(22 de agosto de 2024) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 20-161988 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que en virtud de la denuncia presentada por el señor XXXXXX XXXX XXXXXXX, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, denominada por su sigla GASES DE OCCIDENTE S.A. E.S.P. identificada con NIT. 800.167.643-5, por lo que este Despacho decide iniciar investigación administrativa con fundamento en los siguientes hechos: 1.1.
En la queja se afirma que: “(…) Los datos personales están quedando expuestos en internet cuando se realiza un reclamo o queja a través de la plataforma web de la empresa GDO. Si se busca en Google mi número celular o Nombre y apellido aparecen todos mis datos personales Nombre, apellidos, dirección, correo electrónico esto viola la ley de protección de datos por lo que requirieron que sean eliminados.
(…)”. 1.2. Para soportar su denuncia, el señor XXXXXX XXXX XXXXXXX allegó la siguiente captura de pantalla:
SEGUNDO: Que, dentro de la actuación administrativa adelantada por esta Dirección, se recolectaron preliminarmente los siguientes medios de prueba que se enlistan a continuación: “Por la cual se impone una sanción y se imparten órdenes administrativas”. 2.1. Por medio de Oficio 20-161988-4 se envió requerimiento de información del 15 de marzo de 2021 dirigido a la sociedad GASES DE OCCIDENTE S.A. E.S.P. solicitando que informara lo siguiente: “1.
Informe cuáles datos del reclamante se encuentran en sus bases de datos. 2. Informe cómo recolectó los datos del reclamante. 3. Informe si cuenta con la autorización previa, expresa e informada del reclamante. 4. Respecto a la captura de pantalla expuesta a continuación informe: […] 4.1. ¿Cuáles son las condiciones de seguridad que implementa la página web de esa sociedad? 4.2.
¿Por qué se exponen los datos personales del reclamante en la página web de esa sociedad? 4.3. ¿Qué datos personales son solicitados por esa sociedad en el proceso de presentar una PQR? 5. ¿Ha recibido alguna PQR por parte del reclamante con relación al Tratamiento de sus datos personales? De ser afirmativa su respuesta allegue la contestación de esta junto con la guía de envío. 6.
Informe las políticas internas de seguridad bajo los cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 7. Allegue copia del Manual de Seguridad implementado e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. […]” 2.2.
A través de comunicación 20-161988-5 del 21 de marzo de 2021 mediante la cual la sociedad GASES DE OCCIDENTE S.A. E.S.P., por intermedio de su representante legal, dio respuesta al requerimiento de información del 15 de marzo de 2021 informando lo siguiente: “1. […] Una vez verificado nuestro sistema de información, en especial los sistemas Open Smart Flex (OSF) y PQR´s, los cuales son utilizados para la administración de nuestros clientes y la atención y respuesta de las peticiones, quejas y reclamos de los usuarios.
Encontramos que los datos del reclamante que se encuentran en nuestras bases de datos son: el nombre, teléfono, dirección, ciudad o municipio y correo electrónico. 2. […] La información fue recolectada a través de la página web www.gdo.com.co; con ocasión de PQR´s radicadas por el Titular de los datos, relacionadas con el servicio de gas natural del predio del cual el reclamante es el arrendatario.
La siguiente tabla muestra las quejas y solicitudes realizadas por el titular de los datos. 3. […] En el caso de la referencia, la autorización del Titular fue otorgada a favor de GDO de manera previa, expresa e informada mediante la conducta inequívoca del Titular al radicar en el portal web https://www.gdo.com.co/Paginas/Registro-de-pqrs.aspx una PQR´s 1 de agosto de 2019 y una solicitud para la revisión periódica el 12 de marzo de 2021 ante esta Organización, de conformidad con lo establecido en numeral iii) del Artículo 7 de Decreto 1377 de 2013.
En relación con la autorización por medio de conducta inequívoca se ha entendido que esta se obtiene a partir de conductas evidentes, claras e incontrovertibles del titular que no admiten duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados. En ese sentido, el consentimiento se concluye de “forma razonable” a partir de la conducta del titular.
En efecto en el caso bajo análisis, al radicar una PQR ante GDO, son requeridos datos personales generales de cada solicitante con el fin de procesar y gestionar cada solicitud en debida forma. Así: “Por la cual se impone una sanción y se imparten órdenes administrativas”. En estos escenarios, un solicitante, incluido el Titular de la referencia, entiende de forma razonable que al entregar su información personal esta será recolectada y tratada por parte de GDO con la finalidad de atender su petición, consulta, queja y reclamo, en cumplimiento de los deberes legales asignados a GDO mediante la Ley 142 – Ley de Servicios Públicos Domiciliarios.
Asimismo, la conducta de los solicitantes consistente en diligenciar los campos de información con sus datos personales permite concluir que estos solicitantes, incluido el Titular de la referencia, otorgan su consentimiento para que GDO trate sus datos personales. Por lo cual, GDO de forma razonable concluye que los solicitantes han autorizado el tratamiento de sus datos personales. […] 4.1 […] La página web de GDO cuenta con un certificado de seguridad emitido por un ente certificador válido (GlobalSign), se tienen reglas definidas en los firewalls perimetrales que controlan el tráfico y se tienen sistemas de detección de intrusos (IPS) que proveen protección ante ataques externos. 4.2 […] La página web mediante la cual se tramitan las PQR´s ante GDO funciona en la plataforma de Microsoft SharePoint.
La información se guarda en una lista, las cuales se encontraban publicadas mas no visibles en la página web de GDO, por lo cual se identificó que podían aparecer los resultados en las búsquedas desde Google Chrome, situación que fue detectada y corregida el 9 de septiembre de 2020, cuando se confirmó que se eliminó la publicación de la lista y el proceso de reindexación de la opción de PQR solicitado a GOOGLE fue aplicado de forma correcta, solucionando así la causa raíz del problema. 4.3 […]Se solicita el nombre, teléfono, dirección, ciudad o municipio, correo electrónico y número de contrato. 5. […] Al 30 de marzo de 2021, GDP no se ha sido notificado de una queja o reclamo por parte del Titular, con relación al tratamiento de sus datos personales.
Las PQR´s recibidas por parte del Titular corresponden a temas relacionados con el servicio de gas natural, de conformidad con lo mencionado en el punto 2 del presente escrito. Al respecto, llamamos la atención del Despacho en la ausencia frente al cumplimiento del requisito de procedibilidad contemplado en el Art. 16 de la Ley 1581 de 2012 según el cual, un titular “solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el responsable del Tratamiento o Encargado del Tratamiento”, lo cual no ocurrió en este caso.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. Sin perjuicio de lo anterior, resaltamos que cualquier pretensión de eliminación de información del Titular se encuentra superada con la implementación de las medidas tomadas en el pinto anterior. En efecto, al ingreso el número celular del Titular en el buscador Google, mecanismo utilizado por este al momento de presentación de queja ante este Despacho, su información personal no aparece visible, veamos: 6. […] Nuestra organización cuenta con Políticas y Procedimientos de Seguridad de la información orientados no solo a la protección de la información de los titulare, sino a toda la información que reposan en los sistemas de información y base de datos de la compañía, sobre los cuales damos un nivel de detalle más amplio, en respuesta a la inquietud número 7.
GdO cuenta con un Programa Integral de Protección de Datos Personales que da cumplimiento a los lineamientos de la Responsabilidad Demostrada de acuerdo a los establecido por el decreto 1377 de 2013 y a las directrices de la Ley 1581 de 2012, que entre otros incluye el compromiso de la alta dirección, designación del oficial de protección de datos personales, actividades de control en los procesos organizacionales, mantenimiento de la información del Registro Nacional de Base de Datos, capacitación y sensibilización para la protección de datos, evaluación y monitoreo continuo del programa.
Adicionalmente, contamos con la Política de Protección de datos personales que adicionamos a continuación y que se encuentra igualmente disponible en nuestra página web. Adjunto la “Política de Tratamiento de Datos Personales GDO”. 7. […] 1. Adjunto la “Política Corporativa de Seguridad de la Información” 2. Medidas de Seguridad implementadas para salvaguardar la información de los datos personales: La compañía cuenta con medidas de seguridad lógicas, físicas y administrativas las cuales se pueden clasificar en nivel alto, medio y bajo, conforme al riesgo que pueda derivar de la criticidad de los datos personales tratados.
