RESOLUCION NCJMERO 435 30 - DE 2018 (22 JUN 2018 [ RadicaciOn 16-197688 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los articulos 19 y 21 de la Ley 1581 de 2012 y el numeral 5 del articulo 17 del Decreto 4886 de 2011 y,
CONSIDERANDO
PRIMERO: Que la DirecciOn de lnvestigacion de ProtecciOn de Datos Personales de esta Superintendencia, en ejerciclo de las facultades conferidas por los articulos 19 y 21 de la Ley 1581 realizó el dia 2 de agosto de 2016 una diligencia de inspecciOn del EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, identificada con el Nit. 800.178.639-2, con el propósito de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012 y Decreto Unico Reglamentario 1074 de 2015.
En desarrollo de la visita de inspecciOn y una vez analizada la documentacion recolectada y aportada par la investigada se pudo establecer Ia siguiente: 1.1. Se evidencio que a pesar de recolectar datos personales y biometricos, coma fotos y video en ninguna de las dos recepciones de ingreso de visitantes del edificio no se contaba con un aviso de privacidad a traves del cual se informara de la recolecciOn de datos personales.
Asi como que tampoco se evidencio que se pusiera en conocimiento de los titulares informaciOn alguna en donde se identifique quien es el responsable de recolectar los datos personales, la finalidad, los derechos que le asisten a los titular de la informacion, la existencia y lugar en donde puede conocer la politica de tratamiento de datos personales. 1.2.
Igualmente se determinO que a traves del software denominado se realiza el registro de la entrada de personas al edificio, mediante el cual se recolectan los siguientes datos personales: nUmero del documento, nombre del titular, fecha de nacimiento, género, RH, captura de la imagen (fotografia). Dichos datos son recolectados sin solicitar autorizaciOn previa del Titular, asi mismo sin informar (I) las finalidades de la recoleccion, (ii) los derechos que le asisten a los Titulares de la informacian y (IU) la existencia y lugar donde se puede conocer la Politica de Tratamiento de Datos Personales. 1.3.
Se encontrO que en el contrato de quien cuentan con acceso a Ia informaciOn personal de las personas que acceden al edificlo, no se observaron clausulas de confidencialidad ni autorizaciOn para el tratamiento de sus datos personales que cumplan con los requisitos establecidos por la Ley 1581 de 2012. 1.4. Se pudo evidenciar que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL no habia documentado ni implementado un Manual Interno de Politicas y Procedimientos para el Tratamiento de Datos Personales, ni para la atenciOn de quejas y reclamos, toda vez que a la fecha de la visita no existia un documento aprobada y suscrito par la sociedad que cumpliera con los términos senalados en las normas de protecciôn de datos personales. 1.5.
El EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL no contaba con una politica para el tratamiento de los datos personales, asi como su correspondiente aviso de privacidad con al menos el contenido minimo especificado porlos artIculos 2.2.2.25.3.1, 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto 1074 de 2015, asi coma acreditar la puesta en conocimiento de dichos documentos, de acuerdo con lo establecido en el articulo 2.2.2.25.3.4 del citado Decreto RESOLUCION NUMER 3 5 306 -E 20' `1 HOJA 2 1.6 La inspeccionada no contaba con politica de seguridad de la informacion, por lo que no garantiza el pleno cumplimiento del principio de seguridad consagrado en el literal g) del articulo 4 de la Ley 1581 de 2012.
De acuerdo con lo anterior, se encuentra que la entidad inspeccionada esta vulnerandb presuntamente el deber consagrado en el literal d) del articulo 17 de la Ley 1581 del 2012. SEGUNDÔ: Que de la informacion recaudada en desarrollo de la etapa de averiguaciOn preliminary del analisis de la misma, la Direccion de Investigación de Proteccion de Datos Personales mediante ResoluciOn No. del 20 de junio de 20171, resolvió iniciar investigaciOn administrativa en contra d& EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, por la presunta vulneracioh al deber que el investigado ostenta en su calidad de Responsable de la informaciOn contemplado en: (i) el literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artIculo 4 y el articulo 9 de la misma norma asi como el inciso primero del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015;
(ii) el literal c) del artIculo 17 en concordancia con el literal b)l del articulo 4 asi como el articulo 6 de Ia Ley 1581 de 2012, en concordancia con el inciso primbro del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015, (iii) el literal d) del adicilo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, (iv) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, otorgándosele un termino de quince (15) dias aT investigado para que rindiera los respectivos descargos y aporta las pruebas que pretendia h'acer valer dentro la presente actuaciOn administrativa.
M El anterior acto administrativo fue debidamente notificado a la investigada el 7 de marzo de 2018 a través de aviso conforme la certificaciOn de acuse de recibo, certificado que obra a folio 46 del expediente.' TERCERO:' Que de conformidad con la certificacion expedida por la Coordinadora del Grupo de Notificaciones y Certificaciones2 y la constancia de notificacion de la secretaria general AD-HOC', Ia Resoluci6nNo.M del 20 de junio de 2017 le fue notificada por aviso al EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL el dia 7 de marzo de 2018 y que una vez vencido el término para presentar descargos la investigada guardo silencio.
Conforme a lo anterior se aclara que previo a efectuar la notificacion por aviso, se surtiO la notificacion personal a las direcciones y al las cuales no resultaron eectivas.
CUARTO: Que mediante la ResoluciOn No. M del 25 de abril de 2018 5 este Despacho incorporo las pruebas dentro de la presente actuaciOn (fls.1 al 61), declaro agotada la etapa probatoria dentro de la presedte investigacion administrativa y corriô traslado a la investigada para que presentara alegatos de conclusion.
QUINTO: Que mediante comunicaciOn del 16 de mayo de 20186, la investigada aportO escrito de alegatos de conclusi6n en los siguientes terminos: 5.1 ReaIizO'en recuento de los deberes establecidos en los Titerales b), c) d) y K) del articulo 17 la Ley 158.1 de 2012 por los cuales este Despacho iniciô una investigaciOn administrativa a través de la ResoluciOn NoM del 20 de junio de. 5.2 Manifesto que frente a las disposiciones de la Ley 1581 de 2012 se encuentran clasificados como "persona juridica de naturaleza privada que no estA inscrita en las camaras de comercio". 5.3 lnforma,que frente a la recolecciOn de datos personales "Los enipleadoslcontratistas de (as empresas ingresan at edificio mediante una tarjeta de proximidad entregada por Ia propiedad horizontal a las empresas y estas Ilevan el control de entrega de cede tarjeta.
Gada empresa debe ingresar a tra yes de la página web y registra el nombre de los empleadas habilitados pare ingresar. Esa informaciOn es cargada en ci sistema de la propiedad Obrante a folios 47 81 61. Obrante a folio 46 Obrante a folio 39 I Obrante a folios 40 al 42 Obrante a folio 66. Obrante a folios 62 al 65. RESOLUCION NUMER04 3 53 IIE 2018 HOJA 3 Por la coal se impone one sanciOn yse imparlen Ordenes administrativas horizontal quien I/eva el registro de la fecha y hora de ingreso y salida de los ernpleadoslcontratistas" (ff62 reversa). 5.4 lndicô que 'los visitantes presentan su cédula y el sistema captura of nUmero del documento, nombre, la fecha de nacimiento y el RI-i, adicionalmente Ia recepcionista toma una foto que queda guardada an el sistema.
No se guarda los dotas biomOtricos do foto y huella digital de la cedula do ciudania" (11.63). 5.5 SenalO que frente a los datos de los empleados de las empresas que laboran en el edificia se recalecta información coma cedula, nambre, nambre de la empresa, nUmera de tarjeta lectora, genera, fecha de ingresa y salida del ediflcio, vebiculo y puerta de ingreso. 5.6 ArgumentO que "La finalidad de la recolecciOn es por el control de ingreso y para dabs estadIsticos sobre el flujo do visitantes y usuarios, no esta registrada la finalidad". 5.7 Aduce que cuentan con un manual del usuario del cual adjuntaron copia, el cual de igual forma contiene el pracedimienta para quejas y reclamas.
