de conclusion; (iii) el material probatorio que obra dentro del expediente; (iv) la Ley 1581 de 2012 y, finalmente, (v) la jurisprudencia que ha proferido la Code Constitucional sobre la materia. 7.2 Valoracion probatoria y conctusiones El articulo 15 de la Constitucion Politica establece que las personas, en desarrollo de sus derechos a la autodeterminaciOn informatica y el principio de libertad, son quienes de forma expresa deben autorizar que la informaciOn que sobre ellos sea recaudada pueda ser incluida en una base datos.
Al respecto la Code Constitucional ha senalado Ia siguiente: aPrinciplo de libertad El tratamiento solo puede ejercerse con el consentimiento, previo, expreso a informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin pre via autorizaciOn, o an ausencia de mandato legal o judicial qua releve at consentimiento. Este pr/nc/plo, pilar fundamental de la administracion de datos, perm/te al ciudadano elegir voluntar/amente si su informaciOn personal puede ser utilizada o no an bases de datos.
Tamb/en impide qua la informacion ya registrada de an usuario, Ia cual he sido obtenida con su consentimiento, pueda pasar a otro organismo qua Ia utilice con fines distintos para los qua fue autorizado inicialmente. El literal c) del Proyecto de Lay Estatutaria no solo desarrolla el objeto fundamental de Ia protecciOn del habeas data, s/no qua se encuentra an (nt/ma relaciOn con otros derechos fundamentales coma el de mt/rn/dad y el libre desarrollo de la personal/dad.
En efecto, el ser humano goza de Ia garantla de determiner qué datos quiere seen conocidos y tiene el derecho a determiner to qua podrIa denominarse su 'imagen inforrnatica'6. Los principios rectores, ademas, deben confluir en cuanto a su aplicacion con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.
Al respecto la Carte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifesto: De conform/dad con la jurisprudenc/a de esta Corporac/On, dentro de las prerrogativas contenidos minimos- qua se desprenden de este derecho encontramos por 10 menos las s/guientes: (i) el derecho de las personas a conocer —acceso- ía informacion qua sobre el/as estan recogidas an bases de datos, to qua conlleva el acceso a las bases de datos donde se encuentra dicha informac/On;
(ii) el derecho a incluir nuevos datos con el fin de se provea una irnagen completa del titular;(iii) el derecho a actualizar la informac/On, as deck, a poner at dIa at canton/do de d/chas bases de datos; (iv) el derecho a qua la informac/On contenida an bases de datos sea rectificada 0 corregida, de tal manera qua concuerde con is real/dad;
(v) el derecho a excluir informac/On de una base de datos, b/en por qua Se está hacienda wi usa indebido de ella, o par simple voluntad del titular —salvo las excepciones previstas an to normative, De esta manera, debe precisar este Despacho que, tal como lo manifiesta la Code Constitucional, que el derecho de habeas data otorga la facultad at Titular de los datos personales de exigir el acceso, correcciOn, adiciOn, actualizaciOn y eliminaciOn de su informaciOn, por lo que resulta apenas Vet en: Corte Constftucional Sentencia C-748 del 6 de octubre de 2011 MP, Jorge Ignacio Pretelt Chaijub.
RESOLLJCION NUMERO DE HOJA 5 Por (a cual se impone una sanción y se imparten Ordenes administratWas clara, que Los Responsables y Encargados de la informacion deben implementar mecanismos que le permita al Titular acceder en cualquier momenta a su informaciOn. Igualmente es importante indicar que en virtud del principio de libertad, citado lineas atrãs, €1 legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorizaciOn previa, expresa e informada del Titular, consagrada en el artIculo 9 de la Ley 1581 de 2012 7 y, ademas, el deber de solicitar y conservar copia de la autorizacion de Tratamiento otorgada pore! mismo, dispuesto en el literal b) del articulo 17 del mismo compendio normativo9.
De Ia anterior, vale la pena precisar que la jurisprudencia constitucianal, en sentencia mencionada lineas atras, se refiere a las caracterIsticas do los datos personales al analizar la constitucionalidad del proyecta de ley de protecciOn de datos personales, a saber: "I) Estar refer/dos a aspectos exciusivos y prop/os de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la v/s/On de conjunto que se logre con el mismo y con otro datos; iii) Su propiedad reside exciusivamente en el titular del mismo, situac/On que no se altera por su obtencion por parte de un tercero de manera I/c/ta o i/Ic/ta; iv) su tratamiento esta sometido a reg/as especiales (pr/nc/p/os) en to relativo a su captaciOn, administracion y divulgacion", caracteristicas que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sabre este, que se radica en cabeza del titular.
Sumado a lo anterior, el mismo Responsable debe conservar una copia de la autorizacion otorgada par el Titular de la informaciOn de forma tal que, en el momenta en que sea solicitada para consulta, cuente con la misma. Ahora bien, en el caso especifico, segUn los resultados arrojados por la visita de inspecciOn, es clara que la investigada recolecta y realiza tratamiento de los datos personales de los titulares, tales coma direcciOn de residencia, ciudad, tel(§fonos, fecha de nacimiento, nUmero de tarjeta de credito y fecha de vencimiento de la misma, franquicia de la tarjeta y banco emisor, 10 cuales se obtienen a traves de la Ilamada telefOnica que realiza la sociedad investigada, a traves de la cual le manifiesta que ha sido gariador de un beneficio que los bancos a entidades ya pagaron un porcentaje de dicho precio, por lo que se requiere del pago del porcentaje del excedente, para Ia cual solicitan la informaciOn antes mencionada; no obstante se pudo evidenciar en los audios remitidos par STARMEDIA y el guion de yenta encontrado en la diligencia de visita de inspeccion, la sociedad investigada no recolectaba ni guardaba copia de la autorizaciOn para el tratamiento de datos personales.
En este caso, Si bien es cierto que la investigada en su escrito presentado el dia 5 de mayo de 2016, aportO grabaciones de clientes coma aprobados, declinados, retenciones y reversiones, analizando los audios, se puede determinar que la STARMEDIA, obtiene datos personales privados de los titulares, sin antes solicitar la autorizacion para su tratamiento.