En desarrollo del principio de SEGURIDAD, GDO adopta una normativa general sobre estas medidas que son de obligatorio acatamiento en todo nivel jerárquico, teniendo en cuenta las directrices indicadas por la Superintendencia de Industria y Comercio. Entre estas medidas, tenemos las siguientes: • Controles técnicos a nivel de accesos a los sistemas de información. • Asignación de roles a nivel de sistemas de información para que los accesos sean adecuados y autorizados de acuerdo con las funciones de cada cargo. • Procedimientos administrativos de control y aprobación de accesos a los aplicativos core del negocio. • Herramientas tecnológicas para mitigar riesgos de fuga de información (DLP). • Monitoreo de la actividad de usuarios privilegiados sobre bases de datos.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. • Procedimiento de instalación de actualizaciones de seguridad a nivel de servidores y estaciones de trabajo • Pruebas periódicas de ethical hacking para detectar y corregir debilidades de seguridad en la plataforma tecnológica. • Sistemas de protección perimetral de la red de usuarios y servidores de aplicaciones (firewall, IPS, etc.) • Procedimientos de gestión de incidentes de seguridad y ciberseguridad basados en estándares internacionales. • A nivel de equipos de usuario final se cuenta con sistema de antivirus, filtros de navegación, restricción de unidades y puertos para la extracción de información mediante dispositivos de almacenamiento externos, entre otros.
En suma, de lo anterior, y sin perjuicio de la existencia eventual y aleatoria en fallas técnicas, los cuales son predecibles en materia de sistemas de información, GDO trabaja arduamente para que estas medidas logren la protección efectiva de la información personal y porque todo procedimiento interno establecido sea eficiente de cara al riesgo que pretende mitigar.
GDO es consciente de sus deberes en materia de protección de datos personales, particularmente aquellos derivados de los principios de seguridad, confidencialidad y acceso y circulación restringida. En ese orden de ideas, aun cuando entendemos que es posible que se presenten fallas en algunas de estas medidas de seguridad de la información, GDO tiene el compromiso de actuar de manera rápida y diligente de tal manera que se evite una materialización del riesgo de los datos personales de los titulares que hacen parte de sus grupos de interés. […]” 2.3.
Para soportar su respuesta, la sociedad GASES DE OCCIDENTE S.A. E.S.P. remitió los siguientes documentos como anexos: 2.3.1. Certificado de existencia y representación legal. 2.3.2. Política de Tratamiento de datos personales de datos personales de GASES DE OCCIDENTE S.A. 2.3.3. Política Corporativa de Seguridad de la Información de GASES DE OCCIDENTE S.A. E.S.P.
TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, el 24 de agosto de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución N° 53595, por medio de la cual se formularon cargos en contra de la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS - GASES DE OCCIDENTE S.A. E.S.P. identificada con NIT. 800.167.643-5, por la presunta contravención de lo dispuesto en el: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. • El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
La mencionada Resolución le fue notificada a la investigada mediante aviso N°. 21179 del 03 de septiembre de 2021 y comunicada al titular denunciante el 25 de agosto de 2021, de conformidad con la certificación del 09 de septiembre de 2021 expedida por la Secretaría General de esta Superintendencia bajo el radicado 20-161988- -13. “Por la cual se impone una sanción y se imparten órdenes administrativas”.
CUARTO: Que la investigada presentó descargos oportunamente mediante correo electrónico del 23 de septiembre de 2021 con radicación 20-161988- -14 del 23 de septiembre de esa anualidad, en la cual expuso los siguientes argumentos de defensa: 4.1 Respecto de los cargos PRIMERO y SEGUNDO, señala que Gases de Occidente se ha venido ajustando día a día a los cambios normativos sobre protección de datos personales y que prueba de ello es la contratación de la asesoría de empresas especializadas en el tema para lograr que los adecue a la normatividad vigente; de igual manera, que prueba de lo informado es la implementación del Programa Integral de Gestión de Datos Personales (adjunto), programa que tiene como objetivo garantizar el adecuado tratamiento de los datos personales mediante procesos.
Su finalidad es dar cumplimiento a los lineamientos Así mismo, que la investigada cuenta con este Programa Integral desde marzo del año 2017, cumpliendo así con los principios y disposiciones de la Ley 1581 de 2012. 4.2 Que los resultados que se han obtenido a la fecha de la implementación del programa han generado que entre el año 2020 y lo que lleva del año, existan solo cuatro PQR´s de un millón doscientos mil clientes que tiene la organización, quejas que por cierto fueron resueltas de manera inmediata, respetando los derechos del titular de la información. 4.3 Que la del presente asunto es la primera queja por la que se inicia una investigación y que por cierto no cumple con los parámetros establecidos en la Ley de Protección de datos personales, ya que como primera medida no se cumplió con el requisito de procedibilidad contemplado en el Art. 16 de la Ley 1581 de 2012. 4.4 Que, en el presente caso, se cumplió con la solicitud de la autorización del Titular para el Tratamiento de sus datos personales cuando se suscribió el contrato de condiciones uniformes. 4.5 Que al momento en que el titular interpuso una PQR ante la sociedad investigada, era necesario realizar el tratamiento de sus datos personales para poder resolverla. 4.6 Frente al cargo TERCERO, la sociedad investigada manifiesta que la página web mediante la cual se tramitan las PQR ́s ante GDO funciona en la plataforma de Microsoft SharePoint.
La información se guarda en una lista, las cuales se encontraban publicadas mas no visibles en la página web de GDO, por lo cual se identificó que podían aparecer los resultados en las búsquedas desde Google Chrome, situación que fue detectada y corregida el 9 de septiembre de 2020, cuando se confirmó que se eliminó la publicación de la lista y el proceso de reindexación de la opción de PQR solicitado a GOOGLE fue aplicado de forma correcta, solucionando así la causa raíz del problema.
Por lo anterior, se reconoce que efectivamente existió una falla técnica que fue solucionada de inmediato y se solicita que esta aceptación sea tenida en cuenta al momento de graduar la sanción.
QUINTO: Que mediante Resolución N°. 70060 del 29 de octubre de 2021, este Despacho señaló que contaba con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación: 5.1. Queja presentada por el denunciante, junto con anexo, radicada bajo el número 20-161988-0 del 5 de junio del 2020.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. 5.2. Requerimiento de información por parte del Grupo de Trabajo de Investigaciones Administrativas dirigido a la sociedad GASES DE OCCIDENTE S.A. E.S.P. radicado bajo el número 20-161988-4 del 15 de marzo del 2021. 5.3. Respuesta junto con anexos del 30 de marzo del 2021 al requerimiento de información por parte de la sociedad GASES DE OCCIDENTE S.A. E.S.P. radicado bajo el número 20-161988-5 el 31 de marzo del 2021 5.4.
Escrito de descargos junto con los siguientes anexos presentado por la sociedad GASES DE OCCIDENTE S.A. E.S.P. mediante radicado número 20161988-14 el 23 de septiembre del 2021: 5.4.1. Copia del contrato de prestación del servicio público de distribución y/o comercialización de gas combustible por red en condiciones uniformes. 5.4.2. Pantallazos de página web de la sociedad GASES DE OCCIDENTE S.A. 5.4.3.
Copia de la Política de tratamiento de información de la sociedad GASES DE OCCIDENTE S.A. E.S.P. 5.4.4. Copia del documento denominado “aviso de privacidad clientes GAS GDO” con fecha de actualización 14 de septiembre del 2021. 5.4.5. Copia del documento denominado “política corporativa de seguridad de la información”, versión 7, código GNA-1656. 5.4.6.
Copia de acta de nombramiento del oficial de protección de datos personales de GDO, con fecha de firma 10 de junio del 2019. 5.4.7. Copia de documento denominado “actividades de control para el cumplimiento del accountability”, elaboro: riesgos y cumplimiento, fecha 17 de septiembre del 2021. 5.4.8. Copia de documento denominado “evidencias de la actualización de registro nacional de bases de datos”, ejecutado por Ubeimar Orozco Ocampo fecha de ejecución: 31 de marzo del 2021. 5.4.9.
