Sanción 92618 de 2020 — SIC

(11 NOVIEMBRE 2020) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 18-187878 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante Resolución 70096 del 05 de diciembre de 2019, 1 la Dirección de Investigación de Protección de Datos personales resolvió abrir investigación y formular pliego de cargos contra la sociedad ACIERTOS RECREATIVOS S.A.S. identificada con el Nit. 900.373.5385 por la presunta contravención de lo dispuesto en: “El literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015.

El literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.” La denuncia presentada por el señor XXXXXXX XXXXXX XXXXXXX2, se contrajo a los siguientes hechos: 1.1 Señaló que, el día 17 de julio de 2018, encontró que se habían publicado en las plataformas Facebook e Instagram de los perfiles de ACIERTOS RECREATIVOS, fotografías y video de una fiesta infantil que contrataron el viernes XX de XXXXX de XXXX, sin la respectiva autorización de los tutores y/o representantes legales de los menores. 1.2 Manifestó que solicitó al señor ALEXANDER SÁNCHEZ, quien manifestó ser propietario de la empresa ACIERTOS RECREATIVOS S.A.S., suprimir los archivos en comento de las plataformas de Facebook e Instagram, pero este se negó. 1.3 Resaltó que, ni el contrato ni la cotización hacen referencia alguna a la autorización requerida para publicar fotografías y videos en redes sociales, siendo vulnerados sus derechos a la privacidad y a la seguridad, al no cumplir con las políticas de protección de datos personales, con el agravante de realizar publicaciones de fotografías de menores de edad sin la autorización de sus padres.

En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara pruebas que pretendiera hacer valer en la presente actuación.

SEGUNDO: Que la Resolución 70096 del 05 de diciembre de 2019 se notificó personalmente al señor ALEXANDER SÁNCHEZ CAMARGO, en representación de la sociedad ACIERTOS RECREATIVOS S.A.S., el 27 de enero de 2020, según consta en la certificación expedida por la Secretaría general Ad-Hoc de esta Superintendencia, radicada bajo el número 18-187878- -19 del 03 de febrero de 2020.

Actuación radicada el 06 de diciembre de 2019, bajo el número 18-187878-7-1. Actuación radicada el 18 de julio de 2018, bajo el número 18-187878-00000-000. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-187878- -00020-0001, la sociedad investigada, a través de apoderado especial, presentó sus descargos3, en los cuales manifestó, entre otras cosas, lo siguiente: 3.1 En primer lugar, se refiere algunos de los preceptos contenidos en la Ley Estatutaria 1581 de 2012, que considera relevantes para el caso objeto de análisis, así: “Teniendo en cuenta el contenido de la resolución No 70096, de Fecha (sic) Diciembre (sic) 5 de 2.019, se hace necesario entrar a dar una explicación jurídica para dar a entender a la SIC, los hechos que nos ocupan en esta oportunidad y asi (sic) entender la relación jurídica que surge a partir de estos, y para tal fin, solicito tengamos en cuenta la definición contenida en la Ley 1581 de 2.012, Art. 3, Literal B que dice BASE DE DATOS, “Conjunto organizado de datos personales que sea objeto de tratamiento ” (sic) La Superintendencia de Industria y Comercio con una definición más amplia definió como BASE DE DATOS “Es un conjunto organizado de datos personales bien sea en medio físico (ej: papel) o en medio electrónico (archivos en cualquier formato como hojas electrónicas, tratamiento de texto, con el uso o no de motores de bases de datos, etc.), sin importar la cantidad de datos personales que contenga. ” (sic) Frente a las dos definiciones de BASE DE DATOS es importante resaltar y tomar de las mismas para poder concluir que el registro fotográfico que maneja mi poderdante no puede ser considerado una base de datos, ya que en primer lugar no es un Conjunto organizado de fotos a pesar de encontrarse en medios electrónicos y obsérvese que con las fotos no existe forma de obtener información alguna de las personas naturales que allí encontramos.

Es importante tener en cuenta por parte de la Superintendencia de Industria y Comercio, que el registro fotográfico realizado por la sociedad ACIERTOS RECREATIVOS S. A. S., es realizado con el ánimo de pretender narrar una historia en un evento realizado, de acreditar experiencia en el manejo de los diferentes eventos que maneja la empresa, que para nuestros clientes es bastante importante, pero desde ningún punto de vista, se ha realizado con el ánimo de obtener información de carácter personal de nuestros clientes o de las personas que asisten al mismo.

En este orden de ideas tratemos de definir que es DATO PERSONAL y para tal fin debemos dar lectura al Literal C del Art. 3 de la ley 1381 de 2.012 que dice: DATO PERSONAL lo define como “Cualquier información vinculada que puede asociarse a una o varias personas naturales determinados o determinables. ” (sic) También la Superintendencia de Industria y Comercio definió el DATO PERSONAL como “Es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Por su naturaleza los datos pueden ser públicos, semiprivados, privados o sensibles. ” (sic) Y la SIC va un poco más a limitarse a definir, sino cita algunos ejemplos a saber EJEMPLO DATOS DE IDENTIFICACIÓN DATOS DE UBICACIÓN DEFINICION Nombre, apellido, tipo de identificación, número de identificación, fecha y lugar de expedición, nombre, estado civil, sexo, firma, nacionalidad, datos de familia, firma electrónica, otros documentos de identificación, lugar y fecha de nacimiento o muerte, edad, huella, ADN, iris, Geometría facial o corporal, fotografías, videos, fórmula dactiloscópica, voz, etc.

Como los relacionados con la actividad comercial o privada de las personas como dirección, teléfono, correo electrónico, etc. Actuación radicada el 17 de febrero de 2020, bajo el número 18-187878- -00020-0001. “Por la cual se impone una sanción administrativa y se imparte una orden” DATOS DE CONTENIDO SOCIO ECONÓMICO DATOS SENSIBLES HOJA N, Como estrato, propiedad de la vivienda, Datos financieros, crediticios y/o de carácter económico de las personas, Datos patrimoniales como bienes muebles e inmuebles, ingresos, egresos, inversiones, historia laboral, experiencia laboral, cargo, fechas de ingreso y retiro, anotaciones, llamados de atención, nivel educativo, capacitación y/o historial académico de la persona, etc.

Como los relacionados con la salud de la persona en cuanto a órdenes y relación de pruebas complementarias como laboratorio, imágenes diagnósticas, endoscópicas, patológicas, estudios, etc. diagnósticos médicos, generales o especializados, psicológicos o psiquiátricos, medicamentos y/o tratamientos médicos o terapéuticos de cualquier tipo, los relacionados con la pertenencia a sindicatos, organizaciones sociales, de derechos humanos, religiosas, políticas; datos relacionados con las convicciones religiosas, filosóficas y/o políticas, los datos de preferencia, identidad y orientación sexual de la persona, origen étnico- racial, personas de la tercera edad o menores de 18 años en condición de pobreza, datos sobre personas en situación de discapacidad personas con limitaciones psicomotoras, auditivas y visuales en condiciones de pobreza, personas víctimas de la violencia, personas en situación de desplazamiento forzado por violencia, madres gestantes o lactantes o cabeza de familia en situación de vulnerabilidad, menores en condición de abandono o protección, etc. 3.2 Continúa su escrito refiriéndose a los cargos formulados por esta Dirección, en los siguientes términos: “Teniendo en cuenta las definiciones citadas de DATO PERSONAL, con honesto convencimiento puedo afirmar que por SI SOLA la fotografía, no puede ser considerada como fuente de dato personal, ya que no existe forma de individualizarse a la persona natural que allí se registra, ya que de la fotografía tomada no existe forma para obtener información como en los ejemplos citados por la SIC, conocemos como Datos de identificación, Datos de Ubicación, Datos de Contenido Socio Económico, y Datos Sensibles.

Es de conocimiento público que todo lo relacionado con BASE DE DATOS, se encuentra regulado por los principios rectores contenidos en el capítulo II de la Ley 1581 de 2.012, y en especial el Literal (sic) F del Art. 4 de la citada Ley (sic) que contiene el PRINCIPIO DE CONFIDENCIALIDAD que dice “f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley” y la norma continúa diciendo “Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley.” Obsérvese que el citado principio no solo aplica, para aquella información que sean (sic) considerados (sic) como DATOS PERSONAALES, sin embargo las fotografías tomadas por mi poderdante por NO permitir individualizar o vincular con una Persona (sic) Natural (sic) especial, no tiene aplicación, por la razón y argumento jurídico de no contener información como base de datos. 3.3 Luego, indica que: “En cartilla elaborada por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO denominada como Aspectos Prácticos Sobre el Derecho del Habeas Data, en la pagina (sic) 5 menciona que los DATOS PERSONALES son de tres tipos a saber.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 1. Datos íntimos o Privados: Su Característica personales (sic) que pertenecen y solamente interesan únicamente a la persona. (Religión) (sic) 2. Datos Semipúblicos: Son aquellos que solamente le interesan a la persona y a un grupo determinado (Historial Crediticio, Centrales de Crédito) (sic) 3.