Ahora bien, la sociedad investigada en el mismo escrito enunciado anteriormente, aportO un guion de yenta modificado, mediante el cual le informa al titular sabre la finalidad para el tratamiento de los datos recolectadas, asi como los canales de atenciôn a trav(§s del titular pueden ejercer sus derechos. Por este motivo, resulta necesario que esta DirecciOn, precise los requisitos minimos que deben contener la autorizaciOn, de conformidad con Ia dispuesto en el articulo 12 de la Ley 1581 de 2012, el cual establece: "Articulo 12.
Debar de informar at Titular. El Responsable del Tratamiento, at rnomento de so/ic itar at Titular (a autorizaciOn, debera informari'e de manera clara y expresa /0 siguiente: a) El Tratamiento at cual seran sometidos sus datos persona/es y (a finalidad del mismo; b) El caracter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las nines, niños y adolescentes;
Ley 1581 do 2012. "Articulo 9'. Aulorlzación del Titular. Sin perjuicio do las oxcepcionos pro vistas an to fey, on of Tratamiento so requiere (a autarizaciOn provia e infomiada del Titular, Is twal debate ser obtenida par cualquier media qua pueda set objeto do consults posterior' Ley 1581 do 2012. "Articulo 17. Deberes de los Responsables del Tratamiento.
Los Responsabies del Tratamiento deberán cuntplir los siguientes deberes, sin perjuicio do las demas disposiciones pro vistas an Is prosente icy y an otras qua njan su actividad: to (..) I,) Solicitor y conserver, on las condiciones pro vistas an to presente fey, copia do respective autorizaciOn otorgada par of Titular; (.1. RESOLUCION NUMERO DE Por ía cual se impone una sane/On yse imparten Ordenes administrativas HOJA 6 c) Los derechos qua le asisten corno Titular; d) La ident/ficación, direcciOn f/s/ca o electrOnica y telOfono del Responsable del Tratarniento.
Paragrafo. El Responsable del Tratarniento debera conserver prueba del cumplirniento de 10 previsto en el presente articulo y, cuando el Titular lo so//cite, entregarle cop/a de esta." Como se puede observar en la disposicion precedente, claramente se puede determinar, que una vez practicada la diligencia de inspecciOn por parte de esta DirecciOn, la sociedad investigada aporto un documento de fecha 5 de mayo de 2015 con una modificaciOn al guion de yenta (folio 26), en el que efectivamente incorpora en el mismo, un mensaje que establece lo siguiente: "(a)dicionalrnente qu/ero indicarbe que, Dando (sic) curnpl/rniento a la by 1581 DE (sic) 2012 de protecciOn de datos, queremos inforrnarle que los dato suministrador seran ut/lizados (in/ca y excius/varnente pare el tramite que estamos real/zando y a estos no tendra acceso n/n gUn particular d/ferente del titular, estos datos, pueden ser modificados o anulados a sol/citud suya con comun/cac/6n oral o escrita a Starrned/a Group.
Usted podra encontrar nuestra polit/ca de protecciOn en nuestra pag/na Web www. groupstarmedia.com (sic) nos encontramos local/zados en Ia Cable 63 A B/s # 70-40, nuestros telefonos de servic/o al cI/ente 01-7021113 Cal 3158157349 -3163351181'l Una vez analizado el escrito precedente, este Despacho encuentra que a pesar de que la sociedad investigada implementO en su guion de yenta, lo concerniente a lo ordenado por la ley de protecciOn de datos, dicho mensaje carece que la pregunta sobre si el titular autoriza o no el tratamiento de la informacion, por otro lado Responsable debe adoptar las medidas necesarias para conservar prueba de la autorizaciOn cuando el Titular lo solicite y entregarle copia de esta.
En conclusion se tiene si bien la sociedad investigada, adoptO las medidas necesarias a fin de informar a los Titulares el tratamiento para la cual el Responsable va a manejar sus datos, asi como los derechos de que le asisten y los canales de atenciOn por medio de los cuales los titulares pueden hacer efectivos sus derechos, tambien es cierto que la modificacion el guion de yenta no establece la pregunta acerca de si el titular autoriza o no el tratamiento de sus datos.
Asi [as cosas el Responsable debera adoptar en su guion de yenta, la solicitud de la autorizaciOn con observancia en lo dispuesto en el Decreto Unico Reglamentario 1074 de 2015, que establece: "Articulo 2.2.2.25.2.2. Autorizacion. El Responsable del Tratam/ento debera adoptar proced/m/entos para solicitar, a mas tardar en el rnomento de la recolecc/on de sus datos, la autor/zaciOn del Titular pare el Tratamiento de los m/srnos e /nforman'e los datos personales que serán recolectados asi corno todas las finalidades especif/cas del Tratam/ento para las cuales se obt/ene el consent/rn/ento.
Los datos persona/es qua se encuentren an fuentes de acceso pUblico, con independenc/a del rned/o por el cual se tenga acceso, entend/éndose por tales aque/bos datos o bases de datos qua se encuentren a disposiciOn del pUblico, pueden ser tratados por cualqu/er persona s/em pre y cuando, por su naturaleza, seen datos pUbbicos. En caso de haber cambios sustanc/ales en el conten/do de las politicas del Tratarniento a qua se ref/ere a la secciOn 3 de este cap/tub, refer/dos a la /dent/ficac/On del Responsable y a la final/dad del Tratam/ento de los datos personales, los cue/es puedan afectar el contenido de la autorizacion, el Responsable del Tratarniento debe comunicar estos camb/os a! Titular antes do o a rnas tardar al rnomento de /mpbementar las nuevas pol/ticas.
Ademas, deberé obtener del Titular una nueva autorizaciOn cuando el camb/o se ref/era a la final/dad del Tratamiento." En este orden de ideas, la sociedad STARMEDIA, debe solicitar expresamente La autorizaciOn para el tratamiento de los datos personales, que pueden ser suministrados en desarrollo de la relación comerci a I. Por otra parte, el principio de finalidad que se traduce en el deber de informar al Titular 10 que se pretende hacer con su informacion, se encuentra contenido en el artIculo 12 de la Ley 1581 de 2012, asi: Articulo 12.