Copia de documento denominado “actualización del registro nacional de bases de datos RNBD de GDO reporte de novedades”, de fecha 19 de febrero del 2021. 5.4.10. Copia de documento denominado “actualización del registro nacional de bases de datos RNBD de GDO reporte de novedades”, de fecha 23 de agosto del 2021. 5.4.11. Archivo de correo con asunto: RE: Capacitación del Programa Integral de Protección de Datos Personales al personal que gestiona datos personales, por parte de Ubeimar Orozco Ocampo dirigido Ubeimar Orozco Ocampo de fecha 7 de enero del 2021. 5.4.12.
Documento denominado “análisis del reporte de valoración de la capacitación del programa integral de protección de datos personales impartida el 10 de diciembre de 2020, al personal de las áreas que tratan datos personales de manera directa en gdo”. 5.4.13. Pantallazo titulado valoración de la capacitación del programa integral de protección de datos personales. 5.4.14.
Archivo donde se relaciona un listado con la siguiente información: ID, hora de inicio, hora de finalización, correo electrónico, nombre, total de puntos, comentarios del cuestionario, nombres y apellidos. “Por la cual se impone una sanción y se imparten órdenes administrativas”. 5.4.15. Copia del programa de gestión de datos personales de la sociedad GASES DE OCCIDENTE S.A. E.S.P., de fecha 15 de mayo del 2019. 5.4.16.
Copia del poder especial otorgado por la sociedad GASES DE OCCIDENTE S.A. E.S.P. a los abogados Mauricio Pinzón Pinzón y/o Silvia García chacón y/o Lilian Franco Hernández, pertenecientes a la Firma PINZÓN PINZÓN & ASOCIADOS, firmado digitalmente por la Representante legal de la investigada el 7 de septiembre del 2021. 5.4.17. Certificado de existencia de representación legal de la sociedad GASES DE OCCIDENTE S.A. E.S.P. de fecha 6 de septiembre del 2021. 5.4.18.
Estados financieros de la sociedad GASES DE OCCIDENTE S.A. E.S.P. años 2018,2019, 2020. La mencionada Resolución le fue comunicada a la investigada el día 02 de noviembre de 2021, de conformidad con la certificación de fecha del 16 de noviembre de 2021 expedida por la Secretaría General de esta Superintendencia bajo el radicado 20-161988- -19.
SEXTO: Que la investigada presentó alegatos de conclusión mediante correo electrónico del 17 de noviembre de 2021 con radicación 20-161988-20, en los cuales reiteró lo expuesto en el escrito de descargos en cuanto a que se aceptaba la comisión del tercer cargo formulado únicamente, por lo cual solicita el archivo de la actuación. Así mismo, con el escrito remiten copia del detalle técnico del monitoreo que realizó el área de T.I. entre agosto y septiembre del 2020, para el aseguramiento al Módulo Web-PQR - “2c FA-503 Informe aseguramiento pqr web”, el cual se solicita que sea tenido como prueba.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
OCTAVO: Análisis del caso La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. 1 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
“Por la cual se impone una sanción y se imparten órdenes administrativas”. (ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. • El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.1 Valoración probatoria y conclusiones 8.1.1.
Consideraciones preliminares. En atención a que uno de los argumentos esgrimidos por la sociedad investigada señala que el titular al momento de acudir a esta Superintendencia no agotó el requisito de procedibilidad establecido en el artículo 16 de la Ley 1581 de 2012. Para atender dicho argumento, esta Dirección se referirá a las facultades de policía administrativa atribuidas a este ente de vigilancia y control en materia de manejo y administración de datos personales.
En efecto, el artículo 21 de la Ley 1581 de 2012, en concordancia con lo dispuesto en el artículo 22 de la misma norma estatutaria, enlistan las funciones que ejerce esta entidad. Especialmente, para el caso en comento, los literales a), b), e) y i); normas que señalan lo siguiente: “Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
(…). Artículo 22. Trámite. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por “Por la cual se impone una sanción y se imparten órdenes administrativas”. parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
En lo no reglado por la presente ley y los procedimientos correspondientes se seguirán las normas pertinentes del Código Contencioso Administrativo”. Así, pues, es claro que la Superintendencia de Industria y Comercio cuenta con expresas facultades legales para iniciar investigaciones, de oficio o a petición de parte, impartir instrucciones y aplicar sanciones administrativas, como consecuencia del incumplimiento de los deberes y mandatos generales o específicos que se han adoptado para el adecuado manejo de las bases de datos.
De igual manera, tal entendimiento de las mencionadas normas estatutarias es acorde con la jurisprudencia que ha proferido la Corte Constitucional sobre la materia. Así, por ejemplo, en la sentencia C-748 de 2012, la Sala Plena del Alto Tribunal señaló: “Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos” (Negrillas fuera del texto original).2 Más adelante, al analizar la constitucionalidad del artículo 22, arriba citado, precisó la Corte: “El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato” 3. Aunado a ello, en sentencia C-1011 de 2008, ese mismo Tribunal puso de presente que: “[s]ería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático” (Subrayado fuera del texto original)4.
De esta manera, no es cierto que esta entidad no pueda iniciar una investigación administrativa sancionatoria cuando tenga conocimiento que algunas de las partes que participan en la administración de datos ha incumplido la normatividad, por cuanto, según la entidad sancionada, la denunciante no agotó el requisito de procedibilidad de que trata el artículo 16 de la Ley 1581 de 20125.
Aceptar lo contrario sería condicionar la potestad sancionadora en el derecho administrativo, el cual hace parte del ius puniendi del Estado, a que exista un reclamo previo. Lo cual es contrario al ordenamiento jurídico. A lo anterior habría que agregar que, si bien es cierto que el artículo 16 citado, hace referencia al requisito de procedibilidad en los trámites que se instauren ante esta Superintendencia, no es menos cierto que esta exigencia sólo opera frente a los casos en que el titular solicite la corrección, actualización o retiro de su información personal de una base de datos o archivo, más no para el procedimiento administrativo sancionatorio. 2 Cfr. Corte Constitucional, Sentencia C-748 de 2011 M.P. Jorge Ignacio Pretelt Chaljub. 3 Ídem. 4 Cfr. Corte Constitucional, Sentencia C-1011 de 2008.
M.P. Jaime Córdoba Triviño. 5 Cfr. Ley 1581 de 2012, artículo 16. “Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento”. “Por la cual se impone una sanción y se imparten órdenes administrativas”. 8.1.2.
Respecto del deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.
De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.
Al respecto, la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática”.
Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada.
Relacionado con dicho deber, se encuentra el principio de finalidad consagrado en las siguientes normas: Ley 1581 de 2012 “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) b) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; ( ) “Por la cual se impone una sanción y se imparten órdenes administrativas”. ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
"ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;
( ).” Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.
Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) "ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.
Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.
Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C748 del 2011 de la siguiente manera “(…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.
Así por ejemplo, en la “Por la cual se impone una sanción y se imparten órdenes administrativas”. Sentencia T-022 de 19936, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 20037 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.
La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.
Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.
Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.
(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T592 de 20038, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.
Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. (…) De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.
Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”9 (Negrilla incluida en texto original) 6 M.P. Ciro Angarita Barón 7 M.P. Álvaro Tafur Galvis 8 Ibídem 9 Cfr. Corte Constitucional, sentencia C 748 del 2011.
M.P.: Jorge Ignacio Pretelt Chaljub “Por la cual se impone una sanción y se imparten órdenes administrativas”. Las definiciones de expreso, previo e informado señaladas y analizadas por la Corte Constitucional en la sentencia reseñada contienen elementos claves, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal.
Dichos elementos son los siguientes: a. Expreso: manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero; manifestación que, en todo caso, debe ser expresa para que la misma constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.
Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionar pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet.
El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular b. Informado: El titular debe conocer las finalidades del tratamiento de sus datos, por lo que la persona natural o jurídica, pública o privada, que realiza el tratamiento de los datos debe informarle al Titular los derechos relativos al tratamiento de estos, el modo de hacer valer sus derechos en relación con el tratamiento y las condiciones en que se efectuarán las actividades de tratamiento del mismo.