Datos Públicos: Sion todos los datos que conciernen a un interés general como las sentencias o el número de cédula. 3.4 Afirma que, “En este orden de ideas y asumiendo las clases de DATOS PERSONALES, considero que el registro FOTOGRAFICO (sic) sin ninguna otra información como lo maneja mi poderdante ACIERTOS RECREATIVOS S.A.S. puede llegar a ser considerado como Datos Íntimos o Privados, Datos Semipúblicos y/o Datos Públicos.

Ahora bien, si revisamos la foto y traemos a colación la definición contenida en la Ley 1581 de 2.012 en su Art. 5 que dice “Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo usos indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” Podemos afirmar sin duda alguna que el registro fotográfico tomado por nosotros NUNCA buscamos (sic) ridiculizar, burlar afectar la intimidad, discriminar religión o cualquier otra forma que pueda llegar a afectar a las personas que se registran en la fotografía, todo lo contrario siempre lo hacemos guardando el mayor respecto (sic) a los niños, y procuramos de (sic) resaltar el evento y la participación de los niños en el mismo.

Ahora bien, tratando de definir el termino (sic) fotografía, he realizado una búsqueda en internet y encuentro que se define como “El procedimiento y arte que permite fijar y reproducir, a través de reacciones químicas y en superficies preparadas para ellos (sic), las imágenes que se recogen en el fondo de una cámara oscura.” De esta definición podemos resaltar que;por (sic) si mismo (sic) la fotografía no individualiza a la persona, como sucede en el caso que nos ocupa e esta oportunidad, no existe forma de que la fotografía la vinculemos a determinable o determinadas personas como lo exige la Ley 1581 de 2.012.

En este orden de ideas y con todo el respecto (sic) que se merece el concepto emitido en la resolución que se profirió por parte de la Superintendencia de Industria y Comercio, desde ningun (sic) punto de vista considero que haya incumplido las exigencias de que trata el Literal (sic) b) del Art. 17 de la Ley 1581 de 2.012, si tenemos en cuenta lo dispuesto en las siguientes normas que me permito traer a colación y transcribo a continuación. En este orden de ideas tenemos que remitirnos al Numeral (sic) 1 del Art. 3 del decreto 1377 de 2.013, que literalmente dice: “Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.” Observamos que la norma armoniza que la comunicación se puede realizar en forma VERBAL que se ajusta al actuar de la sociedad de (sic) ACIERTOS RECREATIVOS S.A.S., por intermedio de sus colaboradores, no sobra mencionar que la definición citada anteriormente fue ratificada por el Numeral (sic) 1 del Art. 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 de 2.015.

Igualmente es importante tener en cuenta lo ordenado en el Art. 7 del decreto 1377 de 2.013 que dice “Modo de obtener la autorización. … Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” (subrayo para resaltar) Igualmente es importante manifestar a la SIC que en forma verbal mi poderdante solicita a la persona con quien se contrató la ejecución del evento, se le explica la finalidad del registro fotográfico, así como el objetivo del miso, y este se hace en una forma pública y en presencia de esta persona, y se les informa que si requieren del registro fotográfico, lo podrán solicitar para que les sea enviado. 3.5 Así mismo, manifiesta que, “(…) mi poderdante considera que desde ningún punto de vista, manejamos BASE DE DATOS frente a los menores de edad, a quien (sic) va (sic) dirigido (sic) nuestros eventos en muchas oportunidades, ya que ACIERTOS RECREATIVOS S.A.S., ni terceros podemos individualizar a las personas que allí se registran, mediante un procedimiento lógico, lleva a determinar o puedan ser determinables las personas que allí se registran.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Para terminar quiero manifestar que nuestros servicios en el caso que nos ocupa fueron contratados por la Señora (sic) XXXXX XXXXXX XXXXXXXX, tal como consta en el contrato que se (sic) acompaña al presente escrito, y desde ningún punto de vista conocemos a quien a (sic) instaurado la presente investigación el Señor (sic) XXXXXX XXXXXX XXXXXXXXXXXX, y por solicitud de este las fotos en mención fueron retiradas. 3.6 Finaliza el escrito señalando, que, “Para manifestar quiero (sic) manifestar (sic) en nombre de mi poderdante la sociedad ACIERTOS RECREATIVOS S.A.S., que conforma (sic) lo dispuesto en el Literal (sic) “F” del Art. 24 de La (sic) ley 1581 de 2.012, que reconocemos la infracción que se está investigando, pero en (sic) el actuar de mi poderdante, siempre ha sido de buena fe, sin pretender hacer daño alguno a las personas, a las que están dirigido (sic) nuestros eventos, todo lo contrario siempre nos esforzamos a prestar el mejor servicio posible, como en el caso que nos ocupa en esta oportunidad, teniendo como finalidad satisfacer todas y cada una de las expectativas de nuestros clientes, de tal forma que, estamos tomando medidas correctivas.”

CUARTO: Que mediante Resolución 51021 del 27 de agosto de 20204 esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-187878, negó la práctica de una prueba y declaró agotada la etapa probatoria. En el mismo acto administrativo, se corrió traslado a la sociedad ACIERTOS RECREATIVOS S.A.S. por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

QUINTO: Que la Resolución 51021 del 27 de agosto de 2020 fue comunicada a la sociedad investigada el 28 de agosto de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 18-187878- -26 del 25 de septiembre de 2020.

SEXTO: Que, dentro del término concedido para presentar los alegatos de conclusión, la sociedad ACIERTOS RECREATIVOS S.A.S guardó silencio.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley Actuación radicada el 28 de agosto de 2020, bajo el número 18-187878-21-1.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015; y El literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Del tratamiento de datos personales de menores de edad y el deber de solicitar y conservar copia de la respectiva autorización otorgada por sus representantes legales El objeto de la Ley 1581 de 2012, por medio de la cual se dictan disposiciones generales para la protección de datos personales, es “desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos (…)”6.

Tal derecho constitucional a conocer, actualizar y rectificar la información recopilada en bases de datos es lo que se conoce con el nombre de derecho a la protección de datos personales y se encuentra establecido en el artículo 15 de la Constitución Política, que señala lo siguiente: “Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” A su vez, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento como aquella “(p)persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

En adición, el artículo 7 de la Ley 1581 de 2012 consagró clara y expresamente que “queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública”. Así lo analizó la Corte en la sentencia C-748 de 2011, mediante la cual se realizó el estudio de constitucionalidad de la Ley Estatutaria, basada en la calidad de sujetos de especial protección constitucional que tienen en el ordenamiento jurídico colombiano los niños, las niñas y adolescentes, fundada en el artículo 44 superior que establece lo siguiente: “Artículo 44.

Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás.” (Subraya y negrilla fuera del texto original) Adicionalmente, y en concordancia con el citado artículo constitucional, en el marco internacional se consagra el principio del interés superior de los menores de edad. Frente al alcance y aplicación Artículo 1 de la Ley Estatutaria 1581 de 2012.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, de este principio, la Corte hizo referencia a los convenios y tratados internacionales acogidos por Colombia que constituyen el marco legal internacional sobre el cuidado de los menores de edad, en la sentencia C-748 de 2011, sobre el particular, el Alto Tribunal Constitucional manifestó, que: “El principio del interés superior del menor de dieciocho años, consagrado en distintos convenios de derechos humanos, se encuentra establecido expresamente en el artículo 8° del Código de la Infancia y la Adolescencia, así “(…) Se entiende por interés superior del niño, niña y adolescente, el imperativo que obliga a todas las personas a garantizar la satisfacción integral y simultánea de todos sus Derechos Humanos, que son universales, prevalentes e interdependientes”.

Por otra parte, el artículo 25 de este mismo Código, siguiendo el precepto superior de la prevalencia de los derechos de los menores de 18 años sobre los demás, estableció: “(…) En todo acto, decisión o medida administrativa, judicial o de cualquier naturaleza que deba adoptarse en relación con los niños, las niñas y los adolescentes, prevalecerán los derechos de estos, en especial si existe conflicto entre sus derechos fundamentales con los de cualquier otra persona (…)”.