Debar de informar at Titular. El Responsable del Tratam/ento, al rnornento de so//c/tar al Titular ía autor/zaciOn, deberá /nformarle de manera clara y expresa to siguiente: RESOLUCION NCJMER6 - DE HOJA 7 Par /a cuel so impone una sanción y so imparton Ordenes administrativas a) El Tratamiento al cuel serén sometidos sus datos persona/es yla final/dad del rn/sam. b) El caractor facultativo do Ia respuesta a las preguntas qua le sean hechas, cuanda Ostas (sic) versen sabre datas sens/bles a sabre los datas do las nines, ninos y adalescentes. c) Los derechas quo /0 as/sEen coma Titular. d) La ident/ficaciOn, direcciOn f/s/ca a electron/ca y telOfono del Responsablo del Tratam/onta.
PARJ4GRAFO. El Responsable del Tratarnienta debera conserver prueba del cumplimionto de /0 pre vista en el presento articulo y, cuando el Titular /o sal/cite, entregarlo cop/a de esta'1 Como puede observarse, el principia de finalidad, que se encuentra intimamente ligado al principia de libertad, impone unos limites al tratamiento de los datos que están siendo administrados par el Responsable; dichos limites se derivan de la naturaleza de la informaciOn y del uso que se darã a los datos recolectados.
En palabras de la Carte Constitucional "(..) [t]anto ol acap/o, of procesamionto y la divulgac/On de las datos person ales, debe obedecer a una final/dad const/tucionalmento legitima, defin/da do manera clara, sufic/ento y pro via; do tal forma que queda prohib/da Ia recopilac/On de datos sin la clara especificaciOn acerca do la final/dad de los mismas, asI coma of uso a divulgaciOn do datos para una final/dad diferente a la in/c/almonto provista ( )".
Dicho principio se hace efectivb al momento en que se solicita autorizaciôri al Titular, pues es alIt en que esta se cumple el termino máximo para informarle al Titular los fines de la recolecciOn da su informaciOn, ya que como Ia dispuso el articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 201510 "feJl Rosponsablo del Tratamiento debera adaptar procodimientos para sal/c/tar, a mas tardar en el momento do la recolecc/On do sus datas, la autorizac/On del Titular para el Tratam/onta de las mismos e infarmarle los datas personales quo seran rocoloctadas asI coma todas las final/dades espocificas dod Tratamiento para las cuales so obtieno el consentim/onta".
Por lo indicado, en el momenta en que se solicita informacion al titular se le debe informar: (i) el Tratamiento al cual seran sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sabre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;
(iv) la identificaciOn, direccian fisica a electrOnica y telefono del Responsable del Tratamiento. Ahora bien, abordando estos aspectos la Carte Constitucional en sentencia de constitucionalidad C748 de 2011, expuso Ia siguiente: ( ) La do fin/c/On establecida por el legislador estatutario respande a uno de los cr/torios establocidas par Ia CarparaciOn para of maneja de las bases de datas.
Sin embargo, debe hacerse algunas precis/onesPar una parte, los datas persanales deben ser pracesadas can un propOsita espec/fica y explicito. En ese sent/do, la final/dad no solo debe ser legItima s/no quo la referida informaciOn se destinara a realizer los fines exciusivos para los cue/es fue entregada par of titular Par ella, se debora informer al Titular del data do manere clara, suficiente y pro via acerca do la final/dad de ía inforrnec/On surninistrada y par tanta, no padre recopilarse datas sin Ia clara especificaciOn acerca de la final/dad do las rn/smas.
Cualquier utilize ciOn diverse, debera ser autorizada en forma expresa por el Titular. Este precisiOn es roIevante an la modida quo permite un control par parte del titular dol data) an tanto le es posible verificar 5/ esta sionda usado para la finalidad par 41 autorizada. Es una herrarnienta Ut/I pare eviler arbitrariededes an el manejo do la infarrnaciOn par parte de quien trata el data.
Asi misrna, las datos persanales debon sor pracesadas solo an ía forma que ía persona afectada puede razanablemente prever. Si, con el tiernpa, el usa do los datos persanalos cambia a farmas qua la persona razonablemente no ospera, debe abtenerso el cansent/miento pre y/a del titular. Par otra lado, de acuerda Ia jurisprudencia canstitucional y Jos estandares intemacioneles relac/anados pro viamente, se observe quo el pr/nc/p/a do final/dad implica tarnb/En: (L) un ámbito temporal, es decir queel per/ado do conservaciOn do las datas persanales no exceda del necesar/a pare alcanzar la neces/dad con qua se han rogistrada y (ii) un ambito Carte Constitucional, sentencia C-748 de 2011.
M.P. Maria Victoria Calie Correa. Norma que compilO ci Decreto 1377 de 2013 "Pare! cual so reglamenta parcialmente la Ley 1581 do 2012". RESOLUCION NUM4 5 D" HOJA B Por Ia cual se impone una sanciOn y Se imparten Ordenes administrativas material, qua exige qua los datos recaudados sean Jos estrictamente necesarios para las finalidades perseguidas (f'.
Expuesto lo anterior, es necesarlo verificar si dentro del acervo probatorio obrante an el expediente, existe plena prueba clue le permita demostrar a este Despacho, quo el investigado le informo al titular la informaciOn acerca de la finalidad para la cual se estaban recolectando sus datos personales. Coma bien se aseverO al analizar los anteriores cargos, y como bien se ha establecido en la presente investigaciOn, la sociedad STARMEDIA, aportO un guion de yenta an la cual realizO una modificaciOn implementando la Ley de Proteccion de Datos Personales, asi como la politica de tratamiento de la informacion, en la cual se establecen las finalidades para la cual el Responsable de la informacion, va a tratar los datos personales.