En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: “(…) a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento.” c. Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.
De esta manera, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: • El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. • El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. • El consentimiento debe ser previo.
La obtención del consentimiento debe ser previa a la recolección de los datos. Así, en los casos en que un Responsable del Tratamiento no puede acreditar que el consentimiento requerido del Titular es expreso, informado y previo, estaría incumpliendo el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la Ley en cita y el artículo 9 de la Ley 1581 de 2012, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 Ahora bien, este Despacho mediante la Resolución 53595 de 2021 “Por la cual se inicia una investigación administrativa y se formulan cargos” estableció que presuntamente la sociedad investigada pudo haber vulnerado las normas que fundamentan el presente cargo debido a que: “En el presente caso, se tiene que la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. realizó Tratamiento respecto de los datos personales del Titular XXXXXX XXXX XXXXXXX, al hacer un registro de PQR en sus bases de datos y presuntamente exponer su número telefónico, correo electrónico y dirección a través del buscador Google, según la captura de pantalla del 5 de junio de 2020 remitida por el denunciante, sin contar, presuntamente, con la autorización previa, expresa e informada en los términos del Artículo 9 de la Ley 1581 de 2012 para tal fin.
Sobre el particular, la sociedad investigada manifiesta que la “[…]autorización del Titular fue otorgada a favor de GDO de manera previa, expresa e informada mediante la conducta inequívoca del Titular al radicar en el portal web https://www.gdo.com.co/Paginas/Registro-de pqrs.aspx una PQR[…]” y añade que el artículo 7 del Decreto 1377 de 2013 (incorporado en el Decreto Único Reglamentario 1074 de 2015), que reglamentó el artículo 9 de la Ley 1581 de 2012, indicó que, una de las formas de obtener el consentimiento para el Tratamiento de los Datos Personales del Titular, es “(…) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” Conforme a lo anterior y como fue manifestado expresamente por la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P., esta declaró que la autorización previa, expresa e informada por parte del Titular para el Tratamiento de sus datos fue obtenida a través de una conducta inequívoca por parte de éste al momento de radicar una PQR en su página web.
No obstante, lo anterior, preliminarmente, no hay evidencias que permitan concluir que la sociedad, al momento de recolectar la información personal del Titular le informó a este acerca de las finalidades objeto del Tratamiento, bien sea para la atención de la PQR o para exponer sus datos a través del buscador Google, así como los derechos que le asisten en virtud de la autorización otorgada.
Por lo cual, no se tiene que la presunta autorización mediante conductas inequívocas haya sido previa e informada. En razón a lo anterior, se encuentra que la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. habría contravenido el deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales, dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.” Frente al cargo formulado, la investigada mediante su escrito de descargos señaló lo siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas”. - - Que, en el presente caso, se cumplió con la solicitud de la autorización del Titular para el Tratamiento de sus datos personales cuando se suscribió el contrato de condiciones uniformes.
Que al momento en que el titular interpuso una PQR ante la sociedad investigada, era necesario realizar el tratamiento de sus datos personales para poder resolverla. Expuesto lo anterior, encuentra esta Dirección que la sociedad investigada GASES DE OCCIDENTE S.A. E.S.P. vulneró efectivamente las normas que fundamentan al presente cargo, al menos, por las siguientes razones: De acuerdo con lo informado en averiguaciones preliminares, las PQR que interpuso el titular ante la investigada fueron las siguientes: GASES DE OCCIDENTE S.A. E.S.P. en respuesta a requerimiento de información con radicación 20-161988- -00005 del 31 de marzo de 2021, señaló que contaba con autorización del titular para el tratamiento de sus datos personales cuando este radicó la PQR.
De igual manera, en el escrito de descargos la sociedad investigada señala que el titular al momento de la radicación de una petición en línea ante la investigada autorizó el tratamiento de sus datos personales en los siguientes términos: “Por la cual se impone una sanción y se imparten órdenes administrativas”. Así mismo, GASES DE OCCIDENTE S.A. E.S.P. manifiesta que el titular en su calidad de usuario del servicio público autorizó el tratamiento de sus datos personales al momento de suscribir un contrato de condiciones uniformes en los siguientes términos: De igual manera, GASES DE OCCIDENTE S.A. E.S.P. asegura que “(…) con esto queremos demostrar que la autorización del Titular de la información fue otorgada a favor de Gases de Occidente de manera previa, expresa e informada “Por la cual se impone una sanción y se imparten órdenes administrativas”. mediante conducta inequívoca del Titular de la información al dejar por voluntad propia después de poder verificar toda la información suministrada (Contrato, autorización, Política de Tratamiento de Datos, Aviso de Privacidad y Autorización Web) una PQR en el portal web y una solicitud para la revisión periódica, el día 12 de marzo de 2021 ante esta Organización, todo lo anterior de conformidad con lo establecido en numeral iii) del Artículo 7, del Decreto 1377 de 2013”.
Ahora bien, señalado lo anterior, este Despacho encuentra pertinente precisar que el deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, no solo dispuso que los responsables deben solicitar de manera previa al tratamiento el consentimiento del titular, pues el deber también señala que se debe CONSERVAR en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.
Por lo cual, a la luz de la normatividad colombiana, excepto para los datos personales de carácter sensible, la autorización puede ser recolectada por cualquier medio mientras se permita su consulta posterior. De esta manera, y luego de analizar las pruebas obrantes dentro del expediente, se observa que si bien la sociedad GASES DE OCCIDENTE S.A. E.S.P. allegó un formato del contrato utilizado para adquirir el servicio de gas domiciliario y una imagen de la autorización que se solicita mediante la página web; que, según la investigada, debió aceptar el señor XXXXXX XXXX XXXXXXX cuando presentó las peticiones quejas y reclamos desde el 16 de agosto de 2019.
Es claro para este Despacho, que ninguno de los documentos aportados demuestra el consentimiento del titular, pues la investigada no allegó una prueba conducente en la cual no quede duda de la manifestación de la voluntad del denunciante. Así mismo, es necesario señalar que, independientemente de que la Ley 142 de 1994, disponga que cada prestador de servicios públicos domiciliarios deba establecer un contrato uniforme en el cual entre otras cosas pueda estipular la autorización del tratamiento de los datos personales, este contrato debe traer la manifestación de la voluntad del titular, y se deberá demostrar que directamente este otorgó su consentimiento.
Es por ello, por lo que el formato allegado por la Investigada no puede ser valorado como una prueba de la autorización para el tratamiento de los datos del señor XXXXXX XXXX XXXXXXX, puesto que no necesariamente el señor XXXX pudo haber solicitado el servicio, pues como bien lo indica la investigada, el titular es arrendatario del inmueble donde se presta el servicio.
De otra parte, y respecto al formato dispuesto por la sociedad GASES DE OCCIDENTE S.A. E.S.P., en su página web, se debe precisar que al utilizarse herramientas o procesos tecnológicos, es imprescindible que el Responsable pueda establecer que la persona que autoriza el tratamiento es realmente quien dice ser, y por ende deberá implementar mecanismos que permitan por lo menos hacer una verificación de identidad del titular, además, demostrar que si se obtuvo una autorización directa que no deje manto de duda de la voluntad.
Ahora bien, frente a los argumentos de la investigada al indicar que la autorización se obtuvo mediante una conducta inequívoca del titular por el mero hecho de registrarse y presentar una PQR. Se deberá tener en cuenta que, no solo estas conductas inequívocas deben traer consigo la voluntad de la persona, toda vez que la norma indica que dicha conducta debe concluir de forma razonable que el titular otorgó la autorización, es decir, que dicha autorización debe cumplir con los requisitos impuesto por la Ley 1581 de 2012, que al tenor de su artículo 9 establece que “(…) en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”, Por ende aunque el consentimiento puede ser obtenido través de medios electrónicos en los términos previstos por la ley 527 de 1999, no debe perderse de vista que las conductas inequívocas deben cumplir todos los requisitos que exige la ley 1581 de 2012 y sus decretos reglamentarios, esto es, que de ellas se concluya razonablemente que existe un consentimiento previo, expreso e informado.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. De esta manera, este Despacho encuentra que la sociedad GASES DE OCCIDENTE S.A. ESP, no conservó en las condiciones previstas en la Ley 1581 de 2012, copia de la respectiva autorización otorgada por el Titular, motivo por el cual se impondrá la sanción correspondiente y se emitirán órdenes pertinentes para que dicha sociedad garantice el derecho de habeas data de los titulares. 8.1.3.