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artIculo 19 de la Ley 1581 de 2012, establece la funcion de vigilancia que le corresponde a la personales se respeten las principios, derechos, garantias y procedimientos previstos en la ley.
SEPTIMO: Anâlisis del caso 7.1 Adecuaciôn tipica La Carte Constitucional mediante sentencia C-748 de 2011, establecio lo siguiente en relaciOn con el principio de tipicidad en el derecho administrativa sancionatario: En relaciOn con el principio de tipicidad, encuentra ía Sale que pese a la generalidad de la ley, as determinable la infracciOn administrativa an la medida an qua se sane/a qua la constituye el incumplimiento de las disposiciones de la ley, esto es, an terminos especificos, Is regulaciOn qua haceri los articulos 17 y 18 del proyecto de fey, an los qua se senalan los deberes de los responsables y encargados del tratamiento do! dato'l Atendiendo los parametras senaladas par la citada jurisprudencia, para el casa especifico se tiene que: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamienta respecto del manejo de los datos persanales de los Titulares.
El incumplimiento de tales requisitos dare lugar a la aplicaciOn de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 de 2012. (ii) De canformidad can la visita de inspecciOn efectuada par este despacho a las instalaciones de La investigada y el acervo probatario que abra en el expediente, se puede establecer que la canducta desplegada par la investigada se concreta en la posible vulneracion a las literales b), c), d) y k) del articulo 17 de la Ley 1581 do 2012.
En ese orden de ideas, carresponde a este Despacho establecer si la conducta desplegada par la investigada dará lugar a no a la impasiciOn de una sanciOn pare to cual so deberãn tener en cuenta los hechos narrados par los reclamantes, as[ como las razones de hecha y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusion, y el conjunto de pruebas allegadas al expediente. 'Carte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos mil once (2011).
RESOLUCION NUMER4 353 Oc,eSB HOJA 4 Par la coal Se impone una sanciOn y se imparten órdenes administrativas 7.2 Vaoracion probatoria y conclusiones 7.2.1. Concepto de Responsable del tratamiento de datos personales Esta Direccian considera oportuno distinguir los conceptos de Responsable y Encargado del tratamiento, comoquiera quo los mismos resultan relevantes pare determinar las condiciones en que seentregth la informacion a un tercero. El literal e) del articulo 3 de la Ley 1581 de 2012, define al Responsable del tratamiento de la siguiente manera: "Artièulo 3 0.
Definiciones. Para los efectos de Ia presente ley, se entiende par ( ) e) Reponsable del Tratamiento: Persona natural a jurIdica, pUblica a privada, que par $ misma a en asacia con otras, decide sabre Ia base de datos yb el Tratamiento de Jos datos; Este norma fue declarada exequible med/ante.Sentencia C-748 de 2011 en el siguiente entendido: "( ) el concepto 'decidir sabre el tratamiento' empleado pore/ literal e) parece coincidir con lb posibilidad de definir —juridica y materialmente- Jos fines y medios del tratarñiento".
Esto signifièa Clue es Responsable del tratamiento la persona natural o juridica, püblica a privada, Clue por misma a en asocio con otros, determine - de hecho o de derecho - los fines del sill tratamiento y los medios para alcanzarlos. 7.2.2 Del deber de solicitar la respectiva autorización otor gada por el titular. El articulo 15 de la Constitucion Politica establece Clue las personas, en desarrollo de sus derechos a la autodeterminacion informática y el principio de libertad, son quienes de forma expresa deben autorizar que la informaciOn quo sobre ellos sea recaudada pueda ser incluida en una base datos.
Al respecto la Code Constitucional he senalado Ia siguiente: "Principle de libertad: El tratamiento sOlo puede ejercerse can el consentimiento, pre via, expresd e infarmada del titular. Los datas personales no podran ser obten/dos a divulgados sin pre via aUtorizaciOn, a an ausencia de mandato legal a judicial que releve el consentimiento.
Este pr/nc/p/a, pilar fundamental de la administracion de dates, perm/te al ciudadano elegir voluntariamente s/ so /nformaciOn personal puede ser utilizada a no an bases de datas. Tambien imp/de qua la infarmaciOn ya registrada de un usuar/a, la coal he s/do obten/da can su consentimiento, pueda pasar a otra organ/smo qua la utilice con fines distintos pare los que foe autarizacia /n/cialmente, El literal c) del Proye cto de Ley Estatutaria no sOlo desarralla el objeta fundamental de la protecciOn del habeas data, sino que se encuentra an it/ma relaciOn con otros derechos fundamentales coma el de intimidad y el libre desarrolla de Ia persanalidad.
En efecto, el ser humano gaze de la garantia de determiner qué datos quiere seen conocidas y tiene el derecho a determiner Ia que podria denominarse so 'imagen in format/ca '. Los principios rectores, ademas, deben confluir en cuanto a su aplicaciOn con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente caso, es relevante mencionar los deberes Clue tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.
Al respecto la Code Constitucional en la sentencia C-748 de 2011, mediante la cual realize el análisis constitucional de la Ley estatutaria 1581 de 2012, manifesto: °Ver en: Gone Consütucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaijub. RESOLUCION NUMERO " 'i" "Dt 2018 HOJA 5 Par ía cue/ se impone una sanciôn y se imparlen Ordenes administrativas "Va conform/dad con ía jurisprudencia de esta CorporaciOn, dentro de las prerrogativas contenidos minimos- que se desprenden de este derecho encontramos par to menos las siguientes: (i) at derecho de las personas a conocer —acceso- la informaciOn qua sabre el/as estan recogidas en bases de datos, to que con fleva el acceso a las bases de datos donde so encuentra dicha informaciOn;
(ii) el derecho a incluir nuevos datos con el fin de so provea una imagen complete del titular (iii) e/ derecho a actualizar Ia informacion, as decir, a poner at dia el contenido de dichas bases de datos; (iv) el derecho a qua la informacion contenida an bases de datos sea rectificada o corregida, de tat manera qua concuerde con (a rea/idad;
(v) of derecho a excluir informaciOn do una base do datos, b/en par quo se esta hacienda un uso indebido do ella, o par simple voluntad del titular —salvo las excepciones pro vistas en /8 norma tiva." De esta manera, debe precisar este Despacho que, tal coma lo manitiesta la Corte Constitucional, el derecho de habeas data otorga la facultad al Titular de los datos personales de exigir el acceso, correcciOn, adiciOn, actualizacion y eliminacion de su informacion, par lo que resulta apenas claw, que los Responsables y Encargados de la informaciOn deben implementar mecanismos que le permita al Titular acceder en cualquier momenta a su informaciOn.
Igualmente, es importante indicar que en virtud del principio de libertad, citado Imneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales Ia exigencia de requerir la autorizaciOn previa, expresa e informada del Titular, consagrada en el articulo 9 de la Ley 1581 de 2012° y, además, el deber de solicitar y conservar copia de la autorizacion de Tratamiento otorgada par el mismo, dispuesto en el literal b) del articulo 17 del mismo compendia normativo10.
De Ia anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada lineas atrás, se refiere a las caracteristicas de los datos personales al analizar la constitucionalidad del proyecto de ley de proteccion de datos personales, a saber: rrQ Estar refer/dos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a /a persona, en mayor o menor med/cia, gracias a la visiOn de conjunto que se /ogre con el mismo y con otro datos; iii) Su pro piedad reside exclusivamente en el titular del mismo, situaciOn qua no se altera par su obtenciOn par perle do un tercero de manera I/c/ta o iicita; iv) su Ira tam/onto esta sometido a reglas especiales (pr/nc/pbs) en to re/ativo a su captaciOn, administraciOn y divulgac/On", caracteristicas que se adicionan al concepto de data personal establecido en la Ley, consistente en un derecho de prapiedad sabre éste, que se radica en cabeza del titular.
Sumado a lo anterior, el mismo Responsable debe conservar una copia de la autorizacion otorgada par el Titular de la informaciOn de forma tal que, en el momenta en que sea solicitada para consulta, cuente con la misma. De otra parte es necesaria precisar to dispuesto en el articulo 5 de la Ley 1581 de 2012, sabre la definiciOn de datos sensibles: "Articulo 5°.