Como consecuencia de lo anterior, se encuentra clue la sociedad investigada una vez recibiô las recomendaciones impartidas por esta Direccion, para dar de cabal cumplimiento a Ic establecido en la Ley 1581 de 2012, adelanto algunos trémites pertinentes, entre ellos el guion de yenta con la incorporando algunos aspectos contemplados en la ley, no obstante no solicitan la autorizaciOn para el tratamiento de los datos personales, por lo clue este Despacho, procederã a impartir la correspondiente orden para el clue el investigado incorpore lo pertinente en su guion do yenta, respecto de la solicitud de autorizacion. 6.2.2.
Deber de conservar la información bajo las condiciones de se q uridad necesarias. El artIculo 15 de la ConstituciOn Poiltica debe interpretarse de manera armOnica con los principios de circulaciOn restringida y de seguridad, de tal manera qua so debe toner presente que los responsables del tratamiento deben garantizar, entre otras cosas, qua la informacion personal no sea divulgada a traves de correo electronico a otros titulares.
Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulacion y acceso de los datos tiene clue estar controlado y restringido frente a terceros no autorizados, razôn por la cual Is ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, coma lo es el de "conservar la informaciOn baja (as condiciones de seguridad necesarias para impedir su adulteraciOn perdida consulta, usa a acceso no autorizado a fraudulento".
Precisamente el articulo 4 de la Ley 1581 de 2012 establece los principios para el Tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulaciOn restringida y el de seguridad clue señalan lo siguiente: "1) 0 Principio de acceso y circulaciôn restringida: El Tratamiento se sujeta a los limites qua se derivan de la naturaleza de los datos persona/es, de las disposiciones do la presente Icy y la ConstituciOn.
En este sent/do, el Tratamiento solo podrá hacerse par personas autorizadas par el Titular yio par las personas pre vistas an ía presente lay; Los datos persona/es, salvo la informacian pUb//ca, no podran estar disponibles an Internet u otros med/os de divulgaciOn a comunica c/on masiva, salvo qua el acceso sea tecnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados con forme a Ia presente lay; g) Principio de seguridad: La informaciOn sujeta a Tratamianta par el Responsable del Tratamiento o Encargado del Tratamiento a qua se ref/era Ia presente lay, se debera manejar con las medidas tOcnicas, humanas y administrativas qua sean necesarias para atorgar seguridad a los registros avitando su adulteraciOn, perdida, consulta, usa a acceso no autorizado a fraudulento;
(..j". Coma se advierte, tanto el principio de acceso y circulaciOn restringida coma el de seguridad deben ser cumplidos por los Responsables y Encargados de informacion para garantizar el derecho de habeas data de los titulares, pues de la adopciOn de medidas de conservaciOn de Pa informaciOn y de los controles de seguridad implementados depende quo so minimicen los riesgos de filtraciôn de los datos personales.
RESOLUCION NUMER04 DE --1J HOJA 9 Pot /a cual se impone una sancion y so impan'en Ordenes administrativas En relaciOn al caso especifico, a partir de la diligencia de inspecciOn, logrO establecerse quo los clue Ia sociedad investigada no contaba con un control fIsico de acceso a las zonas de call center, ni manuales internos sobre seguridad en el manejo de (a informaciOn, por lo tanto no se garantizaba la reserva de la informaciOn obtenida.
Sin embargo, en escrito de fecha de 5 de mayo de 2015, la irivestigada aportO documentacion en la clue se establece que se capacitO al personal en el manejo de los datos personales, no obstante se advirtiO en la visita de inspecciOn que la empresa presenta alta rotaciOn de personal, por 10 clue la clausula de confidencialidad está restringida durante la relacion laboral y tres años posteriores.
En este orden de ideas, se tiene que esta implementacian si bien, fue aportada por la investigada posteriormente a la diligencia de inspeccion, en el curso de la investigacion no se demostrO que tuviera protocolos y medidas de seguridad apropiadas y debidamente implementadas lo cual no demuestra en los documentos aportados, 10 clue implica clue la investigada no cumplio con el deber correspondiente.
Como consecuencia de to anterior, esta DirecciOn encuentra clue la sociedad investiqada incumpliO con el deber establecido en el el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, razôn por Ia cual se impondrá la correspondiente sanciOn. 7.2.4 Conforme al principlo de legalidad en materia de datos personales, cualquier forma de Tratamiento de informaciôn personal desde su recoleccion hasta su disposiciOn final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino tambien en la normatividad clue sobre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Unico Reglamentario 1074 de 201511; lo que traduce en el hecho de clue las disposiciones del referido decreto tienen la misma obligatoriedad y carãcter vinculante clue la ley estatutaria.
Es deber de los responsables adoptar un manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de Ia presente ley y en especial, para la atenciOn de consultas y reciamos, contemplado en el literal k) del articulo 17 de la Ley 1581 de 2012, toda vez clue las politicas de tratamiento de la informacion hacen parte del manual interno de politicas y procedimientos adoptado por los Responsables y Encargados del Tratamiento, ya clue por medio de este se le informal a los Titulares cuales son sus derechos, quien es el Responsable de la informaciOn y elfin para el cual van a ser tratados sus datos.
De esta manera, y mediante el articulo 2.2.2.25.31 del Decreto Cinico Reglamentario 1074 de 2015, se establece el contenido minimo clue debe reunir el documento que haga sus veces de political de tratamiento de la informacion, el cual indica lo siguiente: "ArtIculo 2.2.225.3.1. Pollticas do Tratamiento de la informacion. Los responsa b/es del tratamiento deberan desarrollar sus politicas para el tratamiento do los datos persona/es y velarporque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las politicas do Tratamiento do la informaciOn deberan constar an medio fisico o electrOnico, an tin lenguaje claro y sencillo y set puestas an conocimiento do los Titulares. Dichas politicas deberan incluir, por 10 menos, Ia siguiente informaciOn: 1 Nombre o razOn social, domicilio, direccion, correo electrOnico y telOfono del Responsable. 2.