Respecto del deber de informar la finalidad del tratamiento de datos personales El artículo 17 de la Ley 1581 de 2012 y sus normas concordantes establecen el deber para los Responsables del Tratamiento de obtener la autorización del tratamiento de datos de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada en los siguientes términos: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada Artículo 4.
Principios: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; ( ) Artículo 12. Deber de informar al Titular: El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta” ( ) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
Precisado lo anterior, vale la pena señalar que este Despacho mediante la Resolución 53595 de 2021 “Por la cual se inicia una investigación administrativa y se formulan cargos” estableció que presuntamente la sociedad investigada “Por la cual se impone una sanción y se imparten órdenes administrativas”. pudo haber vulnerado las normas que fundamentan el presente cargo debido a que: “En el presente caso, la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. ostenta la calidad de Responsable del Tratamiento y en consecuencia debía haber informado al señor XXXXXX XXXX XXXXXXX al momento de obtener su autorización, independientemente del medio a través del cual se recolectara, pudiendo ser i) por escrito, ii) verbal o iii) mediante conductas inequívocas, los presupuestos mínimos establecidos en el artículo 12 de la Ley 1581 de 2012, puntualmente, para el presente cargo, lo relativo a las finalidades objeto del tratamiento, según dispone el literal a) de la referida norma.
Habiendo estudiado la respuesta y los documentos remitidos por la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. en los cuales soportó su respuesta frente al requerimiento de información, no se encuentra prueba mediante la cual se acredite, como se indicó previamente, la obtención de la autorización previa, expresa e informada por parte del Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, así como tampoco que ésta le haya informado de manera previa y expresa al Titular acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales.
Por lo que, preliminarmente, se encuentra que, la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P., realizó una aparente contravención de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” Al respecto, la sociedad GASES DE OCCIDENTE S.A. E.S.P. señaló en su escrito de descargos lo siguiente: - - - - Que Gases de Occidente se ha venido ajustando día a día a los cambios normativos sobre protección de datos personales y que prueba de ello es la contratación de la asesoría de empresas especializadas en el tema para lograr que los adecue a la normatividad vigente; de igual manera, que prueba de lo informado es la implementación del Programa Integral de Gestión de Datos Personales (adjunto), programa que tiene como objetivo garantizar el adecuado tratamiento de los datos personales mediante procesos.
Su finalidad es dar cumplimiento a los lineamientos Así mismo, que la investigada cuenta con este Programa Integral desde marzo del año 2017, cumpliendo así con los principios y disposiciones de la Ley 1581 de 2012. Que los resultados que se han obtenido a la fecha de la implementación del programa han generado que entre el año 2020 y lo que lleva del año, existan solo cuatro PQR´s de un millón doscientos mil clientes que tiene la organización, quejas que por cierto fueron resueltas de manera inmediata, respetando los derechos del titular de la información. Que, en el presente caso, se cumplió con la solicitud de la autorización del Titular para el Tratamiento de sus datos personales cuando se suscribió el contrato de condiciones uniformes.
Que al momento en que el titular interpuso una PQR ante la sociedad investigada, era necesario realizar el tratamiento de sus datos personales para poder resolverla. En este punto, este Despacho reitera las consideraciones realizadas en el numeral anterior, al señalar que si bien en el contrato de condiciones uniformes se indica cuál es la finalidad para el tratamiento de los datos personales dentro de la relación comercial en la prestación del servicio público, la sociedad GASES DE OCCIDENTE S.A. E.S.P. no pudo demostrar que el titular suscribió dicho acuerdo de voluntades.
Además, es importante precisar, que de acuerdo con la Ley 1581 de 2012, los Responsables del Tratamiento al momento de solicitar la autorización deberán informar de manera clara y expresa las finalidades del tratamiento, los derechos de los titulares, la identificación del responsable y deberá conservar prueba del cumplimiento de este deber, y en el caso particular dicha prueba no fue aportada por la investigada.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. De otra parte, es necesario precisar que no puede deducirse que los titulares, aunque de forma voluntaria suministren sus datos personales, estos hayan sido informados de todo lo que ordena el artículo 12 de la ley 1581 de 2012, pues como bien se señaló líneas atrás, no existe prueba de que, en este caso, el señor XXXXXX XXXX XXXXXXX haya sido informado de la finalidad del tratamiento de sus datos personales.
Así las cosas, no es de recibo para este Despacho, que de los formatos establecidos para un contrato y de un aviso de solicitud de autorización que se observa en la página web se infiera que se le informó las finalidades del tratamiento a una persona específica, porque como ya se mencionó, el Responsable debe demostrar por un medio idóneo que obtuvo la autorización previa, expresa e informada del titular.
En consecuencia, ante la demostración de la infracción de las normas señaladas al inicio del acápite, este Despacho procederá a imponer la sanción pertinente. 8.1.4. Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El literal g) del artículo 4 de la Ley 1581 de 2012 establece el principio según el cual los Responsables y Encargados del Tratamiento de Datos Personales deben manejar la información sujeta a tratamiento: “(…) con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.
Este principio/deber es desarrollado, respecto de los Responsables del tratamiento, por el literal d) del artículo 17 de la Ley citada, el cual determina que: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.
De igual forma, cuando se estudia el deber de seguridad con respecto a accesos o usos no autorizados o fraudulentos, también se debe tener en cuenta que el artículo 13 ibidem señala las personas a quienes se les puede suministrar información personal: “La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley.” Sobre el principio establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, la Corte Constitucional en la sentencia C-748 de 2011 señaló: “De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato.
El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.
(…) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.”10 (Negrilla añadida) 10 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se impone una sanción y se imparten órdenes administrativas”.
Por su parte, sobre el desarrollo del deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional precisó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos-intimidad y habeas data-del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii)Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.
Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a duda, también desarrollo del principio de seguridad jurídica.”11 (Negrilla original) Precisado lo anterior, vale la pena señalar que este Despacho, mediante la Resolución 53595 de 2021 “Por la cual se inicia una investigación administrativa y se formulan cargos” estableció que presuntamente la sociedad investigada pudo haber vulnerado las normas que fundamentan el presente cargo debido a que: “Del estudio de la respuesta presentada por la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P., se tiene que, pese a que esta declara contar con diversas medidas de seguridad implementadas al interior de la compañía, así como la adopción de un Manual de Políticas de Seguridad para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales recolectados, contenido en su Política Corporativa de Seguridad de la Información de GASES DE OCCIDENTE S.A. E.S. E.S.P., se tiene que esta realizó Tratamiento respecto de los datos personales del Titular XXXXXX XXXX XXXXXXX, al hacer un registro de PQR en sus bases de datos y presuntamente exponer su número telefónico, correo electrónico y dirección a través del buscador Google, según la captura de pantalla del 5 de junio de 2020 remitida por el denunciante, situación que no sólo se traduciría en un uso no autorizado por parte de la sociedad investigada en su calidad de Responsable del Tratamiento, sino que además, evidencia preliminarmente que la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. no conservó la información personal del Titular bajo medidas de seguridad adecuadas para impedir su acceso a terceros que eventualmente pudieran realizar una búsqueda de una PQR relacionada con GASES DE OCCIDENTE S.A. E.S. E.S.P. en el buscador Google.