Datos sensibles. Para los propOsitos de ía presente fey, se entiende par datos sons/bios aquellos que afectan Ia intimidad del Titular o cuyo uso indebido puede generar su discriminac/On, tales como aque/los qua rove/on e/ origen racial o etnico, la orientacion politica, (as con viccionos religiosas 0 filosOficas, la pertenoncia a sindicatos, organizaciones soc/ales, do derechos humanos o que promueva intereses de cuafquier partido politico o qua garanticen los derechos y garantias do part/dos politicos do oposiciOn asi como los datos relativos a la salud, a ía vida sexual ylos datos biometricos." (Subraya y negrilla par fuera del texto original).
En la sentencia quo anaiizO la constitucionalidad del Proyecto de Ley que posteriormente se conociô coma Ley 1266 de 2008, la Carte Constitucional explicO, respecto de los datos sensibles, que "( ) la naturaleza de esos datos pertenece at nUcloo esencial dol derecho a ía intimidad, entondido como aquolla osfera a ospacio de vida privada no susceptible de ía intetlerencia arbitraria do las demas personas, que at ser considorado un olomento esencial del ser, se concrota on 91 derocho a poder actuar libromonto en la mencionada esfera o nOcleo, en ojorcicio do la libertad personal y familiar, sin mas limitaciones quo los derechos do los demas y ol ordenamionto jurIdico"11. o Ley 1581 de 2012.
"Articulo 9. Autoriracion del Titular, sin perftiicio de las excepciones previstas en la fey, an el Tratamiento Se requiem la autonza c/On pie via e informada del Titular, (a coal debera ser obtenida par cualquier medic, qua pueda ser objeto de cansulta posterior. Ley 1581 de 2012. "Art/cute 17. Deberes cM las Responsables del Tratamiento.
Los Responsables del Tratamiento deberan curnplir los siguientes deberes, sin perjoicio de las demas disposiciones previstas an (a presente ley yen otras qua n/an so act/v/dad: ( ) b) solicitary conservar, an las con diciones pie vistas an Is presente fey, copia deja respective autodzaciOn otorgada par at Titular Carte Constitucional. Sentencia C-iOi 1 del 16 de octubre de 2005.
M.P. Jaime Cordoba Trivino RESOLUCION 0'J 0 *2018 Por la cual so imporie una sancion y so imparten árdenes administrativas 1-IOJA 6 _______________ Entonces l el data sensible no es una informacion que solamente este relacionada con la garantEa propia del'ejercicio del derecho de habeas data, sino que va ligada tambien al derecho fundamental a la intimidad, el cual, igualmente, es sujeto de protecciOn constitucional.
Obrando el n consecuencia con la importancia constitucional y legal atribuida al dato sensible, el legislador estatutario, en el articulo 6 de la Ley 1581 de 2012 prohibió, por regla general, el tratamiento de informacion sensible de los titulares, de tar forma que solo consagrO unas excepciones taxativas a dicha exclusion, las cuales responden a la necesidad de garantizar otros derechos constitucionales tales como la vida, la educaciOn y el derecho de asociaciOn.
Teniendo jresente tal situaciOn, el legislador estatutario dispuso que, para que el Responsable del Tratamientp pueda tratar datos sensibles debe realizarlo conforme a Ic establecido en el articulo 6 de la Ley 1581 de 201212 y ademas requiere que se le comunique al titular que los datos que esta pretendiendo recoger son sensibles y que no está obligado a entregarlos.
Condiciones relevantes que garantizarán que el titular entregue o no su consentimiento de manera informada, circunstancia esencial para que proceda el tratamiento de los datos sensibles por parte del Responsable de acuerdo a la ley. Ahora bien, en el caso especifico, segUn los resultados arrojados por la visita de inspeccion realizada el 2 de agosto de 2016, se pudo evidenciar que la investigada realiza tratamiento de los datos persónales recolectados de los visitantes que ingresan al edificlo y los empleados del Responsable, tales coma los nombres, apellidos, tipo de identificaciOn, genera, fecha de nacimiento, tipo de san'gre, Ic cuales se obtienen a través del lector del codigo de barras del documento de identificaciôh. Dicha informacion se recolecta cuando el visitante se presenta en las instalaciones de la copropiedad, y para el caso de los empleados de las empresas que desarrollan sus actividades dentro de la copropiedad, que tambiOn adelantan el mismo procedimiento ante la recepciOn del edificio.
De Ic anteri6r se tiene que el investigado implemento un sistema de lector de scanner de cOdigo de barras, para. controlar el ingreso y la salida de los visitantes y empleados de las empresas que desarrollan actividades dentro de la copropiedad, sin embargo es imperativo aclarar que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, para el momento de la diligencia de inspecciOn, no adelantaba procedimiento alguno para la obtenciOn las autorizaciones previas, expresas e informadas, para el tratamiento de datos personales en los términos senalados en Ia Ley, más aUn cuando se evidenciO que trataban datos sensibles.
Igualmente, debe aclarar este Despacho que al momento de realizar la visita de inspecciOn, no se logrO demostrar que se contaba con la autorizaciOn previa, expresa e informada de los visitantes y empleados de las empresas que desarrollan actividades dentro de la copropiedad en los términos senalados por el articulo 12 de la Ley 1581 de 2 2012, el cual indica lo siguiente: "ArticulO 12.
Deber c/c informar at Titular. El Responsable del Tratamiento, al memento de solicitar a! Titular la autorizaciOn, debera informarle de mariera clara y expresa Ic siguiente: a) El Tratamiento al cual serán sometidos sus datos personales yla finalidad del mismo; b) El caacter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sObre datos sensibles o sobre los dates do las niñas, nines y adolescentes; c) Los derechos quo le asisteri como Titular; d) La idehtificacian, direcciOn fisica a elect rOnica y telefono del Responsable del Tratamiento. °Arilculo 6°.
Tratarniento do dates sensibles. So prohlbe el Tratamiento de datos sensibles, excepto cuando; a) El Titular haya dada su autorizacion expllcita a dicho Tratamiento, salvo an los casas qua par lay no sea requehdo el otorgamiento de dicha autorizacion; b) El Tratamiento sea necesario pam salvaguardar el interes vital del Titular y este so encuentre flsica a jurldicamente incapacitado.
En estos oventos, los representantes legales deberan otorgar su autorizaciOn; a) El Tratamiento sea efectuedo an el curso do las actividades legitimas y con (as debidas garantlas par patio de una fundacion, ONG. asociacion a cualquier atm organiSmo sin ànimo do lucro, cuya finalidad sea pal/lice, filosofica, religiose a sindical, siempre qua so refieran exclusivamente a sus miembms a a (as personas qua mantengan contactos regulates par razOn do su finalidad.
En estas eventos, las datos no so podrén suminis,trar a terceros sin Is autonzacion del Titular; d) El Tratamiento so re/lore a datos quo seen necesarias pare al reconocimiento, ejercicia a defense do un derecho an un pmoeso judicial; e) El Tratarniento tenga una finalidad histOrica, estadistica a cientifica. En este evento deberén adaptarse las rnedidas conducentes a la supresiOn do identidad do los TitulaSs. 'bE 2018 RESOLUCIÔN NCJMERO to Por cual so impone una sanción y se imparten Ordenes administrativas HOJA 7 Paragrafo.
El Responsable del Tratamiento debera conservar prueba del cumplim/ento de to previsto en ci presente art/cu/a y, cuando ci Titular to solicite, entregarle cop/a de esta.' En consecuencia de lo anterior, tampoco fue demostrado que se contara con la autorizaciónpara real izar el tratamiento de datos sensibles en los términos del articulo 222.25.2.3 del Decreto Unico Reglamentario de 2015 que senala lo siguiente: Articulo 2.2.2.25.2.3.
Do Ia autorizacion para of Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se ref/ore el art/cu/a 5 S la Ley 1581 do 2012 estâ pro/i/b/do, a excepcion de los casos expresamente señalados en el articulo 6 de la citada by. En el Tratamiento de datos personales sensib/es, cuando dicho Tratamiento sea pos/Lile con forme a to establecido en el articulo 6 de la Ley 1581 de 2012, deberan cumplirse las siguientes a b//gao/ones: 1.