Tratamiento a/ cual serén sometidos Jos datos y final/dad del mismo cuando esta no so haya informado med/ante el a v/so de privacidad. 3. Derechos quo le asisten como Titular. Por media del cual se expide el Decreto (Thico Reglamentario del Sector comercio, Industria y Turismo, norma que compilô, entre otros, el Decreto 1377 de 2013 que.reglamentO parte del articulado de la Ley 1581 de 2012.
RESOLUCION NUMER8 a If DE 4 HOJA 10 Por Ia oval se impone una sanción y se imparten Ordenes administrativas 4. Persona o area responsable S la atenciOn de peticiones, consu/tas y reclamos ante Ia cuel el titular de /8 informacion puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el data y revocar /8 autarizaciOn. 5.
Procedimiento pare qua los titulares de /8 informaciOn puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir informaciOn y revocar Ia autorizaciOn. 6. Fecha de entrada en vigencia de la politica de tratamiento de la inforrnaciOn y periodo de vigencia de la base de datos. Cua/quier cambio sustancial an las politicas de tratamiento, an los térrninos descritos an S articulo 50 del presente decreto, debera ser comunicado oportunamente a los titu/ares de los datos persona/es de una manera eficiente, antes de imp/ernentar las nuevas pa/iticas.
La reuniOn de estos elementos permiten garantizar "el ambito de protecciOn del derecho de habeas data" 12 pues resultan oponibles al sujeto obligado en los procesos de recolecciOn, tratamiento, circulacion y disposiciOn final de datos, asi coma tambien permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data a traves de la implementaciOn y puesta en marcha, de los principios Clue rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementaciOn.
En efecto, el Responsable tiene el deber de tratar la informacion que se encuentra almacenada en su base de datos baja las medidas minimas establecidas, par el regimen de proteccion de datos personales, pues asi Ia dispuso la Ley 1581 de 2012 cuando senalo en su artIculo 25 inciso tercero, que "[I]as politicas de tratamiento en ningOn caso podrén ser inferiores a los deberes contenidos an la presente ley", disposiciOn Clue, igualmente, refuerza la hipOtesis esgrimida entomb a que mediante la political de tratamienta se pretende cimentar los pilares de la protecciOn al derecho.
Sin perjuicio de Jo anterior, el Decreto Unico Reglamentario 1074 de 2015 otorgO la posibilidad para Clue en caso en Clue no sea pasible poner a disposiciOn del Titular las politicas de tratamiento de la informaciOn, las responsables puedan informar par media de un aviso de privacidad sobre la existencia de tales polEticas y la forma de acceder a [as mismas, de manera oportuna y en toda casa a mas tardar al momenta de la recalecciOn de los datas persanales, siempre y cuando se abserven los requisitas del articula 2.2.2.25.3.3 del decreta en cita.
Asi las cosas, en el presente caso particular, se tiene que en la diligencia de inspecciOn, la saciedad investigada no contaba con una Politica de Tratamiento de Datos de la informaciOn en los términas senalados par la ley, sin embargo y una vez recibidas Ia recamendacianes impartidas par esta Direccion, el Respansable aportO una Politica de Tratamiento de Data& 3, dando cumplimienta a Jo establecido en la Ley 1581 de 2012 yen el Decreta Unico Reglamentario 1074 de 2015, sin embargo y una vez analizado dicho documenta, se tiene que el mismo no cumple lo establecida en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, par cuanto carece de la informacion Clue a continuaciOn se relaciona: (i) Persona o area responsable de la atenciOn de peticiones, consultas y reclamos ante la cual el titular de Ia infarmaciOn puede ejercer sus derechos a canacer, actualizar, rectificar y suprimir el data y revocar la autorizacion.
(ii) En el procedimienta establecida para Clue los titulares de Ia infarmaciOn puedan ejercer los derechos a canocer, actualizar, rectificar y suprimir infarmaciOn y revocar la autorizaciOn, no tiene un término máximo pama que el Responsable atienda las peticianes. (iii) La fecha de entrada en vigencia de la politica de tratamiento de la infarmaciOn no es clara y tampoco el periado de vigencia de la base de datos.
En el mismo sentido, tampoco se haIIO en desarrollo de la diligencia ni durante la presente investigaciOn, la existencia y publicaciOn del Avisa de privacidad en los temminos del articulo 2.2.2.25.3.2 del Decreto (mica Reglamentaria 1074 de 2015. cone Constitucional, sentencia C-748 de 2011. M.P. Maria Victoria CaI!e Correa Folios 34 a 38. 43(43 DE RESOLUCION NUMERO HOJA 11 Por Ia coal so impono una sanciOn y so impatlon Ordenes administrativas Asi mismo, de la informacion aportada por el investigado en escrito de descargos, se tiene que aportO la politica de tratamiento de la informaciOn, de conformidad con el articulo 2.2.2.253.1 del Decreto Unico Reglamentario 1074 de 2015, razOn por la cual este Despacho impartira la orden correspondiente a fin de que STARMEDIA, adopte la politica de tratamiento de la informaciOn, atendiendo las observancias establecidas en el articulo precedido, asi como el aviso do privacidad como medio para dare a conocer a los Titulares sobre la existencia do la Politica do Tratamiento de Datos, do la sociedad Responsable. 7.2.5 consultas, g uejas y reclamos.
El literal 1<) del articulo 17 de la Ley 1581 do 2012, prevé un deber fundamental para los Responsables de la InformaciOn, el cual establece: "ArtIculo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberén cumplir los siguientes deberes, sin perjuicio do las demas disposiciones pro vistas en ía presente byy on otras qua roan su actividad: k) Adoptar on manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de ía presente fey y en especial, pam la atenciOn do consu/tas y reclamos ( )" Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relaciOn a los procedimientos internos que debe adoptar los Responsables de la lnformaciOn con el fin de garantizar la adecuada protecciOn de los datos personales que trata, en virtud del desanrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen politicas internas efectivas quo demuestren el cumplimiento do [as obligaciones establecidas en la Ley 1581 de 2012 yen su Decreto Reglamentario.