Por lo anterior y en armonía con la reiterada posición de la Corte, en Colombia los niños, las niñas y adolescentes son sujetos de especial protección; razón por la cual, tanto la sociedad como el Estado deben garantizar el amparo y defensa de sus derechos. La Corte continuó su análisis haciendo énfasis en lo siguiente: “La calidad de sujetos de especial protección constitucional de los menores de dieciocho años tiene su fundamento en la situación de vulnerabilidad e indefensión en la que se encuentran, pues su desarrollo físico, mental y emocional está en proceso de alcanzar la madurez requerida para la toma de decisiones y participación autónoma dentro de la sociedad.

El grado de vulnerabilidad e indefensión tiene diferentes grados y se da a partir de todos los procesos de interacción que los menores de 18 años deben realizar en su entorno físico y social para el desarrollo de su personalidad.” “Por lo anterior, el Estado, la sociedad y la familia deben brindar una protección especial en todos los ámbitos de la vida de los niños, niñas y adolescentes, en aras de garantizar su desarrollo armónico e integral.” Ahora bien, el precepto consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de solicitar y conservar, en las condiciones previstas en la citada ley, copia de la respectiva autorización otorgada por el Titular, dicho precepto se armoniza con el principio de libertad, contenido en el literal c) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no es bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere que sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”.

De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. En decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría referirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, A su turno, los artículos 7 y 9 de la Ley Estatutaria en cita disponen lo siguiente: “ARTÍCULO 7o.

DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley.” “ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Igualmente, es importante indicar que en virtud del principio de libertad, citado en líneas precedentes, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, según lo dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en la mencionada sentencia, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: “i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”, características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre este, que se radica en cabeza del titular.

Posteriormente, en el ejercicio de la potestad reglamentaria constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló que los responsables del tratamiento de datos personales deben adoptar procedimientos para obtener de parte del Titular la autorización para cualquier operación o conjunto de operaciones sobre los mismos, así: Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” Así mismo, a través de este decreto, el Gobierno Nacional estableció unos requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes: “ARTÍCULO 2.2.2.25.2.9.

Requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.” Precisado lo anterior, en el caso objeto de estudio, encuentra esta Dirección que el denunciante manifestó que, “El día 17 de julio de 2018 encontré que habían sido publicados en Facebook e Instragram (cuenta: Aciertos recreativos) fotografías y video de una fiesta infantil que mi esposa (xxxxxx (sic) xxxxxx c.c. xxxxxxxxxx) contrató para el viernes xx de xxxxx de xxxx (xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx) con la empresa Aciertos de la Recreación (…).

Adjunto contrato y cotización, resaltando que NO se menciona autorización de publicar fotografías y videos en redes sociales, siendo vulnerados nuestros derechos a la privacidad y seguridad al no cumplir con las políticas de protección de datos personales y aún (sic) más grave que publican fotografías de menores de edad sin autorización de sus padres”.

Ante lo expuesto en la denuncia, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó a la sociedad ACIERTOS RECREATIVOS S.A.S que se pronunciara, entre otros, respecto de los siguientes puntos7: “1. Informe cuáles son las fuentes y/o los mecanismos empleados por usted para recolectar las fotografías y videos que ponen en circulación a través de Facebook e Instagram. 2.

Informe qué tipo de datos personales se encuentran almacenados en sus bases de datos v. gr. Nombre, documento de identidad, teléfono, dirección, fotografías, datos de menores de edad, etc. 3. Remita copia de los procedimientos usados por la organización para la recolección, almacenamiento, uso, circulación y supresión de información. 4. Informe cuales (sic) son (sic) finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar cada uno de los datos. 5.

Informe y acredite los mecanismos que emplea para obtener la autorización de los Titulares para el Tratamiento de sus datos personales. Al respecto, sírvase remitir los formatos a través de los cuales obtiene la autorización para el tratamiento de datos personales. 6. Remita prueba de que cuenta con autorización para el Tratamiento de los datos personales de la niña XXXXX XXXXXXX XXXXXXX otorgada por quien esté facultado para representarla.

(…) 8. Informe y acredite el trámite que impartió a la solicitud de eliminación de los datos de la niña XXXXX XXXXXXX XXXXXXX presentada por el señor XXXXXXXXXXXXXXXXXXXXX.” En respuesta al citado requerimiento la sociedad investigada informó, mediante escrito radicado el día 07 de diciembre de 2019, bajo el número 18-187878- -00005-0001, lo siguiente: 7 Actuación radicada el día 26 de noviembre de 2018, bajo el número 18-187878- -3-1.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 10, “1. El registro fotográfico que se obtiene en cada uno de los eventos realizados por nuestra empresa, con el ánimo de obtener un REGISTRO NARRATIVO, las fotografías son obtenidas básicamente mediante dos mecanismos.   Registro que es suministrado en algunas oportunidades por los clientes que nos han contratado.

Registro que es capturado por los empleados de nuestra empresa y que están liderando el evento para el cual fuimos contratados, siempre y cuando pensando en tener un REGISTRO NARRATIVO. 2. Bajo los parámetros del literal B y C del artículo 3 de la Ley 1581 de 2012, nuestra empresa no registra base de datos y no manejamos datos personales para ser consultados, ni en el presente, ni en el futuro por terceros.

Sin embargo, en nuestros registros contables encontraran (sic) la información que desde el punto de vista tributario se requiere, y en el momento de suscribir los contratos se registra la información básica a saber La información contemplada en los contratos que nosotros es la básica que se requiere para identificar con claridad el objeto y la causa licita (sic) del mismo y de esta forma determinar cuáles son las obligaciones adquiridas por las partes conforme a lo ordenado en el artículo 1088 del Código Civil, razón por la cual es obligatoria que sea suministrada por nuestros contratantes para que produzca efectos jurídicos el contrato celebrado. 3.

En relación al hecho tercero solicitado por usted me permito a continuación informar que no tenemos procedimiento alguno para recolectar información de nuestros clientes ya que la misma es suministrada al momento de diligenciar el correspondiente contrato para hacer (sic) suscrito por las partes, sin embargo, si la pregunta va relacionada a las fotografías tomadas y que son obtenidas conforme lo explique anteriormente, el procedimiento es el siguiente:  Se realiza capacitación a nuestros empleados para realizar el registro fotográfico, el cual debe ir dirigido bajo políticas respecto de la dignidad humana y desde ningún punto de vista se ridiculice a ninguna de las personas que participan en la actividad.  El registro fotográfico-narrativo es realizado en dos momentos, el primer (sic) de ellos antes de dar inicio a la actividad y cuando esta (sic) todo el montaje requerido por nuestro cliente y el segundo de ellos se desarrolla durante las actividades de recreación que dirigen y coordinan nuestros empleados (las fotografías son tomados (sic) por los teléfonos móviles de la empresa)  Una vez nuestros empleados llegan a las instalaciones de nuestra empresa el registro fotográfico es entregado a el líder de la marca, quien realiza un primer filtro de cada una de las fotografías tomadas en el evento siempre bajo la filosofía del respeto.  Una vez realizado el punto anterior se lleva a cabo un pequeño comité integrado por el líder de la marca operario logístico y el gerente, quienes evalúan y determinan cuales (sic) son las fotos que entraran (sic) a formar parte de nuestras redes sociales, con la aclaración que dichas fotografías no registran información alguna de las personas. 4.

Sin embargo, conforme a lo dispuesto en el numeral 1 del artículo 3 del Decreto 1377 de 2013 a nuestros clientes se les informa que el registro fotográfico en redes sociales, se publicara (sic) y se le solicita en forma verbal a nuestro cliente si tiene alguna objeción a la misma y en este evento no se realizaría (sic) las publicaciones correspondientes, como en algunos eventos HOJA N 11, “Por la cual se impone una sanción administrativa y se imparte una orden” ha sucedido, no sobra mencionar que dichas publicaciones no registran datos personales de nuestros clientes. 6.

Como ya lo he mencionado en varias oportunidades en este escrito no manejamos información que sea considerada como base de datos ya que dicha información nunca es consultada ni suministrada a terceros, y en este orden de ideas la fotografía histórica no cumple con las condiciones de ser un dato sensible contemplado en el artículo 5 de la Ley 1581 de 2012, ya que dichas fotografías no son discriminatorias, raciales, políticas, religiosas, filosófica, etc, ya que su única finalidad es mostrar a posibles clientes no solamente nuestro bagaje en actividades recreativas sino también mostrar la logística y productos que nosotros brindamos.