Informar at titular qua par tratarse de datos sensibles no esta obligado a autorizar su Tratamiento. 2. lnformar at titular de forms expi/cita y pro via, además do los requisitos generates de ía autorizaciOn pam la recobecciOn de cualquier tipo de dato personal, cuáles de los datos que saran objeto do Tratamiento son sensibles y la final/dad del Tratamiento, asi coma obtener su consent/rn/onto expreso.
Nm guns actividad podré condicionarse a que el Titular surninistre datos personales sensibles. Ahora bien, en el caso especifico, segUn los resultados arrojados par la visita de inspecciOn realizada el 13 de septiembre de 2016, se pudo evidenciar que la investigada realiza tratamiento de los datos personales y sensibles recolectados de los visitantes, tales coma los nombres, apellidos, identificacion, fecha de nacimiento, tipo de sangre, los cuales se obtienen a través del lector del codigo de barras del documento de identificaciOn, adicionalmente la recepcionista toma una fotografia cuando el visitante se presenta en las instalaciones de la copropiedad, y para el caso de los empleados de las empresas que desarrollan sus actividades dentro de la copropiedad, realiza tratamiento de datos personales coma cédula, nombre, lector-molinete por el cual ingresO, empresa donde labora, nUmero de tarjeta lectora y género los cuales son ingresados par cada empresa a través de la página web "www.nohagofila.com ".
Si bien es cierto la investigada en su escrito de alegatos de conclusion manifiesta respecto de las autorizaciones para el tratamiento de los datos, que "El EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, no está obligado a solicitar autorizac/On alguna a sus visitantes yb empleados y16 contratistas que ingresan al edificio, para registrar los datos que constan en su cOdula de ciudadanla, que son de caracterpUblico" (fl64);
Contrarlo a lo afirmado por la investigada se encuentra demostrado que ésta calidad de Responsable recolecta no solo datos privados sino ademas datos que están categorizados como sensibles (genero, RH, huella, fotografia, direcciOn y telefono de contacto) tal coma obra en [as imágenes recolectadas en la visita de inspeccian obrante en la carpeta de pruebas a folio 44, en calidad de Responsable de informaciOn recolecta datos personales sensibles de diferentes Titulares de informaciOn sin solicitar autorizaciOn previa expresa e informada para el Tratamiento de los mismos.
De igual forma es pertinente aclarar que el regimen general de protecciOn de datos personales es aplicable a todas las empresas que realicen el tratamiento de datos personales, es decir, que recolecten, almacenen, usen o circulen datos personales. La ley no tiene ninguna excepciOn que excluya su aplicaciOn por el tamano de la empresa, el nUmero de empleados que tenga a la cantidad o tipo de datos personales que administre, tal coma se estipulO en el articulo 2 de la ley 1581 de 2012 el cual reza asi: "( )ARTICULQ 2o.
AMBITO DE APLICACION. Los princ/pios y disposic/ones contenidas en to presento ley seran api/cables a los datos persona/es registrados an cualquier base do datos quo los haga susceptibbes de tratamiento por entidades do naturaleza pUblica o privada. La presente boy apiicaré at tratamiento de datos personates efectuado an territorio cobombiano o cuando al Responsabbe del Tratamiento o Encargado del Tratam/ento no estabiecido en territorio nacionab be sea api/cable to legislaciOn colombians en virtud de normas y tratados internacionales.
El regimen do protecciOn do datos personabos quo se establece en Ia presente boy no será do apl/cac/On: a) A las bases de datos o arch/vos mantenidos en un ámb/to exclusivamente personal o doméstico. Por to ' RESOLUCION NCJMEft& " U — DE2018 HOJA 8 cual so impone una sanciOn y so impaa-ton Ordenes administrativas Cuancio estas bases do datos o archivos vayan a set suministrados a tercems so debera, de manera pre via, informar at Titular y solicitar su autorizaciOn.
En este case los Responsebles y Encargados do las bases do dates ' arc hivos quedaran sujetos a las disposiciones contenidas an to present e Icy; b) A las bases de datos y archivos quo tengan por finalidad ía seguridad y defense nacional, asi come la prevenciOn, dotecciOn, monitoreo y control del la vado de activos y ci financiamiento del terrorismo; c) A las Bases de dates que tengan coma fin y contengan información de inteligencia y contrainteligencia; d)A las bases de datos y archives de inforrnaciOn periodistica y otros contenidos editoi-iales; e)A las bases de datos y archives regulados porla Ley 1266 de 2008;
O A las bases do datos y archivos regulados por ía Ley 79 de 1993.
PARAGRAFO. Los principios sobre protecciOn de dates során aplicables a tedas las bases de datos, incluidas las exceptuadas en el presente articulo, con los Ii mites dispuestos an la presente ley y sin reñir con los datos quo tienen caracteristicas de estar amparados per Ia reserve legal. En el evento qua Ia normatividad especial que reUule las bases de datos exceptuadas prevea principios que ten gan an consideraciOn Ia naturaleza especial de dates, los mismos aplicarán de manera concurrente a los previstos an to presente ley.
En conclusiOn se tiene quo (i) la investigada al momenta de la visita de inspeccion se encontraba recolectando informaciOn personal privada y sensible de los titulares, a trav(?s del sistema de scanner decOdigo de barras, informacion de caracter sensible, sin la autorizaciOn previa, expresa e informada de los titulares y (ii) que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL continUa recolectando datos personales sin cumplir con los requisites de ley, toda vez que mantiene la recoleccion y tratamiento de las huellas dactilares, informaciOn que es considerada por la Ley como un data sensible en razOn a su carécter biometrico.
La anterior teniendo en cuenta que en las pruebas aportadas al presente expediente no se evidencia ninguna que permitd determinar quo se implementO algUn mecanismo para obtener la autorizacion para el tratamiento de datos personales y sensibles de forma previa, expresa e informada del titular. Coma consécuencia do Ia anterior, esta DirecciOn encuentra quo la sociedad investigada incumpliô con el debet establecido en el literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artIculo 4, y el articulo 9 de la misma norma, asi coma el inciso primero del articulo 2.2.2.25.2.2, del Decreto Unico Reglamentario 1074 de 2015, razOn por la cual se impondra la correspondiente sanciOn, asi como tambien se impartira orden administrativa, a fin de que EDIFICIO CARRERA 'SEPTIMA PROPIEDAD HORIZONTAL, adopte los mecanismos necesarios, para obtener las autorizaciones para el tratamiento de datos personales sensibles, de acuerdo con lo establecido en la ley 1581 de 2012. 7.2.3 Res pecto del deber de informar al titular sobre la finalidad de la recolecciôn y los derechos gue le asisten por virtud de la autorizaciôn otorgada.
Sea lo primeço aclarar que el principio de finalidad que se traduce en el deber de informar al Titular Ia que so pretende hacer con su informacion, se encuentra contenido en el articulo 12 de la Ley 1581 de 2012, asl: "ArtIéulo 12. Debar de informer a! Titular. El Rosponsablo del Tratamiento, at memento de solicitàr at Titular Ia autoritacion, dobera informarle do manora clara y expresa lo siguiente: a) Li Tratamiento al cual serén sometidos sus datos personales yla finalidad del mismo, b) El caricter facultativo do ía rospuestq a las pro guntas quo Ic seen hechas, cuando Ostas (sic) v rson sabre dates sensibles o sabre los datos do las niñas, nines y adolescentes. c) Losiderechos quo le asisten come Titular. d) La identificacion, direccion fisica a eiectrOnica y tolefono del Response ble del Tratamiento. pARAdaAFo.