Por 10 anterior, es preciso traer a colación 10 dispuesto en el parrafo final del articulo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto preve que "la verificaciOn por parte do la Superinteridencia de Industria y Comorcio do ía existoncia do medidas y politicas especiticas para of manejo adecuado de los dates persona/es que administra on Responsable sera tenida en cuenta a/ momento do eva/oar la imposiciOn do sanciones por violaciOn a los deberes y obfigaciones estab/ecidos on /a fey y en 0/ presente capitu/o. En este punto y del resultado arrojado en la visita de inspecciOn realizada en las instalaciones de la sociedad investigada, la misma no cuenta con politicas y procedimientos internos de seguridad, ni de atenciOn de consultas, quejas y reclamos, as[ mismo durante la presente investigaciOn, STARMEDIA no demostro haber adoptado, los manuales internos de poUticas y procedimientos que permitan garantizar el todo tiempo a los titulares, el adecuado tratamiento de sus datos personales.
Por Ic anterior esta DirecciOn encuentra que Ia sociedad STARMEDIA, incumpliO con el deber establecido en el el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el inciso tercero del articulo 25 de la misma norma, asi como Ultimo inciso del articulo 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 do 2015. Como consecuencia do lo anterior al no demostrar la investigada, haber implementado los manuales internos respectivos, para garantizar el cumplimiento de la Ley 1581 do 2012, esta Direccion impondra la correspondiente sancian.
Por tal razon, esta Direccion precisa que la sociedad investigada, debe adelantar el proceso para lograr politicas internas efectivas, asi come de seguridad apropiadas y una estructura administrativa idônea, con el propOsito principal de garantizar en todo momento el derecho fundamental do habeas data do los titulares. 7.2.6 Come bion 10 preceptuo la ResoluciOn No. 69394 de 2017 "per ía coal so inicia una investigaciOn administrativa y se formu/an cargos", rospecto do los datos recolectados a traves do los sistemas de RESOLUCION NUMER 5 743 dir HOJA 12 Ports cuel se impone aria sanciOn y se imparten órdenes administrativas video vigilancia, el cual es necesario traer a colacian dicha conceptualizacion en el presente analisis, con el fin de determinar el cumplimiento o no del deber aqul estudiado.
En este entendido, la resolucion referida dispone: "Do con formidad con Ia Real Academia do Ia Lengua Espanola - RAE - Ia video vigilancia as aquella forma do vigilancia par medo de un sistema do cameras, 4/as a mOW/es. Esta definiciOn es ampliada a traves de las gales de vidoovigilancia desarrolladas par esta Superintendencia de Industria y Comorcio (sic) qua establecon quo las actividades de videovigilancia implican cuae'quier forma do tratamiento do imá genes do datos persona/es a travès de cameras IP o mini-camaras, circuitos cerrados de television (CC TV) ontre otros.
Las actividades do tratamiento de ima genes implican, entre otras, Ia captaciOn, grabaciOn, Iran smisiOn, almacenamiento, conservaciOn o su reproducciOn en tie mpo real o posterior, par Ia qua at igual qua el resto do datos persona/es, so encuentran sujetas al Regimen General de ProtecciOn do Datos persona/es. Al igual quo todos Jos datos persona/es, la recolecciOn do las imá genes a traves do Jos sistemas do videovigilancia (sic) requiere previamente de la autorizaciOn suministrada par parte do su Titular bion sea par escrito, do forma oral o mediante con ductas inequivocas.
Par 10 tanto, pare la aplicaciOn de las garantias del margen legal (sic) antes senaladas (sic) so hace necesario adopter los mecanismos nocesarios suficientes pare informar a Jos Titulares qua sus datos estén siendo recolectados par un sistema do videovigi/ancia, ()' Al tenor de Ia anterior y como bien se desarrollo al analizar el cargo primero en Ia presente investigaciOn, respecto de la autorizacion previa e informada que debe recolectar el Responsable, para el tratamiento de la inforrnacion de los Titulares, la cual si bien se puede obtener de forma oral, escrita a mediante conductas inequivocas, para el asunto que nos ocupa, la sociedad investigada, debia contar con un aviso de privacidad quo informara (i) el Responsable del Tratamiento, (ii) Cual sera el tratamiento que se dará a su informacion, (iii) los derechos que en su condiciOn de titular le asisten y;
(iv) en donde se encuentra publicada la politica para el tratamiento de Ia informaciOn. Al respecto es oportuno citar Ia dispuesto en el Decreto (Thica Reglamentario 1074 de 2015, el cual prevé: "Articulo 2.2.2.25.3.2. Aviso do privacidad. En Jos casos en Jos qua no sea posible poner a disposiciOn del Titular las politicas de tratamiento de Ia inforrnaciOn, Jos responsables deberan informer par media de un a visa do privacidad a/ titular sabre la existencia do tales politicas y Ia forma de accoder a las mismas, do manera oportuna y en todo caso a más tardar al momento de la recolecciOn de los datos personales." En este sentido y coma quiera que la sociedad investigada al momenta de realizar la visita de inspecciOn en Ia que se pudo constatar que contaba con un sistema de cámaras de video vigilancia, las cuales se encuentran activas las veinticuatro horas del dia, se pudo evidenciar que no contaba con un aviso de privacidad visible, en la que pongan en conocimiento de los titulares esta situaciOn, asi como de la finalidad para la recolecciOn de esta informacion y los mecanismos para hacer efectivos sus derechos.
Asi mismo la investigada durante la presente investigaciOn no demostrô haber adoptado el Aviso de Privacidad, para informar a los titulares que estan siendo grabados a traves de un circuito cerrada de television. Como consecuencia de Jo anterior, esta DirecciOn encuentra que la sociedad investigada incumpliO con el deber establecido en el inciso segundo del artIculo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015, razOn por la cual se impondra la correspondiente sanciOn.