Lo anterior, adquiere una mayor relevancia considerando que la sociedad como Empresa prestadora de Servicios Públicos está en capacidad de recolectar y realizar Tratamiento respecto de los datos personales de una gran cantidad de Titulares. Por lo anterior, se advierte, un presunto incumplimiento por parte de la sociedad GASES DE OCCIDENTE S.A. E.S. E.S.P. en calidad de Responsable del Tratamiento, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
Por su parte, en el escrito de descargos la sociedad investigada indicó lo siguiente: “(…) mi representada nunca ha tenido dentro de sus finalidades de tratamiento, exponer los datos personales a través del buscador de Google, 11 Ibídem. Considerando 2.17.3 “Por la cual se impone una sanción y se imparten órdenes administrativas”. esto puede suceder a pesar de que Gases de Occidente ha implementado medidas de seguridad lógicas, físicas y administrativas según la criticidad de los datos personales tratados, para el caso en concreto, dentro del sitio web en el formulario mediante el cual se tramitan las PQR´s funciona en la plataforma de ‘Microsoft SharePoint’ como se informó, pero lamentablemente por un error técnico, la información del titular fue guardada en un documento que se encontraba publicado, más no visible en la página web de Gases de Occidente, situación que se vio reflejada cuando dentro de los resultados en las búsquedas desde Google Chrome, aparecían los datos del titular.
Pero como lo hemos informado antes, desde el momento en que se tuvo conocimiento de esta situación, mi representada desplegó todas las acciones necesarias para dar solución (…) Sin embargo y demostrando aún el interés de mi representada por cumplir con la norma, a partir de este hecho, Gases de Occidente, realizó las siguientes acciones para asegurar el cumplimiento de la normativa en protección de datos, especialmente el de contar con medidas de seguridad adicionales y adecuadas para impedir el acceso a terceros que eventualmente pudieran realizar una búsqueda de una PQR relacionada con Gases de Occidente, en el buscador Google: Como hemos demostrado en este caso particular, mi representada cuenta con medidas de seguridad apropiadas, las cuales se pueden clasificar conforme al riesgo que pueda derivar de la criticidad de los datos personales tratados.
En desarrollo del principio de SEGURIDAD, Gases de Occidente ha adoptado una normativa general sobre estas medidas que son de obligatorio acatamiento en todo nivel jerárquico, teniendo en cuenta las directrices indicadas por la Superintendencia de Industria y Comercio. Entre estas medidas, tenemos las siguientes: 1. Controles técnicos a nivel de accesos a los sistemas de información. 2.
Asignación de roles a nivel de sistemas de información para que los accesos sean adecuados y autorizados de acuerdo con las funciones de cada cargo. 3. Procedimientos administrativos de control y aprobación de accesos a los aplicativos core del negocio. 4. Herramientas tecnológicas para mitigar riesgos de fuga de información (DLP). 5. Monitoreo de la actividad de usuarios privilegiados sobre bases de datos. 6.
Procedimiento de instalación de actualizaciones de seguridad a nivel de servidores y estaciones de trabajo 7. Pruebas periódicas de ethical hacking para detectar y corregir 8. debilidades de seguridad en la plataforma tecnológica Sistemas de protección perimetral de la red de usuarios y servidores de aplicaciones (firewall, IPS, etc.) 9. Procedimientos de gestión de incidentes de seguridad y ciberseguridad basados en estándares internacionales. 10.
A nivel de equipos de usuario final se cuenta con sistema de antivirus, filtros de navegación, restricción de unidades y puertos para la extracción de información mediante dispositivos de almacenamiento externos, entre otros”. Al respecto, y de acuerdo con las pruebas aportadas, este Despacho entrará analizar la aplicación del principio de responsabilidad demostrada por parte de la sociedad GASES DE OCCIDENTE S.A. E.S.P. toda vez que dentro de su defensa alega haber sido diligente en la aplicación de medidas y herramientas para la protección de los datos personales.
De esta manera es necesario precisar que la regulación colombiana le impone al responsable o al encargado del tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”12 Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como 12 Cfr. Corte Constitucional, sentencia T-227 de 2003.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. consecuencia del almacenamiento en sus bases o archivos. En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2613 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”14 El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 14 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.
Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.
Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”15.
(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. De otra parte, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”16.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)”17. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”18. Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 16 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 17 Cfr. Bonatti, Francisco.
Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canalcompliance.com/2018/11/05/va-siendo- hora-que-se-hable-correctamente-de-compliance-iii/ 18 Idem. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad.
Lo mismo sucede con “accountability” respecto del tratamiento de datos personales. Ahora bien, retomando el caso particular, este Despacho encuentra que antes de la ocurrencia de la publicación de los datos del titular, esto es en agosto de 2020, la sociedad investigada había adoptado e implementado las siguientes acciones: 1. Una Política de Tratamiento de Datos personales vigente desde 2017. 2.
Una “POLÍTICA CORPORATIVA DE SEGURIDAD DE LA INFORMACIÓN” Vigente desde 2018, en la cual se destaca lo siguiente: “5.10. CLASIFICACIÓN Y MANEJO DE LA INFORMACIÓN (…) • Todos los usuarios deben conocer la Clasificación de la Información que utilizan para el desarrollo de sus actividades. • La Clasificación de la Información de los clientes y accionista es Restringida o Interna, según aplique, y por ningún motivo puede volverse Pública. • La información Restringida que se encentre adecuadamente protegida. en las PC´s debe ser (…) • La información Restringida almacenada electrónicamente debe ser adecuadamente protegida.
Se debe evaluar respecto al riesgo al que está expuesta, la implementación de controles tales como ser cifrada y firmada electrónicamente cuando se vaya a respaldar, guardar y transmitir. (…)
5.11. CONTINUIDAD DEL NEGOCIO • Los planes de continuidad del negocio deberán mantener los niveles de seguridad establecidos en la Política de Seguridad de la Información, para los servicios habilitados durante el evento de contingencia. Se deberá definir una estrategia permanente de recuperación para la operatividad de los Recursos Informáticos críticos, así como desarrollar, documentar, probar y mantener los planes de recuperación que conduzcan a su restauración. • La Gerencia de TI garantizará la existencia de los usuarios en contingencia para ser utilizados en el momento en que se presente la contingencia. • La Gerencia de TI, garantizarán pruebas periódicas de los medios que contienen copias de respaldo de Información restringida que incluyan la restauración y verificación de la información. • Es responsabilidad de la Gerencia de TI elaborar un plan de recuperación ante desastres, para el centro de datos y un conjunto de procedimientos de contingencia, recuperación y retorno a la normalidad para cada uno de los servicios, sistemas operativos y recurso informático existente. • La Gerencia de TI con el acompañamiento del Profesional de Seguridad de la Información, deben participar activamente en las pruebas de recuperación ante desastres planificadas y efectuadas, notificando los resultados obtenidos a la Alta Dirección. Los requisitos de seguridad de la información en Continuidad del Negocio que se encuentran definidos son: o De cumplimiento General ✓ El acceso a los aplicativos debe mantenerse de acuerdo con los perfiles definidos en las matrices de acceso.
No obstante, si por indisponibilidad de “Por la cual se impone una sanción y se imparten órdenes administrativas”. personal clave en un escenario de continuidad se requieren hacer cambios en los perfiles de acceso, pueden existir modificaciones previa autorización del jefe inmediato, líder aprobador por proceso y Seguridad de la Información ✓ Durante la ejecución del PCN, debe permanecer lo definido en el Procedimiento Administración de Códigos de Usuarios y Claves de Acceso PPA-212-S2 ✓ Los equipos de suministro de energía y de comunicación deben estar en un sitio con acceso restringido.
Los accesos deben ser realizados únicamente por los funcionarios de tecnología. Para control del acceso a estos sitios, se deberá contar con una planilla de control de acceso o adquirir un CCTV para disponer de las grabaciones. ✓ El ingreso de los funcionarios debe ser autorizado y controlado de acuerdo con lo establecido en los procedimientos.
Funcionarios no autorizados no deben ingresar a las instalaciones.. o De cumplimiento por parte de Tecnología ✓ Los usuarios que se configuren en los equipos que se utilicen durante la ejecución del PCN, deben ser los mismos que se encuentran configurados en la operación normal. ✓ Las contraseñas de acceso deben mantener las políticas de contraseñas definidas en el Estándar de Seguridad de Recursos Informáticos – PPA-786. ✓ Los equipos que se utilicen durante la ejecución del PCN deben tener el sistema operativo con soporte disponible por fabricante. ✓ Los componentes de infraestructura de red y de tecnología deben tener implementados los estándares de seguridad; dichos estándares, deben estar validados. ✓ Se debe realizar el escaneo de vulnerabilidades de la infraestructura tecnológica, con la misma periodicidad definida para la operación normal. ✓ Las restricciones para el acceso a Internet deben permanecer para el PCN de acuerdo con el filtro de contenido implementado, según las categorías de navegación definidos para la operación normal. ✓ Los siguientes controles implementados en la operación normal deben permanecer durante la ejecución del PCN: ▪ Antivirus –Antimalware ▪ Filtrado de contenido ▪ VPN (…)”.