El Responsable del Tratamiento debera conserver prueba del cumplimiento do to pro ti/ste an el presente artIculo y, cuando ci Titular to solicito, entregarle copia do esta". Coma puede observarse, el principio de finalidad, que se encuentra intimamente ligado al principio de libertad, irpone unos limites al tratamiento de los datos que estEn siendo administrados par el Responsable;
Flichos limites se derivan de la naturaleza do la informacion y del uso que se dará a los datos recolectados. En palabras de la Code Constitucional '1.,) [t]arito ei acopio, el procesamiento y RESOLUCIÔN NCJMER04 J a J %E:708 HOJA 9 Par la cuel se impone una sanción y so impatlen Ordenes administratWas ía divulgaciOn do los datos personales, debe obedecer a una final/dad constitucionalmente legitirna, definida do manera clara, suficiente y pre via; de tal forma quo queda prohibida la recopilac/On do datos sin la clara especificac/On acerca de la final/dad do los mismos, asi coma el usa a divulgaciOn de datos para una final/dad diferente a la inic/almente prevista (••)7'13• Dicho principio se hace efectivo al momenta en que se solicita autorizaciôn al Titular, pues es alli en que esta se cumple el término méxima para informarle al Titular los fines de la recoleccion de su informacion, ya quo coma lo dispuso el articula 2.2.2.252.2 del Decreto Unico Reglamentarlo 1074 do 201514 "[e]l Responsable del Tratamiento debera adoptar procedimientos pare sal/c/tar, a mas tardar en el momenta do la recolecciOn do sus datos, la autorizaciOn del Titular para el Tratamiento do las mismos e inforrnarle los datos personales que serán recolectados asi coma todas las final/dades especificas del Tratamiento para las cuales so obtione el consentimiento".
Par Ia indicado, en el momenta en que se solicita informaciOn al titular se le debe informar: (I) el Tratamiento al cual serán sometidos sus dates personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;
(iv) la identiftcaciOn, direccion fisica a electronica y telefono del Responsable del Tratamienta. El Tratamiento de los datas sensibles a que se refiere el articula 5 de la Ley 1581 de 2012 esta prahibido, a excepción de los casos expresamente senalados en el articulo 6 de la citada ley. En el tratamiento de datos persanales sensibles, cuanda dicho tratamienta sea posible conforme a lo establecido en el articulo 6 de la Ley 1581 de 2013 deberan cumplirse las obligaciones senaladas en el articulo 2.2.2.25.2.3 del Decreto (mica Reglamentario 15el cual reza a&: 1.
Informer al titular que por tratarse do datos sons/b/es no está obligado a autorizar su Tratamiento. 2. Informer al titular do forma explicita y pro via, edemas do los requis/tos genera/es do Ia autorizaciOn pare Ia rocalecciOn de cualquier tipo do dato personal, cuáles de los datos quo sorárz objoto do Tratamiento son sensibles y la final/dad del Tratamiento, asi corno obtener su consent/rn/onto oxpreso.
N/n guna act/v/dad podra condic/onarse a quo el Titular suministre datos porsonales sons/b/os (.J". Coma puede observarse, la ley impone unas Ilmites al tratamiento de los datos que estén siendo administrados por el Responsable y Unicamente podran utilizados en Ia forma que el Titular del datos asi lo disponga, esto con elfin de evitar cualquier vulneraciOn de su derecha; los datos sensibles hacen parte del nUcleo esencial del derecho a la intimidad, y segón Ia expuesto par la Carte Constitucional "entend/do coma aquella osfera a espacio do la v/da pr/vada no susceptible do interferoncia arbitraria do las demas personas".
A causa de ello, este Tribunal ha senalada que el simple hecho de que un dato de esa categoria, por alguna razón, Ilegase a hacerse pUblico, no varia su naturaleza. De ahi que, en la sentencia en cita, so haya dicho que: "el hocho do quo un data sensible so haga pub//ca, no Ia con viorto on un data do naturaleza pub//ca quo cualquier persona pueda sometor a tratamiento"16.
Par Ia indicada, en el momento en que se solicita informacion al titular se le debe informar: (i) el Tratamiento al cual seran sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas quo le sean hechas, cuanda estas versen sobre datos sensibles a sabre los datos de las niñas, ninos y adalescentes (Hi) Los derechos que le asisten como titular y;
(iv) la identificaciOn, direcciOn fisica a electrOnica y telefona del Responsable del Tratamienta. Ahora bien, abordando estos aspectas la Carte Canstitucional en sentencia de constitucianalidad C748 de 2011, expuso lo siguiente: Carte Constitucional, sentencia C-748 de 2011. M.P. Maria Victoria Calle Carves. Norma que compilO el Decreto 1377 de 2013 'Par of cual se reglamenta parciaknente Ia Ley 1581 do 2012". ' Par media del cual Se expide el Decreta Unico Reglamentaria del Sector Comercio, Industria y Turismo Carte Constitudonal, senlencia 0-748 de 2011.
M.P. Maria Victoria Calle Correa. RESOLUCION NUMER5 ' ' 43E 2018 HOJA 10 Par /a cual so impene aria sanciOn y so imparten órdenes administrativas "(..) La definiciOn establecida per el legislader estatutarie respondo a une de los cr/tories establocides per Ia CorporaciOn pare 6/ maneje de las bases do dates. Sin embargo, debe hatorse algunas precisienes.
Pot una patio, los dates persona/es deben ser procesades con an prepOsite espec!!ice y explicite. En ese sent/do, la final/dad no solo debe set legitima sine qua la roferida infQrmaciOn so destinara a rea/izar los fines exciusivos para los cue/es fue entregada par el titular. Per 0/la, se deberA informer at Titular del date do manera c/are, saticiente y provia acerca do Ia final/dad do /a infermacion suministrada y per tante, no podra recepilarso dates sin la clara ospecificaciOn acerca do (a final/dad do Jos mismoa Cualquior utilizaciOn div4rs a, debera set autorizada en forma expresa pot el Titular.
Este proc/sian as re/even to on la medida quo permite an control per patio del titular del date, an tanto le as pesible vorificar si osta sionde usade pare la final/dad per 01 auterizada. Es una1 horrarnionta ut/I pare ovitar arbitrariodades on ol manoje de Ia infermaciOn per parte do quion trata el date. As! I mismo, los dates persona/es deben ser precesades sole on la forma quo Ia persona afedtada puedo razonab/emente prover Si, con of tiomnpe, el use do los dates persona/es cambia a fermas quo la persona razenab/emonto no espera, debe ebtenerso el consentimiente previe del titular.
Per ptre lade, do acuerdo Ia jurisprudencia constitucional y los estandaros intemacienales relacienades previamonte, so observe quo el pr/nc/pie do finalidad imp//ca tambien: (i) un ambito temporal, es decir queel per/ode do censervaciOn de /es dates persona/es no oxcdda del necosarie pare alcanzar la necesidad con quo so han registrade y (ii) un âmbito matérial, quo exige quo les dates recaudades seen les estrictamente necosaries pare las finalidados porseguidas ( )".
Asi las cosas, en el caso en concreto se tiene que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL al momento de efectuar la visita de diligencia, no cumplFa con el deber de informar a los titulares de la inforrnación, de manera previa, sobre la finalidad o finalidades del tratamiento al que serian-spmetidos los datos recolectados, ni los derechos que como titulares de a informaciOn le asistian ma's aün cuando se realiza el tratamiento de datos sensibles.
Ahora bien, en escrito de alegatos de conclusion la investigada aporta prueba mediante la cual certifica la existencia y publicidad de un aviso informativo a través del cual so informa a los Titulares de informaciOn al autonomia para otorgar su autorizaciOn para el tratamiento de sus datos personales, no obstante, se reitera que para el momento en que se llevo a cabo la visita de inspecciOn la investigada no contaba con ninguna de esas herramientas informativas; razOn por la cual es posible determinar que €1 EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL incumpliô con el deber contenido en el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancid con el literal b) del articulo 4 y el articulo 6 de la norma en mencion, razOn por Ia cual se impondrã la correspondiente sanciôn, 7.2.4.
Deber de conservar la información balo las condiciones de se g uridad necesarias. El articulo 15de la Constitucian Politica debe interpretarse de manera armônica con los principios de circulaciOn restringida y de seguridad, de tal manera que se debe tener presente que los responsablesi del tratamiento deben garantizar, entre otras cosas, que la informacion personal no sea divulgada a traves de correo electranico a otros titulares.