De tal forma que la información registrada en nuestros archivos es la que se encuentra plasmada en el contrato celebrado en esa oportunidad. (…) 8. Teniendo en cuenta la comunicación sostenida con el señor XXXXXXX XXXXXXX XXXXXXX, quien manifestó ser el padre de la menor XXXXX XXXXXXX XXXXXXX, festejada en esa oportunidad se procedió en forma inmediata a retirar de las redes sociales fotografías que se habían identificado con el consecutivo XXXXX, en razón a que dichas publicaciones no registran nombre y número de identificación de las personas.” Frente a la información suministrada por la sociedad investigada, resulta necesario realizar las siguientes precisiones: La Ley Estatutaria 1581 de 2012 en su artículo 3 precisa las definiciones de los vocablos técnicos indispensables para la protección de datos personales, en tanto permiten una correcta interpretación de la ley y contribuyen a determinar las responsabilidades de los responsables en el tratamiento de datos personales.

Para efectos del análisis de los argumentos expuestos por la sociedad investigada, es menester traer a colación el contenido del artículo en cita: “ARTÍCULO 3o. DEFINICIONES. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” En referencia al contenido de este artículo, la Corte Constitucional al efectuar el análisis de la Ley Estatutaria 1581 de 2012, mediante sentencia C-748 de 2011, realizó un estudio sobre el concepto de base de datos, entendiendo que este cobija los archivos, como depósitos ordenados de datos y, en consecuencia, estos se encuentran sujetos a las garantías previstas en la ley.

Para una mayor ilustración, se presentan a continuación extractos del referido análisis: “El literal b) define las bases de datos como un “(…) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de un banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 12, Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del hábeas data a todo tipo de hipótesis.

En concordancia, la Sala recuerda, como se indicó en la consideración 2.4.3.2, que el concepto de base de datos, cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley. 2.4.3.2. (…) El artículo 3 del proyecto define las base (sic) de datos de una manera muy amplia como el “[c] conjunto organizado de datos personales que sea objeto de Tratamiento”.

El tratamiento, por su parte, es definido como “[c] cualquier operación o conjunto de operaciones sobre datos personales, tales como recolección, almacenamiento, uso circulación o supresión”. El proyecto no contiene una definición de archivo; sin embargo, éste es definido por la Real Academia de la Lengua como el “[c]onjunto ordenado de documentos que una persona, una sociedad, una institución, etc., producen en el ejercicio de sus funciones o actividades” o como el “[l]ugar donde se custodian uno o varios archivos.” Los archivos también son definidos por la Ley 594 de 2000 “por medio de la cual se dicta la Ley General de Archivos y se dictan otras disposiciones”, como el “[c]onjunto de documentos, sea cual fuere su fecha, forma y soporte material, acumulados en un proceso natural por una persona o entidad pública o privada, en el transcurso de su gestión, conservados respetando aquel orden para servir como testimonio e información a la persona o institución que los produce y a los ciudadanos, o como fuentes de historia (…)” (artículo3).

Finalmente, los archivos también han sido conceptualizados por esta Corporación, así: “(…) un conjunto orgánico de documentos, unidos por un vínculo originario o de procedencia, que sirven para recuperar con agilidad y en tiempo oportuno toda la información almacenada por una oficina o institución en el curso de su actividad.” De acuerdo con estas definiciones, los archivos -para efectos exclusivamente del proyecto-, en tanto son (i) depósitos ordenados de datos personales, y (ii) suponen, como mínimo, que los datos han sido recolectados, almacenados y, eventualmente usados- modalidades de tratamiento, son una especie de base de datos que contiene datos personales susceptibles de ser tratados y, en consecuencia, serán cobijados por la ley una vez entre en vigencia. (…) Vale la pena mencionar que si bien la definición de base de datos que trae el proyecto puede diferir del uso común del término, no por ello es inconstitucional, pues el legislador goza de discrecionalidad para hacer clasificaciones y fijar definiciones, como ocurrió en este caso.” Por lo que se refiere a la respuesta del numeral octavo, en la cual, la sociedad investigada manifiesta que: “Teniendo en cuenta la comunicación sostenida con el señor xxxxxxxx xxxxxxx xxxxxxxx, quien manifestó ser el padre de la menor xxxxx xxxxxxxx xxxxxxx, festejada en esa oportunidad se procedió en forma inmediata a retirar de las redes sociales fotografías que se habían identificado con el consecutivo xxxxxx, en razón a que dichas publicaciones no registran nombre y número de identificación de las personas.”, observa este Despacho que, dicha manifestación tiene la vocación de mostrar los hechos objeto de investigación, y a la vez, permite superar las limitaciones técnicas de las fotografías aportadas en blanco y negro, ya que, al no tener estas la nitidez y el enfoque suficiente para su valoración integral como pruebas documentales; al ser analizadas en el contexto ilustrado por la sociedad investigada, en efecto, acreditan la ocurrencia de los hechos objeto de denuncia. Precisado lo anterior, es primordial traer a colación la definición de indicio aludida por el doctor Jairo Parra Quijano, “El indicio es un hecho del cual se infiere otro desconocido.

Debe quedar suficientemente claro que el indicio es, por así decirlo, un hecho especialmente cualificado porque tiene la propiedad de salirse de sí mismo y mostrar otro.”8 De ello que, el hecho reconocido por la sociedad investigada, al encontrarse dentro de unas circunstancias que lo transforman de un hecho neutro en un indicador, que le permite a esta Dirección realizar una inferencia lógica fundada en la sana crítica y, con ello, corroborar los hechos denunciados por el señor XXXXXXX XXXXXXX respecto a la circulación de imágenes de menores de edad a través de los perfiles de las redes sociales de la compañía, bajo el consecutivo XXXXX o número del registro interno del negocio jurídico mediante el cual se contrataron los servicios de recreación y logística ofrecidos por ACIERTOS RECREATIVOS S.A.S. En virtud de lo expuesto, no son del del recibo de esta Dirección los argumentos presentados por la sociedad investigada, salvo por la manifestación realizada en el numeral octavo, en tanto, contrario a las afirmaciones contenidas en su respuesta del día 07 de diciembre de 2019, radicada Parra Quijano, Jairo.

Manual de Derecho Probatorio, decimoséptima edición, 2009, Librería Ediciones del Profesional Ltda. pág. 618. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 13, ante esta Superintendencia bajo el número 18-187878- -00005-0001, y a la luz de las disposiciones en cita, encuentra este Despacho, que: 1. La sociedad ACIERTOS RECREATIVOS S.A.S. realiza el tratamiento de datos personales a través de distintas modalidades, entre las cuales se resaltan las siguientes: (i) la recolección y almacenamiento del número telefónico de contacto y la dirección de correo electrónico de cada una de las personas con quien celebra un contrato para la recreación y logística de eventos;

(ii) recolectando, almacenando y determinando el tipo de fotografías de menores de edad que resultan de su interés y cuyo contenido le permite publicitar los servicios que ofrece la compañía, a través de sus perfiles en redes sociales. 2. Sin lugar a que medie manto de duda alguno, la sociedad investigada posee un conjunto orgánico de documentos, los cuales tienen un origen común y se encuentran albergados de forma ordenada, tanto en los equipos mediante los cuales realiza la captura de las fotografías como en aquellos en los que las almacena; así mismo, es la sociedad ACIERTOS RECREATIVOS S.A.S., quien decide cuáles de esas fotografías pone a circular a través de sus redes sociales y usa con fines publicitarios de la actividad comercial que desarrolla. 3.

En suma, la sociedad investigada administra una serie de archivos, los cuales se constituyen como una base de base de datos, en términos del Alto Tribunal Constitucional, que contienen información personal susceptible de ser tratada y, en consecuencia, se encuentran cobijados por la Ley Estatutaria 1581 de 2012. Ahora bien, con el propósito de reunir más elementos de juicio, el Grupo de Trabajo de Investigaciones Administrativas remitió el expediente de la referencia al Grupo de Trabajo de Informática Forense y Seguridad Digital, con el fin de realizar la revisión del sitio web https://www.aciertosrecreativos.com y la preservación de las pruebas que pudieran constituirse como indicios de prácticas contrarias al régimen de Protección de Datos en el citado portal.