5.18. SEGURIDAD EN LAS REDES • Se deben definir zonas de red separadas que agrupen lógicamente los recursos informáticos, de acuerdo con la criticidad de los activos de información que se manejen en cada segmento. En cada zona se deben implantar controles de acceso consecuentes con la clasificación de la información que allí reside. • Los Firewall (centralizados o descentralizados) definidos por la compañía son los únicos puntos autorizados para el establecimiento de conexiones de cualquier Recurso Informático de la empresa con redes externas.
No se permite, en ninguna circunstancia, establecer conexiones directas hacia redes externas desde los recursos informáticos • La información técnica de la red de datos (direcciones internas, configuración y diseño de la red) está clasificada como restringida y por lo tanto sólo está disponible para el personal autorizado que tenga necesidad legítima de conocerla y con una previa autorización explícita del responsable de la Información. • Se debe contar con mecanismos que controlen el enrutamiento en la red. El acceso a los recursos informáticos desde redes externas o internas requiere que “Por la cual se impone una sanción y se imparten órdenes administrativas”. se verifique y controle que el acceso sea realizado exclusivamente sobre los recursos informáticos autorizados. • Los accesos desde puntos remotos o redes externas deben contar con mecanismos de autenticación y control de acceso de la conexión que prevengan posibles accesos no autorizados. • El acceso remoto a la red de datos corporativa sólo puede ser autorizado por el responsable de la Información, previa evaluación de una razón justificada del negocio.
Las actividades realizadas deben quedar registradas en un log de auditoría y los permisos del usuario deben estar restringidos específicamente a la actividad particular a realizar. • Los equipos desde los que se accede remotamente deben estar aprobados por la compañía, previa validación de que la tecnología y la configuración de los equipos cumplan con los Estándares de Seguridad Informática definidos. • Deben considerarse controles que limiten el acceso a operaciones específicas, permitiendo el acceso únicamente a la información absolutamente necesaria y controlando el uso de utilitarios en los recursos informáticos.
Algunos controles a tener en cuenta son: a) Obligar el paso de toda comunicación remota a través de los componentes de seguridad (firewalls, analizador de contenido) para restringir el uso de comandos sensitivos. b) Incorporar mecanismos de autenticación de la conexión que prevengan accesos no autorizados. c) Registrar en el log de auditoría las actividades realizadas mediante esta conexión. • El acceso desde la red de datos corporativa a otras redes externas, mediante módems, módems inalámbricos o Access Points no administrados por la compañía, entre otros, sólo debe realizarse por razones estrictas de negocio y desde equipos desconectados de la red corporativa. • Para los equipos móviles que almacenen información confidencial de la Compañía se deben definir e implementar la protección física requerida, los controles de acceso, las técnicas de cifrado, las copias de respaldo, la protección contra virus o código malicioso, las reglas para conexión a las redes y las directrices para el uso del equipo móvil en lugares públicos. • Se deben considerar en la arquitectura de la red los mecanismos apropiados que minimicen la probabilidad de que la información que fluye en la red pueda ser alterada. • Todo usuario debe ser consciente y cumplir las normas de seguridad de la información establecida, cuando hace uso de los servicios de Internet e Intranet, e igualmente debe velar por el cumplimiento de las normas establecidas por las redes remotas a las cuales se conecta.
Los usuarios son absolutamente responsables de la utilización que hagan de dichos servicios y por las consecuencias que se deriven de su incorrecta utilización. • El Profesional de Seguridad de la Información y la Coordinación de Infraestructura, son los autorizados para la divulgación al interior de la empresa, de mensajes de advertencias de seguridad de la Información e Informática.
Todo correo recibido con alertas sobre un supuesto virus o la existencia de código dañino dentro en algún recurso informático debe ser verificado con el Líder de TI y Profesional de Seguridad de la Información.
5.21. USO ADECUADO DE INTERNET • La Coordinación de Infraestructura, debe definir e implementar controles, para evitar la descarga de software no autorizado y/o código malicioso, proveniente de Internet y evitar el acceso a sitios catalogados como restringidos o no gratos para la compañía. • No se autoriza la instalación de software espía o similares en los equipos.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. • No está permitida la descarga y/o instalación de herramientas que permitan vulnerar algún tipo de sistema (Hacking Tools). • El acceso a Internet debe ser moderado y no debe afectar sus responsabilidades laborales, se asume que el funcionario es responsable y autónomo de administrar su tiempo. • Ningún funcionario debe acceder a páginas relacionadas con pornografía, drogas, alcohol, webproxys, hacking y/o cualquier otra página web que vaya en contra de la ética moral, las leyes vigentes. • Todos los funcionarios tienen prohibido el acceso y el uso de servicios interactivos comunitarios o mensajería instantánea o almacenamiento en la nube, como Facebook, Instagram, Twitter, WhatsApp Web, Hotmail, Gmail, Yahoo, Outlook, Dropbox, Google Drive, OneDrive Personal, paginas catalogadas como entretenimiento, y otras similares.
En caso de requerir el acceso debe ser previamente justificada por el Gerente de la dependencia y aprobada por el Profesional de Seguridad de la Información. • Los funcionarios no deben descargar, usar, intercambiar y/o instalar juegos, música, películas, protectores y fondos de pantalla, software de libre distribución, información y/o productos que de alguna forma atenten contra la propiedad intelectual de los autores, o que contengan archivos ejecutables y/o herramientas que atenten contra la integridad, disponibilidad y/o confidencialidad de la infraestructura tecnológica y sistemas de información de la compañía. (…)”.
Designación de un oficial de protección de datos personales desde junio de 2019. Así mismo, la sociedad GASES DE OCCIDENTE S.A. E.S.P., luego de la ocurrencia de los hechos y una vez tuvo conocimiento del incidente, manifestó haber implementado las siguientes acciones: i. ii. iii. Actividades de control para el cumplimiento del accountability.
Capacitación del programa integral de protección de datos personales impartida el 10 de diciembre de 2020, al personal de las áreas que tratan datos personales de manera directa. monitoreo realizado por el área de T.I. entre agosto y septiembre del 2020, para el aseguramiento al Módulo Web-PQR - “2c FA-503 Informe aseguramiento pqr web”. De esta manera, este Despacho encuentra que si bien la información del titular suministrada en el formulario mediante el cual se tramitan las PQR´s, fue indexada por el sistema y la hacía visible cuando se digitaba un número de cédula, se evidenció que GASES DE OCCIDENTE S.A. E.S.P. implementó medidas técnicas de seguridad de manera previa al incidente, probadas en la Política Corporativa De Seguridad De La Información la cual contiene los controles técnicos, administrativos y humanos orientados a garantizar el manejo seguro de la información. Además, dentro de su escrito de descargos aceptó la comisión de la conducta y desplegó las acciones necesarias para evitar que los datos del titular siguieran expuestos.
Por lo tanto, en virtud de lo establecido en el artículo 27 del decreto 1377 de 201319 que señala: “(…) La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”, se impartirán órdenes administrativas para que la investigada fortalezca las medidas de seguridad implementadas. 19 Compilado por el Decreto Único Reglamentario 1074 de 2015 “Por la cual se impone una sanción y se imparten órdenes administrativas”.
NOVENO: CONCLUSIONES La sociedad investigada GASES DE OCCIDENTE S.A. E.S. E.S.P. vulneró en el presente asunto las siguientes normas en su calidad de Responsable del tratamiento: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; toda vez que realizó el tratamiento sobre los datos personales privados y semiprivados de un Usuario, sin que pudiera demostrar que contaba y conservaba la autorización previa, expresa e informada del titular. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; debido a que no demostró que conservaba prueba que constatara el cumplimiento del deber de informar al titular de las finalidades del tratamiento. • El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015; teniendo en cuenta que los datos personales privados y semiprivados de un titular se publicaran en una página web de acceso público.