Ahora bien, aun existiendo el consentimiento de éste, la divulgaciOn, circulaciOn y acceso de los datos tiene que estar controlado y restringido,frente a terceros no autorizados, razOn par la cual la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, como Ic es el de "conseivar la /nformac/On baje las cendicienes do seguridad necosarias para impedir su adu!teracion perdida consulta, use o acceso no autorizado 0 fraudulento".
Precisamente 1el articulo 4 de la Ley 1551 de 2012 establece los principios para el Tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulaciOn restringida y el de seguridad que senalan lo siguiente: "1) RESOLIJCION NCJMERO DE 2013 HOJA 11 Por Ia cual so impone tine sanciôn y so imparton Oniones administrativas g)Principio de seguridad: La /nformaciôn sujeta a Tratamiento por 0/ Responsable del Tratamiento o Encargado del Tratamionto a quo se ref/ore la presente Joy, so debera manejar con las medidas técnicas, humanas y administrativas quo seen necesarias pare otorgar seguridad a los registros evitando su adultera c/On, pOrdida, consulta, uso o acceso no autorizado o fraudulento; h)Principio de con fidencialidad: Todas las personas qua intervengan en el Tratamiento do datos persona/es quo no tongan Ia naturaleza do pOblicos estén ob/igadas a garantizar Ia reserva do Ia informaciOn, inclusive despues do finalizada su re/ac/on con alguna do las labores quo comprende el Tratamionto, pudiendo sOlo realizer suministro o comunicaciOn de datos persona/es cuando ello corresponda al desarrollo de las actividades autorizadas an la presents byy an los terminos do la misrna.
( ),,. Como se advierte, tanto el principio de acceso y circulacion restringida coma el do seguridad deben ser cumplidos par los Responsables y Encargados de informacion para garantizar el derecho de habeas data de los titulares, pues de la adopciOn de medidas de conservación de la infarmaciOn y de los controles de seguridad implementadas depende que se minimicen las riesgos de filtracion de los datos personales.
En relacion al caso especifico, a partir de la diligencia de inspecciOn, logro establecerse que el contrato laboral de la funcionaria que cuentan can acceso a las bases de datos, tienen Unicamente clãusulas generales de confidencialidad de la informacion, las cuales no resultan ser suficientes para el cumplimienta de La prevista en el literal h) del articulo 4 de la Ley 1571 de 2012, es decir, que garantice la reserva de la infarmaciOn abtenida por causa o con ocasiOn a su contrato, inclusive despues de finalizada su relacion laboral.
Par otra parte, tambien fue posible determinar en la visita de inspeccion, que la investigada contaba con un sistema do video vigilancia el cual almacena ]as grabaciones por un maximo de 4 meses y se reescribe, que so encontraban ubicados en uno de los sótanos del pargueadero. De igual forma, tambien se encontró que las claves de acceso del sistema M tilizadas par las recepcianistas del edificio son las mismas, no se cierra la aplicaciOn y cuando hay cambio de turno, se continua con la sesiOn abierta, en dichos computadores funciona el puerto USB I tiene habilitada la tecla de captura do pantalla.
La informacion recopilada se almacena de seis meses a un año en el servidor, luego de esto se elimina. No se evidencia una politica de eliminaciOn de datos definida, ni poseen politica de seguridad de la informacion documentada, situacion, a partir de la cual este Despacho cansidera que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL en Ia fecha en Ia que de adelantO la visita no contaba con [as medidas de seguridad necesarias para impedir su adulteracion, perdida, consulta, usa a acceso no autarizado a fraudulento.
Coma cansecuencia de lo anterior, esta Direccion encuentra que la sociedad investigada incumpli con el deber establecida en el d) del articulo 17 de la Ley 1581 de 2012 en concordancia con lo literales f), g) y h) del articulo 4 de la misma norma, razon por la cual se impondrá la correspondient sanciOn y se impartira una orden encaminada a implementar las medida apropiadas y efectivas, par cumplir las obligaciones establecidas en la Ley 1581 de 2012, acorde con el principlo d responsabilidad demostrada establecido en el Decreto 1074 de 2015.
Canforme al principia de legalidad en materia de datos personales, cualquier forma de Tratamiento de informacion personal desde su recolección hasta su dispasicion final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino también en la normatividad que sabre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Unico Reglamentarlo 1074 de 201517; to que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatariedad y carácter vinculante que la ley estatutaria.
Es deber de los responsables adopter un manual interno do politicas y procedimientos pare garantizar el adecuado cumplimiento do la presente byy en especial, para la atenciOn do consultas y reclamos, contemplada en el literal k) del artIcula 17 de la Ley 1581 de 2012, toda vez que [as Por media del cual Se expide el Decreto Unico Reglanienlarlo del Sector Cornercio, Industria y Turismo, none que cornpilo, entre otros, el Deaeto 1377 de 2013 que reglamenta parte del articulado de la Ley 1581 de 2012.
RESOLUCION NUMERO " DE 2018 HOJA 12 Per /a cual se impone una sanoiôn y Se imparten órdenes administrativas politicas cle tratamiento de la informacion hacen parte del manual interno de politicas y procedimientos adoptado par los Responsables y Encargados del Tratamiento, ya que par medic de este se IS informa a Los Titulares cuáles son sus derechos, quien es el Responsable de la informaciOri y el fin para el cual van a ser tratados sus dates.
De otra parite el articulo 2.2.225.3.1 del Decreto Unico Reglamentario 1074 de 2015, se establece el contenido minimo que debe una politica de tratamiento de La informacion, el cual indica Ic siguiente: "s4rticulo 2.2.2.25.3.1. Politicas de Tratamiento de la informacion. Los responsables del tratamiento deberan desarro/lar sus po/iticas pare el tratamiento de los datos persona/es y ve/r porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las 1 politicas de Tratamiento de la informaciOn deberan constar an medio fisico 0 electrOnico, an kin lenguaje c/aro y sencillo y ser puestas an conocimiento do los Titulares. Dichas po/iticas deberan incluir, POT /0 menos, Ia siguiente informaciOn: 1. Nombre o razOn social, domici/lo, dirección, con-eQ electrOnico y telefono del Responsable. 2. 7ratamiento al cual seran sometidos los dates y finalidad del mismo cuando esta no se hay4 informado mediante el aviso de privacidad. 3.
Drechos quo le asisten come Titular. 4. Persona o érea responsable de Ia atenciOn de peticiones, consultas y reclamos ante Ia cual el titular de la informaciOn puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorizaciOn. 5. Procedimiento para qua los titulares de la informaciOn puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir informaciOn y revocar la autorizaciOn. 6.
Fecha de entrada an vigencia de la politica de tratamiento de to informaciOn y periodo de vigencia de la base de datos. Cual4uier cambio sustancial en las politicas de tratamiento, an los términos descritos en el articUlo 50 del presente decreto, debera ser comunicado oportunamente a los titulares do los dates persona/es de una manera eficiente, antes de implementar las nuevas politicas." La reunion de estos elementos permiten garantizar "el ambito de protecciOn del derecho do habeas 18 pues resultan oponibles al sujeto obligado en los procesos de recoleccion, tratamiento, data" circulaciOn y 'disposiciOn final de dates, asi coma también permite garantizar a los Titulares el pleno y efectivo ejdrcicio del derecho de Habeas Data a través de la implementacion y puesta en marcha, de los prindipios Clue rigen el Tratamiento de los dates personales mediante herramientas claramente definidas y los procedimientos para su implementacion.
En efecto, el IResponsable tiene el deber de tratar la informacion que se encuentra almacenada en su base de datos bajo las medidas minimas establecidas, per el regimen de protecciOn de datos personales, plues asi Ia dispuso la Ley 1581 de 2012 cuando senalO en su articulo 25 incise tercero, que "[Ijas polIticas do tratamiento en nm gUn caso podran ser inferiores a los deberes contenidos en la presente by", disposicion que, igualmente, refuerza la hipátesis esgrimida entorno a que mediante la politica de tratamiento se pretende cimentar los pilares de la protecciôn al derecho.