De igual forma, se solicitó la inspección de las redes sociales de la sociedad ACIERTOS RECREATIVOS S.A.S. XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX y XXXXXXXXXXXXXXXXXXXXXXXXXXXXX. Como resultado de la remisión efectuada, el Grupo de Informática Forense y Seguridad Digital de esta Superintendencia, mediante acta de preservación de páginas web – pre investigación radicada el 16 de septiembre de 2019, bajo el número 18-187878- -00006-0001, realizó, entre otras, las siguientes observaciones: “Según las inspecciones realizadas con las herramientas web enumeradas en los puntos anteriores, se adjuntan observaciones basadas en el requerimiento inicial de la Delegatura protección de datos.

(…)  En el perfil de Facebook de la sociedad Aciertos Recreativos se puede observar que el registro fotográfico asociado al número de contrato xxxxx (contrato entre Aciertos recreativos y el denunciante (sic)) no es visible, como se puede apreciar en la captura de pantalla y en la captura en video las cuales hacen parte de la presente acta de preservación.  En el perfil de Instagram de la sociedad Aciertos Recreativos se observa registro fotográfico de menores de edad en varios eventos, como se puede apreciar en la captura de pantalla y en la captura de video las cuales hacen parte de la presente acta de preservación. Para mayor ilustración de lo expuesto, se muestran a continuación las capturas de pantalla preservadas por el Grupo de Informática Forense y Seguridad Digital y a las cuales se refiere en las observaciones transcritas: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 14, En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargos a la sociedad ACIERTOS RECREATIVOS S.A.S.9, al considerar preliminarmente que: “En el caso analizado, mediante el oficio 18-187878 del 25 de noviembre de 2018, se requirió a la investigada con el propósito de que, entre otras cosas, acreditara la autorización del representante legal de la menor XXXXX XXXXXXXX XXXXXXX respecto al Tratamiento de sus datos personales y remitiera copia del formato o modelo a partir del cual surte dicho procedimiento; no obstante, la investigada suministró respuesta, pero no acreditó que contaba con la autorización del Titular para realizar el tratamiento de sus datos personales.

En la respuesta a esta Dirección, la sociedad ACIERTOS RECREATIVOS S.A.S., manifestó que a los clientes se les informa que el registro fotográfico en redes sociales se publicará y se le solicita de “forma verbal” si tiene alguna objeción a dicha publicación. Al respecto, sustentan esa solicitud en el numeral 1 del artículo 3 del Decreto 1377 de 2013, que corresponde a la definición de aviso de privacidad del artículo 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 de 2015.

En esa respuesta, la sociedad ACIERTOS RECREATIVOS S.A.S., también manifestó que l (sic) no maneja bases de datos conforme a la Ley 1581 de 2012, y que acorde al objeto social de la sociedad realizan registros fotográficos con el fin de mostrar a posibles clientes las actividades que realiza la sociedad.” Actuación radicada el 06 de diciembre de 2019, bajo el número 18-187878-7-1.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 15, A su turno, la sociedad investigada mediante escrito de descargos10 afirmó que, “Teniendo en cuenta las definiciones citadas de DATO PERSONAL, con honesto convencimiento puedo afirmar que por SI SOLA la fotografía, no puede ser considerada como fuente de dato personal, ya que no existe forma de individualizarse a la persona natural que allí se registra, ya que de la fotografía tomada no existe forma para obtener información como en los ejemplos citados por la SIC, conocemos como Datos de identificación, Datos de Ubicación, Datos de Contenido Socio Económico, y Datos Sensibles.

Igualmente quiero llamar la atención especial de la superintendencia, en las fotografías impresas y que se acompaña este escrito, y que sean revisadas las mismas en forma paciente y crítica, para que de esta forma el Señor (sic) Superintendente, para determinar que dicho registro NO SE PUEDE vincular o individualizar a los menores que se registran en las fotografías.” Al respecto, es necesario confirmar que en el presente caso, en efecto, se realizó tratamiento de datos de menores de edad, ya que la representación fotográfica de la imagen de una persona, puntualmente de una menor de edad, es un dato personal; toda vez que, tal y como lo señala el literal c) del artículo 3 de la Ley 1581 de 2012, un dato personal se entiende como “Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

Del precepto normativo en cita, se concluye que, la fotografía de una persona, en el caso que nos ocupa menor de edad, ya sea de su rostro o todo su cuerpo, debe considerarse como un dato personal porque se trata de una información vinculada o que puede relacionarse con una persona determinada o determinable. En el presente caso, las imágenes capturadas y publicadas a través de los perfiles de redes sociales de la sociedad investigada, representan los rostros de menores de edad que participan en los eventos de recreación por esta realizados.

En relación con la naturaleza de la imagen fotográfica de una persona en el contexto de la Ley 1581 de 2012, es necesario aclarar que, en el caso bajo análisis, las imágenes no se catalogan como datos biométricos, ya que no fueron tratadas con medios técnicos que permitan la identificación o autenticación unívoca de los menores de edad representados en las imágenes.11 Sobre este punto en particular, tal y como lo ha reiterado la Dirección en oportunidades anteriores, las imágenes que permitan establecer la identidad de una persona son datos personales y su tratamiento, se rige por, entre otras disposiciones, la Ley 1581 de 2012.

Adicionalmente, nótese que algunas fotos captan la imagen del rostro o la cara de personas, las cuales son consideradas como información biométrica. Los datos biométricos, a su vez, son un ejemplo de dato sensible, tal y como se puede constatar en la definición legal del artículo 5 de la Ley 1581 de 2012. Los datos biométricos incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y comportamentales (forma de firmar, tono de voz) sobre las personas.

En la regulación europea son definidos como “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.”12 (Negrilla fuera del texto original) Para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del Decreto 1377 de 2013 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012.

La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable de Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular de los datos.

De hecho, no solo el Titular tiene el derecho de la citada autorización, sino que es deber del Responsable de Tratamiento solicitar y conservar, en las Actuación radicada el día 17 de febrero de 2020, bajo el número 18-187878-00020-0001. Considerando 51 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo del 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/16CE (Reglamento General de Protección de Datos) disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679 La clasificación de las imágenes fotográficas en este caso se hace sin perjuicio de las consideraciones hechas por la Delegatura de Protección de Datos Personales en la Resolución 92618 de 2018, en la cual se analizó el tratamiento de imágenes fotográficas como datos biométricos.

Cfr. Numeral 14 del artículo 4 del Reglamento europeo de protección de datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 16, condiciones previstas en la Ley Estatutaria, copia de la respectiva autorización otorgada por el Titular. En consonancia con lo anterior, no estamos frente al tratamiento de un dato sensible y tampoco se está entendiendo que su uso no autorizado pueda generar algún tipo de marginación a su Titular; razón por la cual no resulta relevante determinar si la sociedad ACIERTOS RECREATIVOS S.A.S. perseguía los fines aludidos en el siguiente fragmento del escrito de descargos, donde manifiesta, que: “Podemos afirmar sin duda alguna que el registro fotográfico tomado por nosotros NUNCA buscamos (sic) ridiculizar, burlar afectar la intimidad, discriminar religión o cualquier otra forma que pueda llegar a afectar a las personas que se registran en la fotografía, todo lo contrario siempre lo hacemos guardando el mayor respecto (sic) a los niños, y procuramos de (sic) resaltar el evento y la participación de los niños en el mismo.” Frente a esta afirmación, resulta imperioso reiterar que, de acuerdo a lo dispuesto en el artículo 7 de la Ley 1581 de 2012, “Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública.” (Subraya y negrilla fuera del texto original) Ahora bien, la Corte al realizar el examen de constitucionalidad de la Ley Estatutaria, mediante sentencia C-748 de 2011, señaló respecto del inciso segundo del artículo 7, que: “Esta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data.

En este mismo sentido, debe interpretarse la expresión “naturaleza pública”. Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes.” En esta sentencia, también se refirió a la clasificación de los datos personales, en los siguientes términos: “En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato.

El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. (…) Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: “f) Dato público.

Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” Resultando entonces completamente contrarios a derecho los argumentos de la sociedad investigada, toda vez que, no puede considerarse, bajo ninguna circunstancia, la prevalencia de los intereses publicitarios y comerciales de ACIERTOS RECREATIVOS S.A.S. sobre los derechos fundamentales de los niños, niñas y adolescentes, incluido, por supuesto, el de habeas data; en los términos del Régimen General de Protección de Datos y el marco doméstico e internacional en “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 17, materia de garantía y primacía de los derechos fundamentales de esta población, especialmente protegida por el Estado y la sociedad en general.