DÉCIMO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, las pruebas obrantes en el expediente y en virtud de lo dispuesto en el literal e) del artículo 21 de la Ley 1581 de 2012 mediante el cual se le asigna a esta Superintendencia la competencia para “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta instancia procederá a impartir las siguientes instrucciones de obligatorio cumplimiento, independientemente de las sanciones pecuniarias que se puedan imponer más adelante: • GASES DE OCCIDENTE S.A. E.S.P. EMPRESA DE SERVICIOS PÚBLICOS. deberá implementar las herramientas necesarias para obtener la autorización previa, expresa e informada; conservar el consentimiento de cada uno de los titulares de manera individual y; que pueda ser objeto de consulta posterior. • GASES DE OCCIDENTE S.A. E.S.P. EMPRESA DE SERVICIOS PÚBLICOS. deberá implementar medidas técnicas que demuestren la implementación de la POLÍTICA CORPORATIVA DE SEGURIDAD DE LA INFORMACIÓN, por lo cual deberá instaurar procedimientos internos mediante los cuales se establezcan acciones para dejar evidencia de cada uno de los controles y monitoreos realizados a los riesgos identificados dentro del tratamiento de datos personales.
De lo anteriormente ordenado la GASES DE OCCIDENTE S.A. E.S. EMPRESA DE SERVICIOS PÚBLICOS. deberá remitir a este Despacho una certificación del representante legal en la que se haga constar que se implementaron las órdenes, dentro del término de cuatro (4) meses con posterioridad a la ejecutoria del presente acto administrativo. junto con las pruebas suficientes que demuestren dicha implementación. “Por la cual se impone una sanción y se imparten órdenes administrativas”.
DÉCIMO PRIMERO: IMPOSICIÓN Y GRADUACIÓN DE LA SANCIÓN 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2320. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 221, 422 y 623 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo24.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)” 25 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por 20Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 21 Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 22 Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 23 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) 24 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);
Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 25 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción y se imparten órdenes administrativas”. parte de todas las entidades de orden nacional26.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y 26 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas”. honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional27 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008 en normas concordantes, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”.28 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley.
Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 28 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.29 La imposición de sanciones por violación de la 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991 y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. La Ley 1581 de 2912 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 18 de la misma ley.
Asimismo, el artículo 23 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparten órdenes administrativas”. conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. En el caso sub examine, con base en el citado literal a), esta Dirección evidencia que los cargos comprobados en contra de la sociedad investigada GASES DE OCCIDENTE S.A. E.S. E.S.P. afectaron de forma real y concreta los intereses jurídicos consagrados en el régimen de protección de datos personales y sus normas complementarias, debido a que vulneraron las siguientes normas en su calidad de Responsable de la información: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; toda vez que realizó el tratamiento sobre los datos personales privados y semiprivados de un Usuario, sin que pudiera demostrar que contaba y conservaba la autorización previa, expresa e informada del titular.
Frente a este cargo se ordenó la imposición de una sanción. • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; debido a que no demostró que conservaba prueba que constatara el cumplimiento del deber de informar al titular de las finalidades del tratamiento.
Frente a este cargo se ordenó la imposición de una sanción. Por lo tanto, frente a los mencionados dos (2) cargos demostrados en los cuales se ordenó la imposición de una sanción, se impondrá una multa dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 en los siguientes términos: Para el PRIMER cargo demostrado se impondrá: la suma de CIENTO OCHENTA (180) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a VEINTE MIL OCHOCIENTOS OCHENTA (20.880) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOSCIENTOS VEINTIOCHO MILLONES SEISCIENTOS CINCUENTA Y SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($228.656.880)30.
Para el SEGUNDO cargo demostrado: la suma de CIENTO OCHENTA (180) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a VEINTE MIL OCHOCIENTOS OCHENTA (20.880) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOSCIENTOS VEINTIOCHO MILLONES SEISCIENTOS CINCUENTA Y SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($228.656.880).
Lo anterior, para un total de TRESCIENTOS SESENTA (360) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUARENTA Y UN MIL SETECIENTOS SESENTA (41.760) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CUATROCIENTOS CINCUENTA Y SIETE MILLONES TRESCIENTOS TRECE MIL SETECIENTOS SESENTA PESOS M/CTE ($457.313.760).
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 11.1.2 Otros criterios de graduación 30 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024.
“Por la cual se impone una sanción y se imparten órdenes administrativas”. En este punto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo reconocimiento o aceptación expresa sobre la comisión de la infracción. Finalmente, el literal f) del artículo 24 de la Ley 1581 de 2012 ya fue tenido en cuenta previamente, pues frente a la aceptación del cargo tercero este Despacho resolvió impartir una orden administrativa tendiente a que se mejoren los estándares de seguridad.
DÉCIMO SEGUNDO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad GASES DE OCCIDENTE S.A. E.S.P. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, con el correo electrónico de notificación judicial info@gdo.com.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-161988. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, una sanción de TRESCIENTOS SESENTA (360) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUARENTA Y UN MIL SETECIENTOS SESENTA (41.760) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a CUATROCIENTOS CINCUENTA Y SIETE MILLONES TRESCIENTOS TRECE MIL SETECIENTOS SESENTA PESOS M/CTE ($457.313.760) por la vulneración a los dispuesto en las siguientes normas: - El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. - El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos “Por la cual se impone una sanción y se imparten órdenes administrativas”. Comunes, Código Rentístico No. 350300, Nit. 899999090-2.
El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: IMPONER a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5, el cumplimiento de las siguientes órdenes administrativas: • GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS deberá implementar las herramientas necesarias para obtener la autorización previa, expresa e informada; conservar el consentimiento de cada uno de los titulares de manera individual y; que pueda ser objeto de consulta posterior. • GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS. deberá implementar medidas técnicas que demuestren la implementación de la POLÍTICA CORPORATIVA DE SEGURIDAD DE LA INFORMACIÓN, por lo cual deberá instaurar procedimientos internos mediante los cuales se establezcan acciones para dejar evidencia de cada uno de los controles y monitoreos realizados a los riesgos identificados dentro del tratamiento de datos personales.
Parágrafo Primero: De lo anteriormente ordenado la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS deberá remitir a este Despacho una certificación del representante legal en la que se haga constar que se implementaron las órdenes, dentro del término de cuatro (4) meses con posterioridad a la ejecutoria del presente acto administrativo. junto con las pruebas suficientes que demuestren dicha implementación. Esto, sin perjuicio de que las mismas puedan ser verificadas con posterioridad por parte de la Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con NIT. 800.167.643-5, acreedora de las sanciones previstas en la ley.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS, identificada con Nit. 800.167.643-5 a través de su representante legal y a su apoderado, entregándoles copia de esta e informándoles que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4: COMUNICAR la presente decisión al denunciante XXXXXX XXXXXXXXXXX identificado con C.C. x.xxx.xxx.xxx a la dirección autorizada para el efecto.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y “Por la cual se impone una sanción y se imparten órdenes administrativas”.
Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 22 de agosto de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCÍA MOLINA Elaboró: DR Revisó: AC Aprobó: CG NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: GASES DE OCCIDENTE S.A. EMPRESA DE SERVICIOS PÚBLICOS 800.167.643-5 JUAN MARTÍN CASTRO DIEZ C.C. 1.130.587.172 info@gdo.com.co Calle 38 Norte No. 6-35 BG 2 P 3 y 4 Cali, Valle del Cauca Apoderado: Identificación: Correo electrónico: MAURICIO PINZÓN PINZÓN C.C. 79.145.527 pinzonpinzon@pinzonpinzon.com COMUNICACIÓN Nombre: Identificación: Correo electrónico: Dirección: Ciudad: XXXXXX XXXX XXXXXXX C.C. X.XXX.XXX.XXX XXXXXXXX@XXXXX.XXX XXXXXXX X X XX XX XXXX XXX Cali, Valle del Cauca