Sin perjuicio de Ia anterior, el Decreto Unico Reglamentario 1074 de 2015 atorgO la posibilidad para que en caso en que no sea posible poner a disposicion del Titular las politicas de tratamiento de la informacion, lbs responsables puedan informar par media de un aviso de privacidad sabre la existencia de tales politicas y la forma de acceder a las mismas, de manera oportuna y en todo case a mas tardar ál memento de la reColección de los dates personales, siempre y cuando se observen los requisites del articulo 2.2.2.25.3.3 del decreto en cita;
Asi las cosas, en el presente case particular, se tiene que en la diligencia de inspecciOn el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, no habla adoptado un manual de politicas y procedimientos internos en los términos establecidos en el literal k del artIculo 17 de la Ley 15981 de 2012, citado.F1Jo posee guias y manuales asociados a la forma de ejecutar los procesos acordes con los deberes establecidos en la Ley 1581 de 2012.
" Corte Constitucional. sentencia C-748 de 2011. M.P. Maria Victoria Cane Correa RESOLUCION NUMERO DE 2018 HOJA 13 Por Ia cual so impono una sanciôn y so imparten Ordenes administrativas En el mismo sentido, tampoco se hallô en desarrollo de la diligencia, la existencia y publicaciOn de la politica de tratamiento de datos y del Aviso de privacidad en los términos del artIculo 2.2,2.25.3.2 del Decreto Unico Reglamentario 1074 de 2015.
Ahora bien, la investigada en su escrito de alegatos de conclusion aduce contar con un Manual de usuario el cual contiene el procedimiento para atender quejas y reclamos, el cual obra en el expediente a folios del 22 al 32; producto de las pruebas recolectadas en la diligencia de inspecciOn, sin embargo es pertinente aclarar que dicho manual no se encuentra documentado bajo los términos establecidos en la Ley 1581 de 2012 y de conformidad con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, por to tanto se tiene como hecho cierto que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL al momento de dicha diligencia no contaba ni con la Poiltica de Tratamiento de Datos Personales ni con el Aviso de Privacidad en los términos de la by.
Mi mismo, de la informaciOn aportada por el investigado en escrito de alegatos de conclusion, se tiene que si bien aporto una foto de un aviso de protecciOn de datos personales (fl.64 anverso) el mismo no se tendra en cuenta, toda vez que para la fecha de la inspeccion el mismo no se encontraba en funcionamiento dentro do las instalaciones do la investigada, razOn por la cual este Despacho impartira la orden correspondiente a fin de que el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, adopte la politica de tratamiento de la información, atendiendo las observancias establecidas en el articulo precedido.
Como consecuencia de lo anterior, esta Direcciôn encuentra que la sociedad investigada incumpliO con el deber establecido en el k) del articulo 17 de la Ley 1581 do 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto ünico Reglamentario 1074 de 2015, razOn por la cual se impondra la correspondiente sanciOn. 7.2.6 Conclusiones En el caso sub-examine, es claro que la sociedad investigada incumpliO con los deberes senalados por la Ley como Responsable de la informacian, en razOn a que la copropiedad implementO Un sistema mediante el cual recolecta datos personales de los titulares de la informacion "dentro de los cuales recolecta datos personales sensibles", sin embargo se evidencia que la misma adelantO esta implementacion sin atender los deberes establecidos por la Ley 1581 de 2012, pues como bien se expuso y se demostro a lo largo de Ia presente investigaciOn, el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, (i) recolectO informaciOn privada y sensible sin autorizaciOn, previa, expresa e informada de los titulares de informacion;
(ii) no informa a los titulares sobre la finalidad de la recolecciOn y los derechos quo le asisten por virtud de la autorizaciOn otorgada; (iii) no contaba con una politica para el tratamiento de la informaciOn, el aviso de privacidad, ni con el manual interno para el tratamiento de la informaciOn; (iv) no conservo la informaciOn recolectada, bajo las condiciones de seguridad necesarias;
(v) no contaba con un procedimiento para la atenciOn para consultas, quejas y reclamos y tampoco divulgO un canal do atencion para que los titulares pudieran ejercer sus derechos. Lo anterior conlleva a esta DirecciOn a concluir que con la conducta mencionada, vulnero el derecho fundamental de habeas data de los titulares, el cual se encuentra expresamente protegido por la ConstituciOn Polltica y enmarcado dentro de los principios de la administraciOn de datos, establecidos en el articulo 4 de la Ley 1581 de 2012, quo para el caso particular, el EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL en calidad de Responsable de informaciOn, debe enmarcar sus actuaciones de conformidad con los principios previstos en la mentada ley.
En consecuencia, no hay lugar a dudas para esta DirecciOn acerca de la dimension del dano que efectivamente se materializO en el caso en cuestiOn, por cuanto EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL no observO deberes de obligatorio cumplimiento contemplados en el articulo 17 de la Ley 1581 de 2012.
OCTAVO: lmposición y graduacion de la sanciôn 8.1 Facultad sancionatoria La Ley 1581 do 2012 le confiriO a la Superintendencia de industria y Comercio una potestad sancionatoria que se concreta en el artIculo 23 de la Ley 1581 de 2012, estableciendo algunos RESOLUCION NUMERth i b 3 Q bTh 1-IOJA 14 Pot Ia cual se impono una sanciOn y so imparten ordones administrativas VERSION PCJBLICA criterias de graduaciOn que se encuentran senalados en el articulo 24 ibidem, por Ia tanto, atendiendo dichos criterios, este Despacho entrarä a determinar cuales debera tener en cuenta en el caso concreto, asi: 8.1.1 lmpoiciOn y graduaciOn de ía sanciOn Respecto de las sanciones que se imponen por la infracciOn al Regimen de Proteccion de Datos debe precis arse que conforme al principio de proporcionalidad Clue oriental el derecho administrativo sancionatorio, La autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcio'nada, de modo Clue logre el equilibrio entre la sanciOn y la finalidad que la norma establece, as[ como la proporcionalidad entre el hecho constitutivo de la infraccion y la sanción aplicada.
Sobre la aplicacion de este principio la Carte Constitucional ha senalado: En cuanto el principio de proporcionalidad en mater/a sancionatoria administrativa, este (sic) exige que tanto la falta descrita como la sanciOn correspondiente a /8 misma que resulten adecuadas a los fines de la norma, esto es, a ía rea/izac/On de los j5rincipios que gobieman la funciOn pUb//ca.
Respecto de ía sanciOn administrat/va, la proporcionalidad imp//ca que el/a resulte excesiva en rigidez frentq a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misrna gravedad19. De esta forma para la correcta adecuaciOn de los hechos y la sanciOn aplicable, & operador juridico en materia de protecciOn de datos personales, debe en primera medida analizar la dimension del daft a peligro a las intereses juridicos tutelados, asi coma el posible beneficio economico para luego analizr otras circunstancias concurrentes de graduaciOn tales coma la capacidad económica del investigado, la reiteracion de la infraccion, asi como la colaboracion del investigado para esclarecer los hechos materia de investigaci6n20.
Tambien se tendrân en cuenta para la dosiflcación de la sanciOn, el tamano de la empresa, sus ingresos operacionales, su patrimonio, y, en general, su informaciOn financiera, de tal forma que la sanciOn resulte disuasoria mãs no confiscatoria. Finalmente, se tendràn en cuenta la conducta de la investigada durante el trémite de la investigaciOn administrativa.
De la lectura de la norma citada, resulta claro que para que haya lugar a la imposiciOn de una sancion par parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses juridicos tuteladas por la Ley 1581 de 2012. De la lectura; de Ia norma citada, resulta claro Clue para que haya lugar a la imposiciOn de una sancion par parte de este Despacho, basta Clue la conducta desplegada par la investigada haya puesto en peligro los intereses juridicos tutelados por la Ley 1581 de 2012.
Para el case que nos ocupa es claro Clue la sociedad investigada vulnerô los deberes contemplados en (i) el literal b) del artIculo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del articulo 4 y el articulo 9 de la misma norma asi coma el inciso primero del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015; (ii) el literal c) del articulo 17 en concordancia 'con el literal b) del articulo 4 asi coma el articulo 6 de la Ley 1581 de 2012, en concordancia pan el inciso primero del articulo 2.2.2.25.2.2 del Decreto linico Reglamentario 1074 de 2015, (iii) el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 de la misma norma, (iv) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia bon el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015.