A continuación, manifiesta la sociedad investigada que, “En este orden de ideas tenemos que remitirnos al Numeral (sic) 1 del Art. 3 del decreto 1377 de 2.013, que literalmente dice: “Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.” Observamos que la norma armoniza que la comunicación se puede realizar en forma VERBAL que se ajusta al actuar de la sociedad de (sic) ACIERTOS RECREATIVOS S.A.S., por intermedio de sus colaboradores, no sobra mencionar que la definición citada anteriormente fue ratificada por el Numeral (sic) 1 del Art. 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 de 2.015.

Frente a estos argumentos, es menester realizar las siguientes precisiones: 1. Esta Superintendencia ha sido enfática en reiterar que, los “avisos de privacidad” no equivalen a la autorización previa, expresa e informada para poder recolectar y usar los datos de los ciudadanos. Para esta Dirección, de acuerdo con las normas establecidas en el artículo 9 de la Ley 1581 de 2012, no es admisible el argumento expuesto por la sociedad investigada, en el sentido de sostener que la autorización para el tratamiento de datos personales es equiparable a un aviso de privacidad, como lo manifiesta en su escrito de descargos.

En este punto, cobra especial relevancia destacar que, el Decreto único Reglamentario 1074 de 2015 en el artículo 2.2.2.25.3.2 desarrolla el concepto de “Aviso de Privacidad”, precisando que, en caso de que no sea posible poner a disposición del Titular las Políticas de Tratamiento de la información, los responsables pueden informar por medio de dicho aviso la existencia de tales políticas y la forma de acceder a ellas de manera oportuna.

De esta forma, queda absolutamente clara la finalidad establecida por el Gobierno Nacional en relación con la implementación del referido instrumento, que no es otra que poner en conocimiento de los Titulares, la existencia de una Políticas de Tratamiento de Datos. Para mayor ilustración, esta Superintendencia, a través de la cartilla “Formatos modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, define el aviso de privacidad y señala el contenido mínimo del mismo, así: “4.1.

DEFINICIÓN Es una de las opciones de comunicación verbal o escrita que brinda la ley para darle a conocer a los titulares de la información, la existencia y las formas de acceder a las políticas de tratamiento de la información y el objetivo de su recolección y uso.

4.2. CONTENIDO MÍNIMO DEL AVISO DE PRIVACIDAD Los avisos de privacidad deben contener como mínimo la siguiente información: Nombre o razón social y datos de contacto del responsable del tratamiento. La finalidad de la recolección de los datos y el tipo de tratamiento al que serán sometidos. Los derechos que tiene el titular de la información. Los mecanismos dispuestos por el responsable de los datos para que el titular conozca la política y los cambios que se produzcan en ella o en el aviso de privacidad correspondiente.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 18, En caso de que la organización o el responsable recolecte datos personales sensibles tales como el origen racial o étnico, orientación sexual, filiación política o religiosa, etc.; debe explicarle al titular de los datos el carácter sensible que posee este tipo de información y, además, debe darle la opción de elegir si responde o brinda estos datos.” Precisado lo anterior y retomando el asunto bajo estudio, se observa que el Régimen General de Protección de Datos contempló de manera expresa el deber que le asiste al Responsable del Tratamiento previo a la recolección de los datos personales, de solicitar el consentimiento del Titular, y que este pueda ser objeto de consulta posterior.

En igual sentido, es oportuno recordar que, el silencio, en ningún caso puede ser entendido como el otorgamiento de autorización, la cual adicionalmente tiene componentes cualificados. Véase que debe ser previa, expresa e informada; supuestos fácticos que no fueron acreditados en la presente investigación. 2. En sincronía con las consideraciones expuestas en el numeral anterior, resulta relevante hacer hincapié en los componentes cualificados de la autorización para el tratamiento de datos personales, así: El literal a) del artículo 3 de la Ley 1581 de 2012 define que el consentimiento debe ser previo, expreso e informado, lo cual obliga al Responsable del Tratamiento a: (i) recoger a más tardar al momento de la recolección del dato, la autorización;

(ii) a recoger la autorización de manera explícita, es decir, debe estar la manifestación expresa del titular a consentir el tratamiento de su información, situación que no se observa en las pruebas allegadas, y (iii) a informar al titular sobre quién es el responsable del dato, el uso y finalidades de los datos personales, así como los canales para ejercer el derecho de habeas data.

Observa este Despacho que, la forma como la sociedad investigada afirma obtener el consentimiento de los representantes legales de los menores de edad, para el uso de sus datos, es insuficiente y no es ni se constituye de manera alguna como una autorización para el tratamiento de datos personales. Ahora bien, es relevante resaltar que, en este caso particular donde el análisis de la conducta de la sociedad investigada se centra en la recolección y uso de información de menores de edad, la valoración de dicho tratamiento se debe realizar atendiendo a las normas especiales que regulan el uso de esta categoría de datos.

Así, debe recordarse que el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretación restringida, según la cual ese uso de la información se debe sujetar a la interpretación esbozada por la Corte Constitucional cuando analizó la exequibilidad del artículo 7 de la Ley 1581 de 2012. A su vez, el Decreto 1074 de 2015 también estableció que: “Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos.

Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.” De manera concordante con lo expuesto, en la recolección de la autorización, tal y como lo expone el literal b) del artículo 12 de la Ley 1581 de 2012, “el Responsable del Tratamiento al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: (…) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre datos de niños, niñas y adolescentes.” A la luz de lo dispuesto para el tratamiento de los datos personales de los menores, este Despacho advierte que, la sociedad ACIERTOS RECREATIVOS S.A.S., es la entidad que procedió con la recolección, almacenamiento, uso y circulación de los datos personales de los menores y, en consecuencia, se constituyó en responsable del tratamiento de los mismos, en los términos que lo establece el literal e) del artículo 3 de la Ley Estatutaria 1581 de 2012, por lo que le son imputables HOJA N 19, “Por la cual se impone una sanción administrativa y se imparte una orden” los deberes que se derivan de su actividad, los cuales fueron suficientemente analizados en el presente acápite.

No obstante lo anterior, esta Dirección encuentra que la sociedad investigada aceptó la comisión de la infracción en los siguientes términos: “Para manifestar quiero (sic) manifestar (sic) en nombre de mi poderdante la sociedad ACIERTOS RECREATIVOS S.A.S., que conforma (sic) lo dispuesto en el Literal (sic) “F” del Art. 24 de La (sic) ley 1581 de 2.012, que reconocemos la infracción que se está investigando, pero en (sic) el actuar de mi poderdante, siempre ha sido de buena fe, sin pretender hacer daño alguno a las personas, a las que están dirigido (sic) nuestros eventos, todo lo contrario siempre nos esforzamos a prestar el mejor servicio posible, como en el caso que nos ocupa en esta oportunidad, teniendo como finalidad satisfacer todas y cada una de las expectativas de nuestros clientes, de tal forma que, estamos tomando medidas correctivas.” En referencia a esta solicitud, este Despacho considera oportuno traer a colación lo previsto en el artículo 24 de la Ley 1581 de 2012, que establece lo siguiente: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…) f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” En cuanto a lo expuesto por la sociedad investigada en torno a la aplicación del criterio de atenuación contenido en el literal f) del artículo en cita y habida cuenta de la aceptación del reconocimiento de la infracción investigada por esta Superintendencia, en los términos expuestos en líneas precedentes, este criterio de atenuación se tendrá en cuenta para graduar la sanción, de conformidad con lo dispuesto en el artículo 24 de la Ley Estatutaria 1581 de 2012.

En el caso concreto, una vez analizado el caudal probatorio obrante en el expediente, así como los argumentos de hecho y de derecho expuestos por la sociedad investigada, esta Dirección concluye que: (i) La sociedad ACIERTOS RECREATIVOS S.A.S. realiza el tratamiento de datos personales a través de distintas modalidades, entre las cuales se resaltan las siguientes: (i) la recolección y almacenamiento del número telefónico de contacto y la dirección de correo electrónico de cada una de las personas con quien celebra un contrato para la recreación y logística de eventos;

(ii) recolectando, almacenando y determinando el tipo de fotografías de menores de edad que resultan de su interés y cuyo contenido le permite publicitar los servicios que ofrece la compañía, a través de sus perfiles en redes sociales. (ii) La sociedad investigada tiene en su poder una serie de archivos, los cuales son una especie de base de datos, en términos de la Corte Constitucional, que contienen información personal susceptible de ser tratada y, en consecuencia, se encuentran cobijados por la Ley Estatutaria 1581 de 2012.