OCTAVO: lmposición y graduación de la sanción 8.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la Ley 1581 de 2012, estableciendo algunos criterios de graduaciôn que so encuentran senalados en el articulo 24 ibidem, par Ia tanto, RESOLUCION NUMERO Par to DE HOJA 13 cual so impone una sane/On y se imparten Ordenes administrativas atendiendo dichos criterios, este Despacho entrará a determinar cuãles debera tener en cuenta en el casO concreto, asi: 8.1.1 Jmp osicion y graduaciOn de la sanciOn Respecto a las sanciones que se imponen por la infracciOn a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanciôn y la finalidad de la norma que fuera trasgredida, asi como la proporcionalidad entre el hecho constitutivo de la infracciOn y la sancion aplicada.
Asi las cosas, con el objeto de realizar una correcta adecuaciOn entre los hechos y la sancion aplicable, esta DirecciOn debe analizar en primera instancia la dimension del daft o peligro a los intereses juridicos tutelados, asi como el posible beneficio econOmico, de suerte que luego se analicen las demas circunstancias objeto de graduaciOn de la sanciOn, como lo son, la capacidad econOmica del investigado, la reincidencia en la comisiOn de la infracciOn, la colaboraciOn del investigado en el esclarecimiento de los hechos objeto de investigaci6n14.
Tambien se tendra en cuenta para la dosificacion de la sanción, la naturaleza juridica del investigado, los ingresos operacionales, su patrimonio, y en general, su informaciOn financiera, de tal manera que la sanciOn resulte disuasoria más no confiscatoria. Finalmente, se tendra en cuenta Ia conducta investigada durante el trémite de la investigaciOn administrativa.
En el caso sub-examine, es claro que la sociedad investigada vulnerO el derecho de habeas data de los titulares de informaciOn, en razôn a que la copropiedad implementO Un sistema mediante el cual recolecta datos personales de los titulares de la informaciOn "dentro de los cuales recolecta datos personales sensibles", sin embargo se evidencia que la misma adelantO esta implementaciOn sin atender los deberes establecidos por la Ley 1581 de 2012, pues como bien se expuso y se demostrO a lo largo de Ia presente investigaciOn, la sociedad STARMEDIA, (i) no contaba el manual interno para el tratamiento de la informaciOn;
(H) no conservo la informaciOn recolectada, bajo las condiciones de seguridad necesarias; (in) no contaba con un procedimiento para la atenciOn para consultas, quejas y reclamos y tampoco divulgô un canal de atenciOn para que los titulares pudieran ejercer sus derechos; y (iv) no contaba con un aviso de privacidad a traves de la cual se le daba a conocer a los titulares que estaba siendo grabado por un sistema de videovigilancia y sobre la existencia de las politicas de tratamiento de la informaciOn.
Lo anterior conlleva a esta Direccian a concluir que con la conducta mencionada, vulnero el derecho fundamental de habeas data de los titulares, el cual se encuentra expresamente protegido por la Constitución Politica y enmarcado dentro de los principios de la administraciOn de datos, establecidos en el articulo 4 de la Ley 1581 de 2012, que para el caso particular, la sociedad STARMEDIA en calidad de Responsable de informaciOn, debe enmarcar sus actuaciones de conformidad con los principios previstos en la mentada ley.
En consecuencia, no hay lugar a dudas para esta DirecciOn acerca de la dimension del daño que efectivamente se materializO en el caso en cuestiOn, por cuanto la sociedad STARMEDIA no observa deberes de obligatorio cumplimiento contemplados en el articulo 17 de la Ley 1581 de 2012, por lo tanto es evidente que los intereses juridicos tutelados por la Ley Estatutaria de Hébeas Data fueron vulnerados.
En virtud de lo anterior, este Despacho impondrã una multa equivalente a veinte (20) salarioè mEnimos legales mensuales vigentes y la suspension de las actividades relacionadas con el tratamiento de datos personales, por el término de seis (6) meses, para que obtenga las autorizaciones de los titulares y adopte debidamente las Politicas de Tratamiento de la lnformaciOn, el Aviso de Privacidad, asi como Manuales y Procedimientos Intemos y de Medidas de Seguridad;
Ley 1581 de 2012.
ARTICULO
24. CRITERIOS PARA CRADUAR LAS SANCIONES. Las sanciones pot infracciones a las qua se relleren el articuto anterior, se graduarén atendiondo los siguientes cdterios, on cuanto rosulten apilcables: a) La dimensiOn del daho o peligro a los intereses to juridicos tutolados pot presonte lop'; b) El beneticio econOmico obtenido pore! infractor 0 Esteems, an i.'ktud de to comisiOn de to infracciOn; c) La reincidencia an to comisiOn de la infracciOn; d) La resistencia, negative u obstnicciOn a ía AcciOn investigadora o de vigilancia de ía C.omercio; t) El reconocimiento o acept ac/On expresos qua haga el investigado sobre la comisiOn de la infracciOn antes de la imposiciOn do to sanciOn a qua hubiere lugar.
RESOLUCION ' ' HOJA 14 per el incumplimiento de los deberes establecidos en (i) el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, (ii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi como el articulo 2.2.2.25.3.1 del Decreto ünico Reglamentario 1074 de 2015, (iii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el inciso tercero del articulo 25 de la misma norma, asi como ültimo inciso del articulo 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015; y (iv) el inciso segundo del artIculo 222.25.3.1 en concordandia con Ins articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015. 8.1.2 Otros criterios do graduaciOn Per Ultimo se aclara que los criterios de graduaciOn de la sancion senaladc; en los literales b), c), d), e) y f) del articulo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (I) dentro de la investigacion realizada no se encontrO que la investigada hubii ra obtenido beneficio econOmico alguno por la comisiOn de la infracciOn, (U) no hubo reincidenc a en la comisiOn de la infracciOn, (iii) no hubo resistencia u obstruccion a la acciOn investigativa e la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las Ordenes e instrucciones el Despacho, y (v) no reconoció la comisiOn de la infracciOn.