Por to indicado, esta; Superintendencia impondra par esta conducta como sanciOn, la suma de CIENTO SESENTA (160) salarios minimos legales mensuales vigentes y se impartirán las ordenes que correspondan. '9 Carte Constilucional.I Sala Plena. Sentencia C-125 del 18 de febrero de 2003. Ex. Red. 04059 Magistrado Ponente Or. Marco Gerardo Monroy Cabra., '° Articulo 24 de la Leg 1581 de 2012. - 2018 RESOLUCION NUMERO DE HOJA 15 Por ía cual se impone una sanciOn y se imparten ordenes administrativas 8.1.2 Otros criterios do graduaciOn Por Ultimo se aclara que los criterios de graduacion de la sanciôn senalados en los literales b), c), d) y e) del articulo 24 de la Ley 1581 de 2008 no seràn tenidos en cuenta debido a que (i) dentro de la investigaciôn realizada no se encontró que la investigada hubiera abtenido beneficio económico alguno por la comisiOn de la infracciOn, (H) no hubo reincidencia en la comisiOn de la infraccion, (Hi) no hubo resistencia u obstruccion a La acciOn investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las Ordenes e instrucciones del Despacho.
Par Ultimo se aclara que los criterios de graduacion de la sanciOn señalados en los literales b), d), e) y f) del artIcuto 24 de Ia Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigaciOn realizada no se encontro que Ia investigada hubiera obtenido beneficio econOmico alguno por la comisiOn de la infracciOn, (ii) no hubo reincidencia en la comisiOn de la infraccion, (Hi) no hubo resistencia u obstruccion a la acciOn investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las ordenes e instrucciones del Despacho.
El criterio de atenuacion senalado en el literal fl del articulo citado no se aplica toda vez que el investigado no reconociO o aceptO la comisiOn de la infracciôn NOVENO: Orden administrativa En este orden de ideas, y una vez analizadas las pruebas obrantes en el expediente y en virtud del literal b) del articulo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el "(a)delantar las investigaciones del case, do oficio o a pet/dOn de parte y, come resultado de el/as, ordenar las medidas quo sean necesarias para hacer elective e/ derecho de habeas data (. 4", esta Instancia procedera a impartir la siguiente orden: 9.1 El EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL debera demostrar que implemento las medidas apropiadas a fin de que, adopte, si no 10 ha realizado, Los mecanismos necesarios, para obtener las autorizaciones para el tratamiento de datos personales sensibles, de acuerdo con lo establecido en la ley 1581 de 2012. 9.2 En el mismo sentido debera ajustar la "po/itica de tratamiento do dates persona/es" en los términos establecidos en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, de manera que contenga (i) Nombre o razOn social, domicilio, direccion, correo electrOnico y telefono del Responsable.
(H) Tratamiento al cual serân sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad; (iii) Derechos que le asisten como Titular; (iv) Persona a area responsable de la atencion de peticiones, consultas y reclamos ante la cual el titular de la informaciOn puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el data y revocar la autorizaciOn;
(v) Procedimiento para que los titulares de la informacion puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir informacion y revocar la autorizaciôn; (vi) Fecha de entrada en vigencia de la polltica de tratamiento de la informacion y periodo de vigencis de la base de datos. 9.3 Implementar un manual interno de politicas y procedimientos en especial para la atencion de peticiones, consultas y reclamos de los titulares do informacion de acuerdo al deber establecido en el literal k) del artIculo 17 de la Ley 1581 de 2012. 9.4 Demostrar que implemento ]as medidas apropiadas y efectivas para quo la informacion de los titulares permanezca bajo las condiciones de seguridad necesarias para impedir su adulteraciOn, perdida, consulta, usa a acceso no autorizado.
En mérito de lo expuesto este Despacho, R ESIJ E LVE ARTICULO PRIMERO: Imponer una sanciOn pecuniaria a la sociedad EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, identificado con el Nit. 800.178.639-2, de CIENTO VEINTICUATRO MILLONES NOVECIENTOS NOVENTA V OCHO MIL SETECIENTOS VEINTE PESOS M/cte. ($124.998.720.00), equivalente a CIENTO SESENTA (160) salarios minimos legales mensuales vigentes, por el incumplimiento de los deberes establecidos en (i) el literal b) del articulo RESOLUCION NUMER& ' DE 2018 HOJA 16 VERSION POBLICA 17 de la Léy 1581 de 2012 en concordancia con el literal c) del articulo4 y el articulo 9 de la misma norma as[ como el inciso primero del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015;
(H) el literal c) del articulo 17 en concordancia con el literal b) del articulo 4 asi como el articulo 6 de la Ley 1581 de 2012, en concordancia con el inciso primero del articulo 2.2.2.25.2.2 del Decreto Cinico Reglamentario 1074 de 2015, (iii) el literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literales g) y h) del articulo 4 do la misma norma, (iv) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto ünico Reglamentrio 1074 de 2015..
PARAGRAFO: El valor de la sanciOn pecuniaria que por esta resolucion se impone, debera consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 05000024-9, a nombre de 'Direccion del Tesoro Nacional - Fondos Comunes, Código Rentistico No. 350300, Nit. 8999990902. En el recibo debera indicarse el nUmero del expediente y el nUmero de Ia presente resoluciôn. I El pago deberá acreditarse ante la pagaduria de esta Superintendencia, con el original de la consignacion, dentro do los cinco (5) dias hábiles siguientes a la ejecutoria de esta resoludon.
ARTiCULO'SEGUNDO: Ordenar al EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, identificado con el Nit. 800.178.639-2, que adopte los mecanismos necesarios, para obtener las autorizaciones para el tratamiento de datos personales sensibles, de acuerdo con lo establecido en la ley, confokme se señala en la parte motiva del presente acto administrativo.
ARTICULO,TERCERO: Ordenar al EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, identificado con el Nit. 800.178.639-2, que (i) implemente las medidas apropiadas a fin de que, adopte, si no lo ha realizado, los mecanismos necesarios, para obtener las autorizaciones para el tratamiento de datos personales sensibles, de acuerdo con lo establecido en la ley 1581 de 2012.
(U) deberá ajustar la "poiltica de tratamiento de datos persona/es" en los terminos establecidos en el articulo 2.22.25.3.1 del Decreto Unico Reglamentarlo 1074 de 2015, tal como se senala en Ia parte motiva del fresente acto; (Hi) Implemente un manual interno de politicas y procedimientos en especial para la atenciOn de peticiones, consultas y reclamos de los titulares de informacion y (iv) deberã demostrar que implemento las medidas apropiadas y efectivas para que la informaciOn de los titulares permanezca bajo las condiciones de seguridad necesarias para impedir su adulteraciOn, perdida, conèulta, uso o acceso no autorizado.
ARTCULO 9UARTO: Notificar personalmente el contenido de la presente resolucion al EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL, identificado con el Nit. 800.178.639-2, a través de su apoderado o representante legal, entregãndoles copia de la misma e informandoles que contra ella pçocede recurso de reposicion ante el Director de InVestigaciôn de ProtecciOn de Datos personalesel de apelaciOn ante el Superintendente Delegado para la Proteccion de Datos Personales, dentro de los diez (10) dias siguientes a la diligencia de notificacion.
NOTIF1QLJESE,
COMUNIQUESE Y CUMPLASE Dada en Bogota D. C.2 2 JUN 2018 El Director de Investigacion de Proteccion de DatoE MUtIOZ ProyectO: MYLP Reviso: CESM Aprobo: CESM RESOLUCION NUMERO 1W;;c Por /8 cual se impone una sanciOn y se imparten ôrdenes adminisfrativas NOTIFICACION: Entidad: EDIFICIO CARRERA SEPTIMA PROPIEDAD HORIZONTAL ldentificaciOn: Nit. 800.178.639-2 Representante legal: Luis Carlos Sabogal Codes ldentificaciOn: C.C. No.79.940.403 Dirección: Carrera 7 No. 71 -52 Ciudad: Bogota D.C. Correo electronico: gerencialosvenados.orq asistentelosvenados.org HOJA 17