(iii) La sociedad ACIERTOS RECREATIVOS S.A.S. recoció expresamente que publicó en sus perfiles de redes sociales, fotografías identificadas con el consecutivo XXXXX, que correspondían a imágenes captadas el día de la celebración del cumpleaños de la menor XXXXX XXXXXXXX XXXXXXXX. (iv) La sociedad ACIERTOS RECREATIVOS S.A.S. violó la regulación sobre recolección y uso de datos personales de menores de edad porque no obtuvo la autorización previa, “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 20, expresa e informada de los representantes legales de la menor XXXXX XXXXXXXX XXXXXXXX para poder usar sus imágenes o fotos con fines de publicitar las actividades de recreación y logística de eventos que desarrolla la sociedad.

Comoquiera que es claro que la sociedad investigada vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de la Compañía, obviando el cumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

Así mismo, en virtud de la información contenida en el acta de preservación de páginas web – pre investigación radicada el 16 de septiembre de 2019, bajo el número 18-187878- -00006-0001, y en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se procederá a impartir una orden administrativa a la sociedad investigada, consistente en: (i) Abstenerse de tratar datos personales de menores de edad para fines de marketing o publicidad sin haber obtenido la autorización previa, expresa e informada de los titulares o de sus representantes legales en los términos de la Ley 1581 de 2012 y el artículo 2.2.2.25.2. del Decreto 1074 de 2015.

(ii) Proceder con la supresión inmediata de todos los datos personales de los titulares, cuya recolección, tratamiento y uso haya realizado sin que le haya sido otorgada la autorización previa, expresa e informada, de conformidad a los parámetros señalados en el presente acto administrativo. De manera especial y enfática se le recuerda a ACIERTOS RECREATIVOS S.A.S. que el tratamiento de los datos personales de menores de edad está autorizado únicamente bajo el entendido que dicho tratamiento responda al interés superior de los niños, niñas y adolescentes y se asegure el respeto de los derechos prevalentes de estos; es decir, que asegure la plena vigencia de los derechos fundamentales, incluido el de habeas data. 8.2.2 Del deber de informar las finalidades del tratamiento de los datos de los menores de edad y los derechos derivados de la autorización otorgada El marco jurídico en materia de protección de datos personales contempla una categoría especial de datos, donde se encuentran incluidos los de los niños, niñas y adolescentes y su especial protección, tal y como se señaló en el numeral 8.2.1 de esta Resolución. Ahora bien, en armonía con las consideraciones hasta ahora expuestas, y frente al deber de informar al titular del dato sobre la finalidad para la cual se realiza la recolección del mismo, el artículo 17 de la Ley 1581 de 2012 señala, que: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…).” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 21, “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”.13 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 22, de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

En virtud de los hechos advertidos por el señor XXXXXXX XXXXXXXXX en su escrito de denuncia, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó a la sociedad ACIERTOS RECREATIVOS S.A.S que se pronunciara, entre otros, respecto de los siguientes puntos14: “(…) 4. Informe cuales (sic) son (sic) finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar cada uno de los datos.” En respuesta al citado requerimiento la sociedad investigada informó, mediante escrito radicado el día 07 de diciembre de 2019, bajo el número 18-187878- -00005-0001, entre otras cosas, lo siguiente: “4.

La información solicitada y que nos es suministrada por nuestros clientes es requerida para poder celebrar el contrato del correspondiente evento, a las luces de los artículos 496 y 1501 del Código Civil y que sin dicha información no podría perfeccionarse el contrato. (…) Sin embargo, conforme a lo dispuesto en el numeral 1 del artículo 3 del Decreto 1377 de 2013 a nuestros clientes se les informa que el registro fotográfico en redes sociales, se publicara (sic) y se le solicita en forma verbal a nuestro cliente si tiene alguna objeción a la misma y en este evento no se realizaría (sic) las publicaciones correspondientes, como en algunos eventos ha sucedido, no sobra mencionar que dichas publicaciones no registran datos personales de nuestros clientes.” De los extractos en cita, encuentra este Despacho que los argumentos presentados por la sociedad investigada dan cuenta del incumplimiento de los deberes que le asisten a la sociedad investigada en materia de protección de datos personales.

La sociedad, además de desconocer el tratamiento que realiza sobre los datos personales de aquellos que contratan sus servicios y de los menores, cuyos eventos atiende, no informa los Titulares o a los representantes de los mismos: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, en tratándose de datos de menores de edad, (iii) los derechos que les asisten y (iv) los datos de identificación y contacto del Responsable del Tratamiento.

Por el contrario, opta por suplir estos requisitos a través de un procedimiento, a través del cual, los colaboradores de la compañía le indican a los Titulares y a sus representantes que las fotografías realizadas durante el evento serán publicadas en redes sociales, y que pueden ejercer objeción; conductas que, sin lugar a duda, aparte de ser arbitrarias, desconocen los preceptos fundamentales en materia de protección de datos personales.

En virtud de lo expuesto y de la ausencia de material probatorio que acredite el cumplimiento del deber que le asiste a la sociedad investigada, como Responsable del tratamiento, de informar debidamente al Titular o a sus representantes legales sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; esta Dirección dio apertura a la 14 Actuación radicada el día 26 de noviembre de 2018, bajo el número 18-187878- -3-1.

HOJA N 23, “Por la cual se impone una sanción administrativa y se imparte una orden” investigación administrativa que nos ocupa y formuló cargos a la sociedad ACIERTOS RECREATIVOS S.A.S.15, al considerar preliminarmente que: “En el caso analizado se puede evidenciar preliminarmente que la sociedad ACIERTOS RECREATIVOS S.A.S. hizo tratamiento a los datos personales de la menor XXXXX XXXXXXXXX XXXXXXX sin informar a los padres y/o representante legal de la menor, la finalidad, los derechos que le asistían como Titular y al tratamiento que serían sometidos sus datos personales.” Frente a este cargo, se tiene que la sociedad investigada aceptó la comisión de la conducta endilgada y expuso, entre otros argumentos, que: “Para manifestar quiero (sic) manifestar (sic) en nombre de mi poderdante la sociedad ACIERTOS RECREATIVOS S.A.S., que conforma (sic) lo dispuesto en el Literal (sic) “F” del Art. 24 de La (sic) ley 1581 de 2.012, que reconocemos la infracción que se está investigando, pero en (sic) el actuar de mi poderdante, siempre ha sido de buena fe, sin pretender hacer daño alguno a las personas, a las que están dirigido (sic) nuestros eventos, todo lo contrario siempre nos esforzamos a prestar el mejor servicio posible, como en el caso que nos ocupa en esta oportunidad, teniendo como finalidad satisfacer todas y cada una de las expectativas de nuestros clientes, de tal forma que, estamos tomando medidas correctivas.” Expuesto lo anterior, se observa que no obra prueba que demuestre que la sociedad ACIERTOS RECREATIVOS S.A.S., le haya informado a los representantes legales de la menor XXXXX XXXXXXXXX XXXXXXXX acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales, así como tampoco pieza probatoria que acredite que la sociedad investigada les informó que los datos de la niña iban a ser expuestos con el fin de hacer publicidad comercial, a través de las redes sociales Facebook e Instagram, de los servicios recreativos ofrecidos por la compañía; situación que va en contravía directa de lo dispuesto en el literal a) del artículo 12 de la Ley 1581 de 2012 y que, adicionalmente, viola de manera directa los derechos fundamentales de la menor.

Por lo anterior y retomando la solicitud de la sociedad investigada, este Despacho recuerda lo previsto en el artículo 24 de la Ley 1581 de 2012, que establece exactamente lo siguiente: “ARTÍCULO

Una vez realizadas las anteriores precisiones, y frente al caso objeto de estudio, encuentra esta Dirección, que: (i) La sociedad investigada tiene en su poder una serie de archivos, los cuales son una especie de base de datos, en términos de la Corte Constitucional, que contienen información personal susceptible de ser tratada y, en consecuencia, se encuentran cobijados por la Ley Estatutaria 1581 de 2012.

Actuación radicada el 06 de diciembre de 2019, bajo el número 18-187878-7-1. HOJA N 24, “Por la cual se impone una sanción administrativa y se imparte una orden” (ii) La sociedad ACIERTOS RECREATIVOS S.A.S. recoció expresamente que publicó en sus perfiles de redes sociales, fotografías identificadas con el consecutivo XXXXX, que correspondían a imágenes captadas el día de la celebración del cumpleaños de la menor XXXXX XXXXXXXXX XXXXXXX.