NOVENO: En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente y en virtud del literal e) del articulo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el "( )lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuaciOn do las operaciones do los Responsables del Tratamiento y Ericargados del Tratamiento a las disipacionos provistas en Ia presente Ley ( )", esta lnstancia procedera a impartir las siguientes instrucciones: 9.1 Ajustar el guion de yenta adoptado per la sociedad STARMEDIA, incorporando la solicitud de la autorizaciOn para el tratamiento de los datos personales de los titulares, asi come manifestarle claramente los derechos que le asisten a los mismos, tales come conocer, actualizar, rectificar y suprimir su informaciOn. 9.2 Ajustar las politicas de tratamiento de la informaciOn, con el Ileno de los requisites establecidos per la Ley 1581 de 2012 y el Decreto Unico Reglamentario 1074 de 2015. 9.3 Efectuar el aviso de privacidad adoptado per la sociedad STARMEDIA, indicando la existencia de las politicas de tratamiento de la informaciOn y como los Titulares pueden acceder a [as mismas.
Igualmente, tendra que demostrar a este Despacho el media per el cual difundira dicho aviso de privacidad y como los titulares tienen acceso al mismo. 9.4 Adoptar los manuales internos de politicas y procedimientos, en especial para garantizar la seguridad de la informaciOn y el procedimiento para la atencion de consulta, quejas y reclamos. 9.5 Efectuar el Aviso de Privacidad, informando a los Titulares que están siendo grabados a traves de un circuito cerrado de television (CCTV), de conformidad con lo establecido en la ley.
De la realizacion de las actividades anteriormente descritas, la sociedad STARMEDIA debera acreditar su cumplimiento remitiendo a este Despacho las acciones correctivas adoptadas, dentro del termino senalado en la parte resolutiva del presente acto administrative. En mérito de Ia expuesto este Despacho, RES U ELVE ARTICULO PRIMERO: Imponer una sanciOn pecuniaria a la sociedad STARMEDIA GROUP S.A.S. identificada con Nit. 900.339.653-0, de QUINCE MILLONES SEISCIENTOS VEINTICUATRO MIL OCHOCIENTOS CUARENTA PESOS M/cte.
($ 15.624.840.00), equivalente a VEINTE (20) salaries minimos legales mensuales vigentes, per el incumplimiento del deber establecido en (i) el literal d) del articulo 17 de Ia Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, (ii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi come el articulo 2.2.2.25.3.1 del Decreto (mice Reglamentario 1074 de 14 %) HOJA 15 RESOLUCION NUMERê Por la coal se impono una sanciôri y se imparten Ordenes administrativas 2015, (iii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el inciso tercero del articulo 25 de la misma norma, asi como ültimo inciso del articulo 222.25.6.2 del Decreto Unico Reglamentario 1074 de 2015; y (iv) el inciso segundo del articulo 22.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015.
PARAGRAFO: El valor de la sandôn pecuniaria que por esta resoluciOn se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de DirecciOn del Tesoro Nacional - Fondos Comunes, COdigo Rentistico No. 350300, Nit. 899999090-2. En el recibo deberá indicarse el nümero del expediente y el nUmero de la presente resoluciOn.
El pago deberá acreditarse ante la pagaduria de esta Superintendencia, con el original de la consignaciOn, dentro de los cinco (5) dias hábiles siguientes a la ejecutoria de esta resolucion. ARTiCULO SEGUNDO: Ordenar a la sociedad STARMEDIA GROUP S.A.S. identificada con Nit. 900.339.653-0, la siguiente: • Ajustar el guion de yenta adoptado por la sociedad STARMEDIA, incorporando la solicitud de la autorizaciôn para el tratamiento de los datos personales de los titulares, asi comO manifestarle claramente los derechos que le asisten a los mismos, tales como conocer, actualizar, rectificar y suprimir su iriformaciOn, • Ajustar [as politicas de tratamiento de la informacion, con el Ileno de los requisitos establecidos porla Ley 1581 de 2012 y el Decreto Unico Reglamentario 1074 de 2015. • Efectuar el aviso de privacidad adoptado por la sociedad STARMEDIA, indicando la existencia de las politicas de tratamiento de la informaciOn y como los Titulares pueden acceder a las mismas.
Igualmente, tendrã que demostrar a este Despacho el medio por el cual difundirá dicho aviso de privacidad y como los titulares tienen acceso al mismo. • Adoptar los manuales internos de politicas y procedimientos, en especial para garantizar la seguridad de la informaciOn y el procedimiento para la atenciOn de consulta, quejas y reclamos. • Efectuar el Aviso de Privacidad, informando a los Titulares que estân siendo grabados a traves de un circuito cerrado de television (CCTV), de conformidad con 10 establecido en la ley.
PARAGRAFO: la sociedad STARMEDIA GROUP S.A.S., deberá cumplir la orden impartida dentro de los quince (15) dias siguiente a la ejecutoria del presente acto administrativo, y acreditar el cumplimiento de 10 ordenado del presente acto administrativo ante esta Superintendencia dentro de los diez (10) dias habiles siguientes a la expiraciOn del plazo previsto para su acatamiento.
De no hacerlo se procedera a iniciar la respectiva investigacion administrativa sancionatoria.
ARTICULO TERCERO: Notificar personalmente el contenido de la presente resoluciOn a la sociedad STARMEDIA GROUP S.A.S. identificada con Nit. 900.339.653-0, a traves de su apoderado yb representante legal, entregandoles copia de la misma e informándoles que contra ella procede recurso de reposiciOn ante el Director de lnvestigaciOn de Proteccion de Datos personales y el de apelacion ante el Superintendente Delegado para la ProtecciOn de Datos Personales, dentro de los diez (10) dias siguientes a la diligencia de notificacion.
NOTIFIQUESE V CUMPLASE Dada en Bogota D. C., 29 JUN 201W El Director de Investigacion de ProtecciOn de Datos Personales, Prayecto: YLAC Reviso: CESM Aprobo: CESM SALAZAR MUNOZ RESOLUCION NUMER657 4 J DE NOTIFICACION: Entidad: STARMEDIA GROUP S.A.S. ldentificaciOn: Nit. 900.339.653-0 Representante Legal: ______________________________ ldentificaciOn: C.C. No. Direccion: Calle 63 A Bis No. 70 - 70 Ciudad: Bogota D.C. Correo electronico: ybarrantesgmait.com HOJA 16