(iii) El procedimiento mediante el cual la sociedad investigada afirma informarle al Titular del dato o a sus representantes legales sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, lesionan de manera directa los preceptos fundamentales en materia de protección de datos personales.

(iv) La sociedad ACIERTOS RECREATIVOS S.A.S. violó la regulación de datos personales de menores de edad porque no le informó a los representantes legales de la menor XXXXX XXXXXXXX XXXXXXXX: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, en tratándose de datos de menores de edad, (iii) los derechos que les asisten y (iv) los datos de identificación y contacto del Responsable del Tratamiento.

Comoquiera que es claro que la sociedad investigada vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de la compañía, obviando el cumplimiento del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” HOJA N 25, “Por la cual se impone una sanción administrativa y se imparte una orden” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 16.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional17 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”18 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 26, Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2322 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N 27, “Por la cual se impone una sanción administrativa y se imparte una orden” a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”23 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados24.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Frente al primer cargo formulado a la sociedad investigada, es claro para esta Dirección que: 23 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 24 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 28, (i) La sociedad ACIERTOS RECREATIVOS S.A.S. realiza el tratamiento de datos personales a través de distintas modalidades, entre las cuales se resaltan las siguientes: (i) la recolección y almacenamiento del número telefónico de contacto y la dirección de correo electrónico de cada una de las personas con quien celebra un contrato para la recreación y logística de eventos;

(ii) recolectando, almacenando y determinando el tipo de fotografías de menores de edad que resultan de su interés y cuyo contenido le permite publicitar los servicios que ofrece la compañía, a través de sus perfiles en redes sociales. (ii) La sociedad investigada tiene en su poder una serie de archivos, los cuales son una especie de base de datos, en términos de la Corte Constitucional, que contienen información personal susceptible de ser tratada y, en consecuencia, se encuentran cobijados por la Ley Estatutaria 1581 de 2012.

(iii) La sociedad ACIERTOS RECREATIVOS S.A.S. recoció expresamente que publicó en sus perfiles de redes sociales, fotografías identificadas con el consecutivo XXXXX, que correspondían a imágenes captadas el día de la celebración del cumpleaños de la menor XXXXX XXXXXXXX XXXXXXXX. (iv) La sociedad ACIERTOS RECREATIVOS S.A.S. violó la regulación sobre recolección y uso de datos personales de menores de edad porque no obtuvo la autorización previa, expresa e informada de los representantes legales de la menor XXXXX XXXXXXXX XXXXXXXX para poder usar sus imágenes o fotos con fines de publicitar las actividades de recreación y logística de eventos que desarrolla la sociedad.

En consecuencia, la sociedad ACIERTOS RECREATIVOS S.A.S. en su calidad de Responsable del Tratamiento infringió los deberes que le asisten, dado que vulneró el derecho de habeas data de la niña XXXXX XXXXXXXX XXXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de Facebook e Instagram de la Compañía, obviando el cumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

(ii) La sociedad ACIERTOS RECREATIVOS S.A.S. recoció expresamente que publicó en sus perfiles de redes sociales, fotografías identificadas con el consecutivo XXXXX, que “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 29, correspondían a imágenes captadas el día de la celebración del cumpleaños de la menor XXXXX XXXXXXXX XXXXXXXX.

Conductas con las cuales, la sociedad ACIERTOS RECREATIVOS S.A.S. vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXXX, al no haberle informado a sus representantes legales acerca de las finalidades del Tratamiento al que serían sometidos sus datos personales, así como tampoco pieza probatoria que acredite que la sociedad investigada les informó que los datos de la niña iban a ser expuestos con el fin de hacer publicidad comercial, a través de las redes sociales Facebook e Instagram, de los servicios recreativos ofrecidos por la compañía, obviando el cumplimiento del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario. 10.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción investigada por esta Superintendencia, al manifestar, que, “Para manifestar quiero (sic) manifestar (sic) en nombre de mi poderdante la sociedad ACIERTOS RECREATIVOS S.A.S., que conforma (sic) lo dispuesto en el Literal (sic) “F” del Art. 24 de La (sic) ley 1581 de 2.012, que reconocemos la infracción que se está investigando, pero en (sic) el actuar de mi poderdante, siempre ha sido de buena fe, sin pretender hacer daño alguno a las personas, a las que están dirigido (sic) nuestros eventos, todo lo contrario siempre nos esforzamos a prestar el mejor servicio posible, como en el caso que nos ocupa en esta oportunidad, teniendo como finalidad satisfacer todas y cada una de las expectativas de nuestros clientes, de tal forma que, estamos tomando medidas correctivas.” Comoquiera que es claro que la sociedad investigada vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de la Compañía, obviando el cumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

Se encuentra suficientemente acreditado que, la sociedad investigada vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de la compañía, obviando el cumplimiento del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 30, Reglamentario 1074 de 2015, esta Superintendencia impondrá por esta conducta como sanción, la suma de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

En consecuencia, esta Dirección impondrá una sanción pecuniaria a la sociedad ACIERTOS RECREATIVOS S.A.S. identificada con el Nit. 900.373.538-5 de UN MILLÓN SETECIENTOS OCHENTA MIL TRESCIENTOS CINCUENTA PESOS M/CTE ($1.780.350), equivalentes a CINCUENTA (50) Unidades de Valor Tributario, por la transgresión lo dispuesto en (i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. No obstante lo anterior y teniendo en cuenta la aceptación de la comisión de la infracción por parte de la sociedad ACIERTOS RECREATIVOS S.A.S., en los términos expuesto en párrafos anteriores, esta Dirección aplicará el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 y, en consecuencia, procederá a reducir la sanción impuesta a OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario.

DÉCIMO PRIMERO: CONCLUSIÓN La sociedad investigada vulneró el derecho de habeas data de la menor XXXXX XXXXXXXX XXXXXXXX, cuyas imágenes fueron capturadas y publicadas en los perfiles de las redes sociales de la sociedad ACIERTOS RECREATIVOS S.A.S., sin contar con la autorización previa, expresa e informada de sus representantes legales, con lo que violó el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015.

Así mismo, la sociedad ACIERTOS RECREATIVOS S.A.S. violó la regulación de datos personales de menores de edad porque no le informó a los representantes legales de la menor XXXXX XXXXXXXX XXXXXXXX: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, en tratándose de datos de menores de edad, (iii) los derechos que les asisten y (iv) los datos de identificación y contacto del Responsable del Tratamiento; con lo que transgredió el cumplimiento del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Con fundamento en lo expuesto, encuentra acreditado este Despacho que: En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ACIERTOS RECREATIVOS S.A.S. identificada con el Nit. 900.373.538-5 de OCHOCIENTOS NOVENTA MIL CIENTO SETENTA Y CINCO PESOS M/CTE ($890.175), equivalentes a VEINTICINCO (25) Unidades de Valor Tributario, por la transgresión lo dispuesto en (i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 7 y 9 y el literal c) del artículo 4 de la misma ley, como también con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015 y;

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 31, 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR una orden administrativa a la sociedad ACIERTOS RECREATIVOS S.A.S. identificada con el Nit. 900.373.538-5 consistente en: (i) Abstenerse de tratar datos personales de menores de edad para fines de marketing o publicidad sin haber obtenido la autorización previa, expresa e informada de los titulares o de sus representantes legales en los términos de la Ley 1581 de 2012 y el artículo 2.2.2.25.2. del Decreto 1074 de 2015.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad ACIERTOS RECREATIVOS S.A.S. identificada con el Nit. 900.373.538-5, a través de su representante legal y de su apoderado, en calidad de investigada, entregándoles copia de la misma e informándoles que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. ARTPICULO CUARTO: COMUNICAR al señor XXXXXXX XXXXXXXX XXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXX el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 11 NOVIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.11.11 12:43:20 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción administrativa y se imparte una orden” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Direcciones: Ciudad: Correo electrónico: Apoderado: Señor: Identificación: ACIERTOS RECREATIVOS S.A.S. Nit. 900.373.538-5 ALEXANDER SANCHEZ CAMARGO C.C. 79.528.623 CR 73 B NO. 7 B CR 73 B NO. 7 B 84 Bogotá garamac.c@hotmail.com Dirección: Ciudad: Correo electrónico: FRANK GARCÍA BARON C.C. 79.468.718 T.P. No. 80.448 del C.S de la J. Calle 9 No. 4 -88 oficina 503 Edificio Andes Bogotá fjasesoriaslegales@hotmail.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXX HOJA N 32,

Resolución sancionatoria N° 92618 de 2020

CONSIDERANDO

RESUELVE